Web3 詐欺防止ガイド：Discord ユーザー必携のセキュリティスキル

アルファウサギ研究ノート

2022-02-18 18:38:18

コレクション

Zilliqaは企業や大規模で複雑な計算のための特別なユーティリティを提供しており、早期にシャーディング技術を実装したため、高度にスケーラブルなブロックチェーンネットワークです。

共有する

WeChatでQRコードをスキャン

著者：アファトゥ Mona

NFT市場の急成長に伴い、2021年のNFT市場の取引額は約442億ドルに達しました。この巨額の金額は、職業詐欺師やデジタル世界の職業詐欺者が暗号世界に大量に浸透する原因となりました。これらの暗号世界の詐欺師は、経験の浅い暗号初心者に対して降維打撃を行います。皆さんに有用な安全ガイドを提供するために、この記事を書くことになりました。

この記事は主に以下の部分に分かれています：

1）DiscordやNFTプロジェクトに参加したい新米として、何に注意すべきか？

2）現在のDiscordの環境状況

3）Discord公式からの安全ガイド

4）再確認

NFT詐欺防止ガイド

まず、一般ユーザーが覚えておくべき安全操作ガイドを提供します。後でさらに分析を行います。

まず注意すべきこと：詐欺のいくつかの本質は、人間の希望、欲望（例えば、天からの恵み！おめでとう、宝くじに当たった）や恐怖（私たちは公式の者です、あなたは詐欺を働いた、すぐに身分証明書と銀行カードのパスワードを報告しなさい）を利用することです。

0.すべてのDM（Discordメッセージ）にリンクが付いているものは信じないこと、DMを直接オフにすることをお勧めします。

この点は発生頻度が高い理由は、実生活での交友関係がない友人からのDiscordのプライベートメッセージは、悪意のある見知らぬ人である可能性が高く、詐欺のリスクがあります。

NFTプロジェクトに関するいくつかの疑わしい点（注意が必要）

Discordは公共のチャットルームを開かない
Twitterはコメントを開かない
非オリジナルデザイン
非WLでもプレセールでミントできる
チームは完全に匿名、特にデザイナー️
コアメンバーが非常に少ない、MODはオンラインで探したボランティア️
AMA（Ask Me Anything）を開催したことがない️
抽選は常にWLまたはそのプロジェクトの無料NFTのみ️
抽選以外の活動はほとんどない️
WLの要求において、友達を引き込むことが大きな割合を占める️
プレセールが非常に急いでいる️
各ウォレットのミント数が多い（3つでも多いと見なされる）️
プロジェクトのサイクルが非常に短い（2週間でも短いと見なされる）️
Generalチャンネルの活発度が極めて低い（国内の投資家を正確に収穫）️
Twitterでのフォロワーが少なく、コメントやリツイートが非常に少ない️
他のプロジェクトとの連携がない（ブルーチップホルダーを利用することは連携とは見なされない）
すべてのDMにリンクが付いているものは信じないこと、DMを直接オフにすることをお勧めします。

（以上は参考のためのものです）

分散型体制の結果は：誰も特定の事柄に対して全権を持って責任を負うことができないということです。Discordはそのユーザーに対して安全責任を負っているのでしょうか？それとも各サーバーの責任者がユーザーの安全を守る必要があるのでしょうか？それともユーザー自身がすべての安全常識を学ぶ必要があるのでしょうか、例えば見知らぬ人が送ったリンクをクリックしないことなど？

注意：安全専門家の観点から見ると、詐欺の数は一つの側面に過ぎません；より重要なのは、多くの詐欺手法がますます複雑になっていることです。免疫システムの働きのように：NFT保有者は一般的な詐欺に対して一定の免疫力を持っています。例えば、見知らぬ情報を信じないことで、自分の助記詞を守ることができます。しかし、安全機能がまだ限られているため、新しい手法が次々と現れ、Web3ユーザーを欺くようになっています。

背景

物語から始めましょう：

2021年7月、50歳のパートタイムのアウトドアインストラクターであるハートは、子供たちとアウトドアトレーニングを行っている最中に、家が電線のショートによって焼失しました。家の保険は切れていたため、彼女のすべての財産が一瞬にして失われました。その後、ブロックチェーン会社Nametagのギフトを通じて、ハートはボアードエイプNFTを手に入れました。

ボアードエイプNFTのブランド属性は、消費財の世界におけるLVやシャネルのようなもので、現在二次市場での価格は数百万ドルに達することがあります。ハートがこの猿を受け取ったとき、価値は約3.5万ドルでしたが、その後8万ドルに上昇しました。

しかし、昨年の8月、ハートはVeeFriendsのギフトリンクを受け取りました。このギフトは、チャットプラットフォームDiscordの見知らぬ人から直接送られたもので、すべてが合理的に見えました。URLはそのプロジェクトの公式ウェブサイトを指していました。しかし、彼女がギフトを受け取ろうとしたとき、公式サイトは彼女の助記詞を入力するよう要求しました。彼女が入力すると：

自分のアカウントにあるすべてのEthと猿が消えてしまいました。

NFT市場の急成長に伴い、2021年のNFT市場の取引額は約442億ドルに達しました。この巨額の金額は、職業詐欺師やデジタル世界の職業詐欺者が暗号世界に大量に浸透する原因となりました。これらの暗号世界の詐欺師は、経験の浅い暗号初心者に対して降維打撃を行います。

公共のチャットプラットフォームとして、Discordは彼らの温床の一つです。

データによると、2022年1月には少なくとも44台のDiscordサーバーが攻撃を受け、損失は100万ドルを超えました。 NFTプロジェクトは詐欺師にとって巨大な誘惑のある競技場であり、すでに工業モデルとしてスケール化された詐欺チームがNFT分野に参入しています。しかし、これらはDiscordの成長に影響を与えていません。9月にはDiscordが5億ドルを調達し、その成長の中で評価額は2倍以上に達し、150億ドルに達しました。チャットサービスは長い間、ビデオゲームプレイヤーの人気プラットフォームであり、過去1年間で、暗号コミュニティの事実上の広場となり、主要なNFTプロジェクトや分散型自治組織はすべてDiscordサーバーを持つようになりました。

表面的には、DiscordはSlackやTelegramなどの従来の企業メッセージプラットフォームとは明確に異なるものを提供していません。後者は主に音声とテキストチャットツールを提供しています。この会社は2015年に設立され、初期は主にビデオゲームプレイヤーの交流プラットフォームでしたが、過去1年間で暗号通貨コミュニティの組織的な活発な場となりました。しかし、実際にはDiscordはSlackやTelegramなどの従来の企業メッセージプラットフォームとは完全に異なる価値を提供していません。主に音声とテキストのチャットツールです。

Discordは主に人々がくつろげる場所を提供していますが、ゲームプレイヤーは後に暗号の金鉱者に取って代わられ、多くの人々は分散型インターネット時代の到来を信じています。 NFT価格の急騰とともに、DiscordはDAOやNFTにとっての現成の場を提供しました。看守のいない自由なクラブ、数千人の集会を開催できる会議スペースです。

2019年から現在まで、DiscordのMAUは5600万から1.5億を超えるまで成長し、これにより大きな安全上の課題が生じましたが、個々のDiscordサーバーのガバナンスルールは進化していません。そのため、プラットフォームの安全を維持する責任は主にサーバーの個々の責任者にあります。中にはボランティアもいれば、DAOやNFTプロジェクトのスタッフの役割分担が相対的に混乱しています。

Discordは新しい管理ツールを導入し、特定のユーザーをブロックすることや、フルタイムのセキュリティチームを雇用していますが、詐欺師が特定のチャンネルで詐欺を始めたとき、モデレーターはしばしば第一の防線となります。

「Discordの運営方法は、通知が5秒ごとに飛び交い、アバターやユーザー名を自由に変更できるため、詐欺師の楽園のようです」と、NFTや暗号について執筆しているSecureMacの元コンピュータセキュリティ専門家ニコラス・プタセクは述べています。

SecureMacの元コンピュータセキュリティ専門家ニコラス・プタセクは次のように考えています：

「Discordの運営方法（自由にメッセージを送信でき、ユーザー名やアバターを自由に変更できる）は、詐欺師の楽園のようです。」

インターネット時代においても、フィッシング詐欺は頻繁に発生しますが、NFT産業はまだ初期の荒野の時代にあり、高価なデジタル匿名性、大規模な資産、神秘的な技術、初心者の流入…これはまさに犯罪者の遊び場です。

分散型体制の結果は：誰も特定の事柄に対して全権を持って責任を負うことができないということです。Discordはそのユーザーの福利に対して安全責任を負っているのでしょうか？それとも各サーバーの責任者がユーザーの安全を守る必要があるのでしょうか？それともユーザー自身がすべての安全常識を学ぶ必要があるのでしょうか、例えば見知らぬ人が送ったリンクをクリックしないことなど？

安全専門家の観点から見ると、詐欺の数は一つの側面に過ぎません；より重要なのは、多くの詐欺手法がますます複雑になっていることです。免疫システムの働きのように：NFT保有者は一般的な詐欺に対して一定の免疫力を持っています。例えば、見知らぬ情報を信じないことで、自分の助記詞を守ることができます。しかし、安全機能がまだ限られているため、新しい手法が次々と現れ、ユーザーを欺くようになっています。

しかし、被害者は基本的に損失を取り戻すことができません。OpenSeaは盗まれたアイテムにタグを付けてプラットフォーム上での取引を阻止しますが、取引を取り消すことはできません。これは、盗まれたNFTをその合法的な所有者に返還することができないことを意味します。チルトン・ヤンバート・ポーターの知的財産弁護士ジョナサンは、通常、被害者は盗まれたNFTを無意識に購入した人に手紙を書くしかなく、アート作品を全額買い戻すことになります。なぜなら、関係当局はこの世界に対して明確な規制を持っていないため、大部分の場合、賭けに負けたことを受け入れるしかないからです。

Discord公式からの安全提案

まず、サーバーに参加するためにリンクをクリックする準備をしているとき、発生する可能性のある状況は、リンクが正しいように見えても、何かおかしいことがあるかもしれません。

特徴1：相手の話し方が人間味がない、例えば特定の事柄で脅迫してくる、期限がある、特定のプロジェクトに参加しなければならないという警告がある？リンク？そうでなければ機会を失うでしょう。このような詐欺師の特徴の一つは、ユーザーと共通のサーバーで情報を発信したことがないこと、または共通のサーバーを共有していないことですが、突然話しかけてくることです。

連邦取引委員会の情報によると、2021年にネット詐欺が急増しました。Discordの使命は常に、Discordをインターネット上で人々が帰属感を見つけるための最良の場所にすることでした。私たちは、興味に基づくコミュニティが人々を集めるのを見て嬉しく思いますが、同時に危険な人々がこれらのコミュニティを利用しようとしているのも見ています。

したがって、ここで私たちが取っている追加の措置を共有し、Discord上で自分を守るための方法を紹介します。これらの安全スキルを心に留めておいてください：

一般ユーザー向け：

· 不明な送信者からのリンクや疑わしいリンクをクリックしないこと。

· 知らないプログラムをダウンロードしたり、知らないコードをコピー/ペーストしないこと。

· パスワードを誰にも漏らさないこと！

· 認証トークンを共有したり、画面共有しないこと。

· 知らない人からのQRコードをスキャンしないこと。

· 可能な限りアカウントの安全を確保するために2要素認証を有効にすること。

サーバー責任者向け：

· サーバーの権限を確認し、特にwebhooksのような高度なツールに注意すること。

· 公式サーバーの招待リンクを更新し続けること、特に新しいサーバーのメンバーの大部分がDiscord外のコミュニティから来ている場合は、リアルタイムで更新すること。

· 同様に、疑わしいまたは不明なリンクをクリックしないこと。アカウントが漏洩した場合、それはあなたが管理するコミュニティにより大きな影響を与える可能性があります。

インターネット安全チェックリスト

ネットセキュリティに対して畏敬の念を持つことは非常に重要です。以下は、DMやDiscord外での安全をある程度確保するための簡単で効果的な方法です。

1. 知っている人からの信頼できるリンクのみを開くこと

多くの安全問題は、ユーザーがリンクが本物かどうかを確認する前にクリックしてしまうことから生じます。クリックするリンクを常に注意深く確認し、リンク短縮サービスは不安全なウェブサイトやプログラムを簡単に隠すことができます。VirusTotalのようなリソースを通じてそれを確認し、誰かがそれを潜在的な危険としてマークしているかどうかを確認することをお勧めします。

2. URLのスペルに注意すること

3. 知らないコードをダウンロードしたり実行しないこと

4. 出所不明のソフトウェアをダウンロードしたり実行しないこと

5. 見知らぬ人から送られたプログラムに注意すること

誰かが「特別な素晴らしいソフトウェア」が必要だと言って、自分のコンピュータで実行するように求めてきた場合、彼らはあなたを誤導して、フィッシングプログラムを使ってあなたの個人情報を取得しようとしている可能性が高いです。

Discord安全チェックリスト

DMを送信できる人のリストを決定すること： 特定のサーバーのDMを無効にして、大規模なコミュニティ内に隠れている詐欺師があなたに連絡するのを防ぐこと。

DMを送信できる人を調整するには、ユーザー設定 > プライバシーと安全に移動し、「サーバープライバシーのデフォルト」にスクロールします。そこから「サーバーメンバーからのダイレクトメッセージを許可する」オプションを見つけることができます。注意：この新しい状態は、設定を変更した後に参加したサーバーにのみ適用されます；既存のサーバーには影響しません。

このオプションをオフにすると、新しく参加したサーバーのメンバーは、事前に友達でない限り、DMであなたに連絡できなくなります。見知らぬ人からの疑わしいメッセージを受け取ることには一定のリスクがあります。

信頼できるサーバー内で、内部の人々からメッセージを受け取ることを気にしない場合は、個人的な基準でプライバシー設定を切り替えることができます。デスクトップまたはモバイルでそのサーバーに移動し、その名前を選択してサーバーの設定を開き、「プライバシー設定」を選択します。そこに「サーバーメンバーからのダイレクトメッセージを許可する」オプションがあります。それをオンにすると、そのサーバー内のすべての人からのDMを自由に受け取ることができます。友達であろうとなかろうと！

サーバーの権限を確認すること

· テンプレートとサーバー内のメンバーがどのような権限を持っているかを理解することは、各メンバーの安全を維持するための鍵です。あなたがサーバーの所有者であれば、最近権限リストを確認しましたか？誰がどの権限を持っていますか？彼らがその権限を持っていることを知っていますか？どのくらいの期間ですか？

· 信頼できるモデレーターだけが強力なサーバーツールを変更できるようにすること、あなたがサーバーに追加した可能性のあるロボットに対しても警戒を怠らないこと。

· 招待リンクを更新し続けること

サーバーのリンクが更新された場合、コミュニティと新しいユーザーがこれらの変更を理解していることを確認し、これらのリンクを共有するソーシャルメディアページを常に更新してください。可能であれば、古い招待リンクの引用を行い、これらのリンクが更新されたことを皆に知らせてください。

（これは、パートナーシップを結んだ、認証された、またはレベル3ブーストされたサーバーがバニティURLを利用している場合に特に重要です：サーバーがカスタム招待リンクを失ったり変更した場合、悪意のあるコミュニティが古いリンクを奪い取る可能性があります。このことが公に公開される招待を更新する前に発生した場合、あなたのコミュニティに参加しようとする人々は、問題を引き起こそうとしているサーバーに参加することになるかもしれません。）

注意！誰かがあなたのDiscordアカウントを制御することができれば、あなたのユーザー名、パスワード、アカウントに関連付けられた電子メール、その他の情報を変更することができます。一度ハッカーがあなたのDiscordアカウントに侵入すると、あなたのすべての個人情報が見えるようになります。サーバーレイアウトからサーバー権限、ロボットまで、さらにはあなたのすべてのユーザーをサーバーから追い出すことができるのです。もしあなたのアカウントがハッカーに狙われているサーバーの責任者であれば、彼らはあなたのアカウントを踏み台として利用し、コミュニティ内でさらに破壊的な行動を取ることができ、無防備なメンバーを欺くことができます。

すべての職業詐欺師は、初期のサポーターの特権バッジなど、複製不可能なユニークなプロフィールバッジを持つDiscordアカウントをターゲットにする可能性があります。これらのユニークなバッジの一つを持っている場合は、アカウントに特に注意を払うべきです。

アカウントに2要素認証を有効にすることをお勧めします。詐欺師や強要者もあなたのパスワードを変更するために2FAコードを提供する必要があります（その後、さらに詳しい記事を続けて説明します）。

再確認

一般ユーザー向け：

不明な送信者からのリンクや疑わしいリンクをクリックしないこと。
知らないプログラムをダウンロードしたり、知らないコードをコピー/ペーストしないこと。
パスワードを誰にも漏らさないこと！
認証トークンを共有したり、画面共有しないこと。
知らない人からのQRコードをスキャンしないこと。
可能な限りアカウントの安全を確保するために2要素認証を有効にすること。

サーバー責任者向け：

サーバーの権限を確認し、特にwebhooksのような高度なツールに注意すること。
公式サーバーの招待リンクを更新し続けること、特に新しいサーバーのメンバーの大部分がDiscord外のコミュニティから来ている場合は、リアルタイムで更新すること。
同様に、疑わしいまたは不明なリンクをクリックしないこと。アカウントが漏洩した場合、それはあなたが管理するコミュニティにより大きな影響を与える可能性があります。

NFTプロジェクトに関するいくつかの疑わしい点（注意が必要、さらに補足が必要）