# 【警告】秘密鍵とシードフレーズがDMで送られてくる詐欺の手法 By [ta1suke](https://paragraph.com/@ta1suke) · 2022-07-19 --- この界隈にいると**SCAM**という言葉を見かけるのは日常茶飯事だ。 SCAMから身を守るための防護柵は自分で張っておく必要がある、いわゆる自己責任のこの世界で生き抜くためには、人並み以上のリテラシーとSCAMセンサーが求められます。 しかしあたらしい詐欺の手法が日々生まれている中、すべてを追って理解するのは困難なので、**注意喚起の発信**を行うことで被害を減らせると考えています。 今回は一昔前に流行した「秘密鍵とシードフレーズを教えるからトークンの送金を代わりにやってよ詐欺」がまたまた国内外で流行ってきているので、今回はこれについて解説します。 [https://woorth.io/](https://woorth.io/) 秘密鍵とシードフレーズがDMで送られてくる --------------------- * きれいなお姉さんの自撮りアイコン * 金持ちそうなひげおじアイコン * 違和感を感じる日本語 SCAMのDMと言えば決まって上の条件どれかが当てはまるのはあるあるですよね笑 今回はいちばん下の違和感のある日本語でDMでが届きました。 ![@Shelby25008911からのDM](https://storage.googleapis.com/papyrus_images/72d608952bf5eb86b89017fbabb6fe58b0a3f28d2805a6c4b44381343eb61265.png) @Shelby25008911からのDM 変な日本語ですがとりあえず意訳すると、 > ウォレットにある3800USDT（TRC20）が何回か試してみたけどうまく引き出せない。病気になってしまってお金が必要だから助けてほしい、、お礼に500USDTあげるよ！ まず不可解な点が一つ、助けてあげて送り先のあんたのアドレスはどこや！うまく引き出せたてあんたのアドレスわからんことにはどこに送ればいいか分からへんやんけ！ まぁ詰めが甘いこと、送られてきた情報をまとめてみる。 * シードフレーズ crew equip chapter badge firm script world burst smoke hobby chair soda * 秘密鍵 b500606a70783a1ee3ca2e3c29f362a47d1c90d56482da97fe096f1fd2fedb8a 親切に秘密鍵を頂いたのでインポートしてみましょう。 **秘密鍵とシードフレーズは何が合っても絶対他人に教えてはダメです。サービスや運営、サポートから要求されることは絶対にありません。秘密鍵はあなたのアドレスの資産にアクセスする唯一の鍵です。** ウォレットをインポートしてみる --------------- 従来のサービスへのログイン等と異なり、ログインしただけで相手にこちらの情報がバレるなんてことはない。ここの仕組みの説明は今回は省きます。 ⚡**みなさんは決して真似しないように！** さっきTRC20と記載があったのでチェーンはTRONだろう。この時点で初心者はMetaMaskを使いそうなので、全く違うアドレスのウォレットがインポートされる。MetaMaskにインポートした場合、USDTは一切入ってない。まあそれでも被害0だから別に良いのか。 * Ethereum [0x8616C5178C785B94d45642390bc9DE1eb88a1B25](https://etherscan.io/address/0x8616C5178C785B94d45642390bc9DE1eb88a1B25) * TRON [TNCCpquVqxhLYsDPAckj7mTXFhQEHHwTvo](https://tronscan.org/#/address/TNCCpquVqxhLYsDPAckj7mTXFhQEHHwTvo) それぞれのチェーンでインポートしたアドレスはこちら。TRONの資産を確認してみましょう。 今回はTrustWalletにインポートしました。 ![インポートしたアドレスの保有トークン](https://storage.googleapis.com/papyrus_images/148e39262d551e0e070a465b94ac49c2b88e1ba4a5536a2cbeb08c98754c25ed.png) インポートしたアドレスの保有トークン あれ、本当に800と少しのUSDTが入ってるじゃん！（最初言ってた3,800USDTとは程遠いが500USDTをお礼としてもらえるんだよね！） 酷く円安の7月中旬、日本円換算で11万ちょい。ラーメンが100杯以上食べられる魅力的な額だ。 USDTを送金しようとしてみる --------------- 100杯のラーメンを思い浮かべながら送金しようとしてみます。 ![送金の際のガス代](https://storage.googleapis.com/papyrus_images/f09ecb4e56e7dacf81ec1b191664ee1c401281825776d3c68949ace4a454b4b0.png) 送金の際のガス代 おお、元ある1TRXではガス代が足りないだと！！そりゃ送金できないよ！ 800ドルを引き出すための1ドルか仕方ない。ガス代を、、 とガス代分の入金を行うと入金した分全部引っこ抜かれます。 ではどういう仕組みなのか不足するガス代を実際に送ってみましょう。と言いたいところですが、1銭足りとも犯罪者に資金を提供したくないので、被害に合ってしまった方のトランザクションを仕方なく見てみます。 この詐欺の仕組みを考えてみる -------------- ![該当アドレスのTRONSCAN](https://storage.googleapis.com/papyrus_images/85c8fced5d38246fedb8440b359c349f5c1909e76f2f8b4c4c07371180f5069e.png) 該当アドレスのTRONSCAN **TNA6**…が被害にあったアドレスで**TNCC**…が今回秘密鍵が送られてきた詐欺ウォレットです。 TNA6…→TNCC…のトランザクションを見てみます。おそらくガス代として4TRXが請求されたのでしょう。 入金した数ブロック後に別のTNVQ…のアドレスに送られています。 おそらくみた感じ、この仕組みだと、 > USDT等の実際の資産が入った囮となるウォレットを用意し、そのウォレットが宛先のトランザクションを監視します。この場合ガス代になるTRXの入金ですね。 > > TRXの入金を検知したら予め指定しておいたウォレットへのトランザクションを発生させ、ガス代をなくすことで送金できないようにする。 というところでしょうか。 本物のUSDTが入っているので思わずラーメンが頭に浮かびましたが、そんな美味しい話はありません。 かなり巧妙な手法ですよね、初見ではわかりませんでした。 記事を書いている間にも数件のTrustWalletからの入金通知が、、その後にはすぐに送金完了の通知が。心が痛いのでそっとウォレットを削除しました。 すでに自分に送られてきたウォレットのトランザクションを確認したところかなりの入金が確認できます。1回あたりの被害額が数ドルとは言えど、塵も積もればかなりの量になりますよね。 ![詐欺ウォレットのトランザクション](https://storage.googleapis.com/papyrus_images/450c258f945a10339ebd638f01416ad296f0005674e9bb7cdc9ccdc6ebd602c8.png) 詐欺ウォレットのトランザクション SCAM被害に遭わないために -------------- まず今回のSCAMへの対策方法として挙げられるのは、 1. こんなに美味しい話はないのでお金は送らない 2. フォロワー数が多くても知らない人からのDMは開かない 3. 確かめたい場合はエクスプローラーで不審なトランザクションがないか確認する とかでしょうか、、実世界でも「1億円が当選しました！」のようなメールが届いとことがある方も多いのではないでしょうか? それのWeb3版と思えばいいでしょう。 何もないのにお金をくれる訳がないので引っかからないようにしましょう！ その他「コレ詐欺なんじゃない?」「こんなスキャムDMが来たんだけど!」って言うのがあればDMで送ってくれると確認し記事にするなど周知を行います。 [https://woorth.io/](https://woorth.io/) [https://twitter.com/ta1suke](https://twitter.com/ta1suke) --- *Originally published on [ta1suke](https://paragraph.com/@ta1suke/dm)*