暗号通貨詐欺の手口が再び進化し、最近ではTrezorやLedgerなどのハードウェアウォレットのユーザー数名が、公式通知を装った実体の手紙を受け取ったと報告しています。手紙にはQRコードをスキャンして強制的に認証を行うよう求められていますが、実際にはユーザーに助記詞の入力を誘導し、資産を盗み取る目的です。この種の攻撃は初めてではなく、個人情報流出やソーシャルエンジニアリング詐欺の長期的なリスクを改めて浮き彫りにしています。
公式通知を装った実体の手紙、期限内の「本人確認」を要求
サイバーセキュリティチームのDmitry Smilyanetsは、多くのユーザーがTrezorやLedgerからの紙の手紙を受け取ったと指摘しています。内容は、一定期限内に「本人確認（Authentication Check）」や「取引確認（Transaction Check）」を完了しないと、デバイスが制限される可能性があるとしています。
報告によると、手紙の外観は精巧に作られており、偽造署名やブランドロゴ、偽造防止ステッカーが含まれ、認証用のQRコードも添付されています。一部のケースでは、TrezorのCEOであるMatěj Žákの名義で署名されたものもあります。
QRコードをスキャンすると偽サイトに誘導され、助記詞の入力を促す
Dmitry Smilyanetsは、手紙内のQRコードが公式の設定ページを模した悪意のあるサイトに誘導し、「安全認証」と称してウォレットの助記詞の入力を要求すると報告しています。助記詞が入力されると、その情報はバックエンドのAPIを通じて攻撃者の手に渡り、他の端末にインポートして資産を移動される危険があります。
TrezorやLedgerの公式は繰り返し、公式は一切、ウェブサイトや電子メール、実体の手紙を通じて助記詞の提供を求めることはないと強調しています。助記詞が漏洩すると、ウォレットの管理権を奪われることに等しいです。
攻撃の出所：Ledgerの過去の個人情報流出が標的リストに
この種の実体の詐欺が正確に届く背景には、過去数年の情報流出事件が関係しています。Ledgerは2020年、ECパートナーのShopifyのセキュリティ事故により、数十万の顧客の氏名と住所が流出しました。2023年にはLedger Connect Kitもサプライチェーン攻撃を受けました。2024年初頭には、Trezorも66,000人のユーザーの連絡先情報が流出したと報告しています。
先月には、Ledgerは第三者決済サービスのGlobal-eのハッキングにより、ユーザーの氏名と連絡先情報が漏洩しました。公式は秘密鍵や支払い情報には関与していないとしていますが、フィッシング攻撃の材料となる可能性があります。ウォレット本体の安全性は保たれていても、ユーザーの個人情報が流出すれば、繰り返し悪用される恐れがあります。
（Ledgerの第三者決済業者Global-eの個人情報流出に対し、公式は「ウォレット本体の安全性は保たれている」と回答）
詐欺手口の進化：電子メールから実体のソーシャルエンジニアリングへ
近年の攻撃傾向を観察すると、フィッシング手口は電子メールやカスタマーサポートを装ったメッセージから、アプリの偽造、さらには偽ハードウェアや実体の手紙の送付へと拡大しています。実体の郵便物はユーザーの警戒心を下げる効果があり、特に高度に擬似化されたデザインの場合、混乱を招きやすくなります。こうした攻撃の多発は、暗号産業における情報保護やサードパーティ依存のリスクを浮き彫りにしています。
Dmitry Smilyanetsは、ユーザーにとって最も重要な防御線は基本原則であると警告しています。「いかなる状況でも助記詞を誰にも漏らさないこと。」サイバーセキュリティ事件が次々と起こる中、ユーザーの警戒心とサプライチェーンの安全性を高めることが、今後の重要な課題となるでしょう。
この記事は「冷錢包当心！Trezor、Ledgerユーザーが釣りQRコード入りの実体の手紙を次々と受け取る」最初に鏈新聞ABMediaに掲載されました。
免責事項：このページの情報は第三者から提供される場合があり、Gateの見解または意見を代表するものではありません。このページに表示される内容は参考情報のみであり、いかなる金融、投資、または法律上の助言を構成するものではありません。Gateは情報の正確性または完全性を保証せず、当該情報の利用に起因するいかなる損失についても責任を負いません。仮想資産への投資は高いリスクを伴い、大きな価格変動の影響を受けます。投資元本の全額を失う可能性があります。関連するリスクを十分に理解したうえで、ご自身の財務状況およびリスク許容度に基づき慎重に判断してください。詳細は
免責事項をご参照ください。
関連記事
Cowswapのフロントエンドが攻撃を受け、ユーザーに対して許可の取り消しが促される
BlockaidのセキュリティシステムがCowswapに対するフロントエンド攻撃を検知し、WebサイトCOW.FIを悪意があるものとしてフラグ付けしました。ユーザーには、ウォレットの権限を取り消し、DAppとのやり取りを控えるよう促されています。
GateNews2時間前
Polymarket 審査エコシステム内のスタートアップを対象に、インサイダー取引や市場操作行為を取り締まる
Polymarketは、疑わしいインサイダー取引の口座情報を利用してユーザーの取引を誘導したとされる、連携されたいくつかの新興企業プロジェクトに対する監査を発表した。この取り組みは、コンプライアンス管理を強化し、インサイダー取引のリスクに関する外部の懸念に対応することを目的としている。
GateNews4時間前
2026年Q1のWeb3プロジェクトは、ハッキングと詐欺による損失が4.6億米ドルを超え、フィッシング攻撃が優勢を占めています
Hackenが公開したレポートによると、2026年の第1四半期にWeb3プロジェクトがハッキングや詐欺によって被った損失は4.645億ドルで、フィッシングおよびソーシャルエンジニアリング攻撃による損失は3.06億ドルに達している。さらに、ハードウェアウォレットの詐欺が主な損失を占めている。加えて、スマートコントラクトの脆弱性やアクセス制御の失敗もsignificantな損失につながっている。規制面では、欧州の法律枠組みにより安全監視の要件が強化された。
GateNews8時間前
RAVEが急騰して山寨（コピー）コインの熱狂を爆発させる中、FFとINXが「ポンプ・アンド・ダンプ（釣り上げて売り抜ける）」の手口を暴露
最近、RAVE を代表とするミームコインが激しい投資ブームを巻き起こしていますが、一部の旧来のスター・プロジェクトである FF や INX は、この熱狂を利用して「釣り上げて売り抜く」行為を行っています。迅速にコイン価格を押し上げて個人投資家の買いを誘い、その後に大きく投げ売りすることで、価格が急速に下落しています。このような行為は、プロジェクト側の資金繰りの困難さを露呈するだけでなく、投資家の信頼を損ないます。投資家は、短期間での異常な急騰などのシグナルに警戒し、相場操作のリスクに巻き込まれないようにする必要があります。
MarketWhisper11時間前
FBI とインドネシアが共同で W3LL フィッシング・ネットワークを摘発、関係額は 2000 万米ドル超
米国FBIとインドネシア警察が連携し、W3LLフィッシング・ネットワークを首尾よく摘発して関連する設備を押収し、容疑者を拘束した。W3LLフィッシングのツールキットは低価格で偽のログインページを提供し、中間者攻撃を利用して多要素認証を容易に回避することで、組織化されたネット犯罪の生態を形成している。今回の行動は、米国とインドネシアがネット犯罪の取締りにおいて協力したことを示しているが、暗号資産のユーザーに対する安全上の脅威はいまだ深刻だ。
MarketWhisper15時間前
Squads 緊急警告：アドレスへの毒物注入による偽造マルチシグ口座、ホワイトリスト機構が公開予定
Solanaエコシステムのマルチシグ協議であるSquadsが警告を発し、攻撃者がユーザーに対してアドレス投毒攻撃を仕掛け、偽のアカウントでユーザーを誘導して不正な送金を行わせたと指摘しました。Squadsは資金の損失がなかったことを確認し、これは協議の脆弱性ではなくソーシャルエンジニアリング攻撃だと強調しています。対策として、Squadsは警告システム、非インタラクティブなアカウントの提示、ホワイトリスト機構などの防御策を実施しました。この出来事は、Solanaエコシステムにおけるソーシャルエンジニアリングの脅威が増加していることを示すとともに、継続的なセキュリティの見直しを引き起こしています。
MarketWhisper16時間前
