Pudgy Worldが偽造された！Malwarebytesがフィッシングサイトによるウォレットパスワード盗難を警告

ネットセキュリティ企業のMalwarebytes Labsは火曜日、ドメイン「pudgypengu-gamegifts[.]live」の偽サイトが、3月10日にリリースされたばかりのPudgy Worldブラウザゲームを装い、暗号通貨ウォレットのパスワードを盗もうとしていると緊急警告を発しました。

フィッシング攻撃の巧妙な手口：11種類のウォレットインターフェースをコピー

Malwarebytesの上級マルウェア研究エンジニア、Stefan Dasicは、報告書の中で今回の攻撃の設計意図を詳述しています。Pudgy Worldの一部機能（NFTアイテムの所有権検証やゲームコンテンツの解除など）には、プレイヤーが暗号通貨ウォレットを接続する必要がありますが、攻撃者はこの合理的な手順を狙って騙しを仕掛けてきました。

「フィッシングサイトはこの操作フローを悪用しています。訪問者が偽サイト上で自分のウォレットを選択すると、その画面にはまるでウォレット自身の解除画面のように見えるインターフェースが表示されます。ユーザーにとっては、それが彼らが慣れ親しみ信頼している本物の暗号通貨ウォレットソフトウェアと全く同じに見えるのです。」

Dasicはまた、今回の攻撃は技術的に非常に高度であると指摘しています。攻撃者は11種類の異なるウォレットのUI模倣インターフェースを作成し、ほとんどすべてのウォレットに対して攻撃の盲点を作り出しています。EthereumやSolana、多チェーン資産を持つユーザーも、非常にリアルな偽のウォレット解除インターフェースを受け取ることが可能です。彼は、「11種類のウォレットUIの偽造プログラムを作るのは容易ではない」と述べており、これは「資源に恵まれた脅威行為者」や、こうした攻撃専用の商用フィッシングツールキットを再利用している可能性を示唆しています。

Pudgy Worldのブランド背景とセキュリティリスクの交錯

Pudgy Worldは、Pudgy Penguins NFTブランドを基盤とした無料のブラウザゲームで、プレイヤーは仮想世界を探索し、ペンギンのアバターをカスタマイズし、ミッションをクリアします。2022年にCEOのLuca Netzが買収して以来、Pudgy Penguinsは単なるNFTコレクションから、リテール商品やモバイルゲーム、ウェブゲームを含む消費者向けブランドへと拡大しています。

しかし、Pudgy Penguinsは以前から類似の攻撃にさらされてきました。2024年12月、ブロックチェーンセキュリティ企業のScam Snifferは、攻撃者が悪意のあるGoogle広告を利用してPudgy Penguinsのプラットフォームを偽装し、ユーザーにウォレットを接続させる詐欺を警告しています。研究者は、この種の攻撃は、著名なNFTプロジェクトの重要なイベントと連動して出現しやすく、新規ユーザーの流入が最も攻撃の好機を提供していると指摘しています。

防御策：被害者にならないための具体的な対策

Malwarebytesは、Pudgy Worldのユーザーに対して以下の具体的な防御策を提案しています。

• 公式サイトにはブックマークからのみアクセス：検索エンジンやSNSのリンクを通じてアクセスしないこと
• ウォレットパスワードの入力場所に注意：正規のウォレットパスワードのヒントは絶対にウェブページ内に表示されません。ページがブラウザ内でパスワード入力を求める場合は直ちに操作を停止してください。
• プライベートメッセージやSNSのリンクをクリックしない：暗号通貨プロジェクトの公式リンクは、公式Twitter/XやDiscordの固定メッセージから取得してください。
• 入力済みの認証情報に対する緊急対応：疑わしいサイトでウォレット情報を入力した場合は、直ちにパスワードを変更し、資産が盗まれた疑いがある場合は、新しいウォレットアドレスに資産を移動してください。

よくある質問

Q：どうすれば正規のPudgy Worldにアクセスしていることを確認できますか？
A：ドメイン名を確認し、Pudgy Penguinsの公式サイトと完全に一致しているかを比較してください（余分な文字やハイフンに注意）。公式Twitter/XやDiscordの公式チャンネルから直接リンクを取得し、ブックマークに登録した正規のアドレスを利用してください。

Q：なぜ攻撃者は新しいゲームのリリース直後に攻撃を仕掛けるのですか？
A：MalwarebytesのStefan Dasicは、攻撃のタイミングは意図的に計画されていると指摘します。新ゲームのリリース期間中は、多くの新規暗号通貨ウォレットユーザーが集まり、「ゲームがウォレット接続を要求する」という操作に慣れていないため、警戒心が緩みやすいのです。同時に、検索量の増加により、偽サイトが検索結果の上位に表示されやすくなるのです。

Q：FBIのデータによると、2024年のフィッシング詐欺の被害額は7000万ドルを超えていますが、暗号通貨ユーザーはどのくらい危険ですか？
A：FBIのインターネット犯罪苦情センター（IC3）の統計によると、2024年には193,407件のフィッシングや詐欺の苦情が寄せられ、被害額は7000万ドルを超えています。これには未報告のケースも含まれていません。暗号通貨は匿名性と不可逆性のため、資産が攻撃者の管理するアドレスに移された場合、ほぼ取り戻す手段がありません。