サイバーセキュリティの警告
サイバーセキュリティ企業Malwarebytes Labsは火曜日、Pudgy Penguinsが新たに発表したブラウザゲーム「Pudgy World」を模倣した偽のウェブサイトが、暗号通貨ウォレットのパスワードを盗もうとしていると警告しました。
フィッシングサイトの手口
Malwarebytesの報告によると、フィッシング作戦である「pudgypengu-gamegifts[.]live」は、ユーザーを欺くために暗号ウォレットインターフェースの非常に説得力のあるレプリカを使用しています。シニアマルウェア研究エンジニアであり報告書の著者であるStefan Dasicは、次のように述べています。
「いくつかの機能は、暗号通貨ウォレットに保存されたデジタルコレクティブルやゲーム内アイテムに関連しています。公式ゲームは時折、アイテムの所有権を確認したり、追加機能をアンロックするためにプレイヤーに暗号ウォレットを接続するよう求めます。」
フィッシングサイトはそのステップを悪用し、訪問者がこの偽サイトで自分のウォレットを選択すると、ウォレットのロック解除画面のように見えるものが表示されます。ユーザーにとっては、信頼している本物の暗号ウォレットソフトウェアのように見えるのです。
フィッシングの現状と影響
フィッシングは依然として最も広範なサイバー犯罪の一形態であり、FBIのインターネット犯罪苦情センター（IC3）によると、フィッシングおよびスプーフィング詐欺は2024年に193,407件の苦情を占め、報告された損失は7000万ドルを超えています。
この特定のサイトの被害者がいるかどうかは不明ですが、この警告はPudgy Penguins NFTブランドに関連する無料プレイのブラウザゲーム「Pudgy World」の発表から1週間後に出されました。このゲームは3月10日に公開され、プレイヤーは仮想世界を探索し、ペンギンのアバターをカスタマイズし、クエストを完了することができ、一部の機能ではユーザーが暗号ウォレットを接続する必要があります。
Pudgy Penguinsの成長とリスク
Pudgy Penguinsは2022年にCEOのLuca Netzに買収されて以来急速に成長し、NFTコレクションから小売製品、モバイルゲーム、そして現在のブラウザベースのゲームへと拡大しています。このコレクションのフロア価格は4.25 ETH（約9,500ドル）で、CoinGeckoによると、2024年12月の高値36.33 ETHの88.3%を大きく下回っています。
Dasicは、このキャンペーンのタイミングが意図的であり、ゲームの発表と暗号ウォレットのセキュリティ慣行に不慣れな新しいユーザーの流入と一致しているようだと述べました。
「ターゲットにされるウォレットの範囲も重要です。このキャンペーンはほぼすべてのウォレットを盲点にしません。」
「被害者がEthereum、Solana、またはマルチチェーン資産を保有しているかどうかにかかわらず、彼らを待っている説得力のある偽造があります。」
対策と注意喚起
Dasicは、「11のウォレット特有のUI偽造を構築することは簡単な作業ではない」と付け加え、これは「十分なリソースを持つ脅威アクター」またはこのクラスの攻撃のために構築された商業的フィッシングキットの再利用を示唆していると述べました。このような戦術は、攻撃者が正当なものに非常に似たドメインを登録したり、検索広告を操作して本物に見せかけたりする暗号関連の詐欺で一般的です。
たとえば、詐欺師は「.gov」の代わりに「.qov」を使用したドメインを使って公式に見えるメールを送信し、人々がわずかな違いに気づかないことを期待します。
Pudgy Penguinsは以前にも偽サイトを使用した詐欺師の標的になったことがあります。2024年12月、ブロックチェーンセキュリティ企業Scam Snifferは、攻撃者が悪意のあるGoogle広告を使用してPudgy Penguinsのプラットフォームを模倣し、ユーザーを騙してウォレットを接続させていると警告しました。
ユーザーは、信頼できるブックマークを通じてのみ公式サイトにアクセスし、ソーシャルメディアやダイレクトメッセージからのリンクをクリックしないようにし、正当なウォレットパスワードのプロンプトはウェブページのコンテンツ内には表示されないことを覚えておくように勧められています。
Malwarebytesはまた、疑わしいサイトに資格情報を入力した場合はすぐにウォレットのパスワードを変更し、侵害が疑われる場合は資金を新しいウォレットに移動することを検討するように推奨しています。
Pudgy Penguinsはコメントを求められています。
