詐欺対策ガイド

フィッシングサイトは正規の取引所やウォレットのウェブサイトをほぼ完璧に模倣した偽ページです。詐欺師は検索エンジン広告、なりすましメール、SNSリンクを通じて被害者を誘導し、認証情報を入力させます。

最も一般的な手法はドメイン名に微小な変更を加えることです：「l」を「1」に置換、余分なハイフンを追加（例：binance-pro.com）、または異なるトップレベルドメインを使用。高度なフィッシングページは有効なHTTPS証明書を持つこともあります。

最も効果的な防御策は、自分で設定したブックマークからのみ取引所にアクセスすること。メール、Telegram、SNSのリンクは絶対にクリックしないことです。

Telegram、Twitter/X、Discordの詐欺師が公式取引所サポートを装い、ユーザーに積極的に連絡します。よくある状況：公式コミュニティで質問を投稿すると、数分以内に「スタッフ」からDMが届きます。

最終目的はほぼ常にシードフレーズや秘密鍵を引き出すこと、または「確認」目的でアドレスへの送金を求めることです。本物のサポートは決してDMを先に送らず、パスワードを求めることもありません。

もう一つの手法は「画面共有」詐欺：偽のサポートが問題を「解決」するためにリモート操作ソフト（TeamViewer、AnyDesk）のインストールを求め、その後資産を移転します。

高利回り詐欺は「アービトラージボット」や「クオンツ戦略」を使用してリスクなしで利益を出すと主張し、毎日1～5%の安定したリターンを約束します。実際にはポンジスキームで、新規投資家の資金で既存投資家に支払い、崩壊まで続きます。

典型的な危険信号：市場状況に関わらず不自然に安定したリターン、元本の自由な引き出し不可、強制的な紹介要件、匿名または不明確なプロジェクトチーム、検証可能な取引記録なし。

暗号資産ではポンジスキームが多様な形で現れます：DeFiの「高APY」流動性プール、マイニングリグの「ホスティング」、「AIトレーディング」プラットフォーム、従来のMLM構造。

偽エアドロップ詐欺は「ウォレットを接続して無料トークンを受け取る」という誘惑で被害者を引きつけます。接続してトランザクションに署名すると、実際には悪意のあるコントラクトを承認し、ウォレットが空になります。

「有名人プレゼント」詐欺も広まっています：イーロン・マスク、CZなどの偽投稿が「1 BTCを送ると2 BTCが返ってくる」と主張します。被害者は合計数億ドルを失っています。

取引所の持ち逃げ詐欺は、プラットフォームの運営者がユーザーの資金を持って消えることです。通常、明確な法人のない小規模・無規制取引所で発生します。パターン：高いリベートで入金を集める→出金機能が「メンテナンス」に→サイトが消滅。

FTXの崩壊（2022年11月）は史上最大の取引所災害の一つで、100億ドル以上のユーザー資金が流用されました。規模が大きくてもリスクがあることを示し、準備金証明を持つ規制された取引所を選ぶことの重要性を示しました。

Binance、OKX、Bybit、Bitgetなどの主要取引所はサードパーティ監査を受け、準備金証明を公開し、複数年の運営実績を持ちます — 最も安全な選択肢です。

「鍵を持たなければ、コインを持っていない」。シードフレーズ（12または24の単語）はすべての秘密鍵を生成します — それを持つ者が完全にウォレットを制御します。

大きな資産には、ハードウェアウォレット（LedgerやTrezor）が最も安全な保管方法です。秘密鍵はオフラインチップに保存され、コンピューターがマルウェアに感染していても安全です。

シードフレーズは物理的にバックアップする必要があります — 手書きまたは金属プレートへの刻印。写真を撮ったり、クラウドに保存したりしないでください。

2FA（二要素認証）はパスワード以外に第2の保護層を追加します。パスワードが漏洩しても、第2因子なしでは攻撃者はログインできません。

Google Authenticator、Authy、またはハードウェアセキュリティキー（YubiKey）を使用してください。SMS 2FAは避けてください — SIMスワップ攻撃で電話番号を攻撃者のデバイスに移転できます。

2FAを設定する際は、シードフレーズと同様の方法（物理的バックアップ）でリカバリーコードを必ず保管してください。

APIキーはサードパーティのソフトウェア（取引ボット、ポートフォリオトラッカー）が取引所アカウントにアクセスすることを許可します。キーが漏洩したり権限が過剰だったりすると、攻撃者があなたに代わって取引を行ったり、出金権限が有効ならば資産を転送することができます。

多くのユーザーがAPIキーを信頼できないサードパーティツールに貼り付けたり、公開リポジトリ（GitHub）にハードコードしたりします。自動スキャナーは通常数分以内に見つけて悪用します。

ベストプラクティス：最小限の権限付与（出金は絶対に有効にしない）、IPホワイトリスト制限、定期的なキーローテーション、ソースコードに平文で書かない。