## Chrome検索上位の偽ウォレット詐欺：ブロックチェーンを利用した盗取された助記詞の隠蔽方法

暗号通貨ユーザーは、隠密だが致命的な脅威に直面している——巧妙に偽装されたブラウザ拡張機能がChrome Web Storeで検索上位に位置している。"Safery: Ethereum Wallet"という拡張機能は検索結果で第4位にランクインし、その外観は多くの初心者ユーザーを惑わせるのに十分だった。Socketなどのセキュリティ追跡機関の分析は、驚くべき真実を明らかにしている：この詐欺ツールはSuiブロックチェーンを秘密の通路として利用し、盗取した助記詞を見た目普通のマイクロトランザクションにエンコードしている。

### 精巧な偽アイデンティティがChrome審査を回避

"Safery"の狡猾さは、MetaMaskやPhantomなど既知のブランドをコピーしていない点にある。むしろ、全く新しい独立したアイデンティティを創出し、クリーンなアイコン、正式な機能説明、多数の偽の五星評価を備えている。この手法は、従来の模倣品が持つ識別の赤旗を排除している。

Chrome Web Storeの検索ランキングアルゴリズムはこれに無力だ。システムは主にキーワードの一致度、インストール数の増加、レビューの速度、アップロードの新しさを考慮している。新しい拡張機能が短期間で大量のレビュー（多くはテンプレート化された重複）を獲得し、競合が遅れて更新する場合、ブラウザのランキングアルゴリズムは迅速に順位を引き上げる。"Safery"はこの脆弱性を突き、購入または自動生成した偽レビューを通じて、競争の少ないニッチカテゴリーで急速に順位を上げている。

Googleの新規拡張機能の審査プロセスは依然として脆弱だ。多くの場合、システムは短時間の自動スキャンと基本的な静的分析しか行わない。アプリがページ、クリップボード、ファイルシステム、履歴などの敏感な権限にアクセス申請をした場合にのみ、より厳格な人間による審査がトリガーされる。ウォレット系アプリは、iframe内で動作させたり、承認済みAPIを使用したりしてこれらの検査を回避することが一般的だ。"Safery"も同じ戦略を採用し、「すべてのサイト」で動作させることを要求している（これは分散型アプリのウォレットでは一般的）が、他の異常な権限リクエストは行っていない。

### Suiブロックチェーン取引に隠された盗難メカニズム

実際の犯罪は、ユーザーが助記詞を入力した瞬間に発生する。従来のトロイの木馬が情報を悪意のあるサーバーに送信するのに対し、"Safery"はより隠密な戦略を採用している：助記詞を断片に分割し、ランダムなウォレットアドレスにエンコード、その断片をSuiブロックチェーンの取引に隠す。

具体的には、この拡張機能は微量のSUIトークンの送金を行う。このような小額取引は警戒されにくい。攻撃者が管理するアドレスが受取側となる。盗まれた助記詞の断片は、取引の備考欄や混乱させたアドレスに偽装されている。一旦データがブロックチェーンに上がると、永久に見える状態となり、攻撃者はいつでも取り戻し、完全な助記詞を再構築できる。これにより、被害者のデバイスに触れることなくウォレットを空にできる。

この方法は戦術的に優れている。拡張機能は外部サーバーにリクエストを送る必要がなく、コマンド＆コントロールの信号やHTTP/WebSocketの漏洩を排除し、ブラウザやアンチウイルスソフトが検出しにくくなる。ペイロードは正常に見えるブロックチェーン取引としてデバイスを離れ、取引コストが低く確認速度が速いSuiチェーンを通じて送信される。実際には、詐欺師はSuiブロックチェーン自体を隠し通しの通信路として利用している。

Socketはこの種の取引を追跡し、助記詞入力と最終的な資産損失の因果関係を確認している。資金盗難は最終的にEthereumや他の被害者資金が存在するL1ブロックチェーン上で起きる可能性が高いが、攻撃の指示は表面上のパブリックチェーンデータに隠されている。

### ブラウザのランキングシステムの構造的弱点

"Safery"の成功は、Chrome Web Storeのランキングロジックの深刻な脆弱性を露呈している。検索アルゴリズムは、キーワードの一致度、活動の急増率、評価の増加曲線といった定量的指標に高度に依存しており、これらは偽のレビューや協調インストールによって容易に操作される。

競争の少ないウォレットカテゴリでは、新規に公開されたアプリがレビュー数の急増とともに数日で無名からトップに躍り出ることができる。さらに、Googleは新規拡張機能に対して体系的な人間による審査を行わないため、詐欺師はリリース前に秘密裏に技術をテストし、静的分析やサンドボックステストで警告を発しないようにしている。

ユーザーからの通報と拡張機能の削除までには時間差がある。これは構造的な問題であり、Chromeは、過半数の合意や既知の悪意のあるソフトウェアの特徴の識別がなければ、即時にアプリを処理しない。"Safery"のペイロード——混乱させたJavaScriptとブロックチェーンのエンコード——は、従来のマルウェア検出方法を回避している。RedditやTelegramで疑わしい行動が報告されても、"Safery"は高順位を維持し続けている。

### ユーザーが識別・防御すべきポイント

セキュリティのためには、多層的な対策が必要だ。端末ユーザーは、暗号拡張機能をインストールする前に以下のチェックリストを実行すべき：発行者の履歴と身元の検証、レビューのパターンに大量の同一テキストがないか確認、公開GitHubリポジトリのリンクが提供されているか確認、権限ページに曖昧または過剰なアクセス権が含まれていないか確認。

感染してしまった場合でも、ユーザーには救済の時間枠がある。拡張機能を迅速にアンインストールし、すべてのトークンの権限を取り消し、クリーンなデバイスに資産を移動し、関連アドレスを監視する——これらのステップは損失を効果的に抑制できる。しかし、気付かずに放置したり、ホットウォレットに大量資産を保管しているユーザーにとっては、資金回復の可能性はほぼゼロだ。

### システム的長期解決策

セキュリティ研究者は、Chrome自体に対してヒューリスティック検出の強化を呼びかけている。具体的には、12または24語の助記詞入力UI要素を含む拡張機能を自動的に検知しマークする仕組みの導入だ。もう一つの提案は、ウォレットアプリの発行者に対して本人確認を義務付け、既知のブランドコードベースの検証可能なコントロール証明を提供させることだ。ウォレット関連の権限についても、より厳格な審査が必要となる。これらの権限が明らかに危険なアクセスパターンを含まなくてもだ。

ウォレット開発者も配布戦略を再考している。いくつかのチームは、Chrome Web Storeからのインストールを推奨しなくなり、モバイルアプリやデスクトップクライアントへの移行を進めている。一部は、未検証のソースからのインストールを警告する仕組みも導入している。

"Safery"事件は、根本的な困難を浮き彫りにしている：配布チャネルが高度に分散しており、多くの暗号通貨ユーザーは正規のウォレットと巧妙に作られた模倣品を見分けられない。ブラウザ環境は本質的にリスクが高く、拡張機能の操作、セッションの乗っ取り、クリップボードの窃取に加え、今や隠されたブロックチェーンデータの漏洩も脅威となっている。ウォレット系アプリが検索上位に躍り出るためにランキングアルゴリズムの脆弱性を突くと、信頼と安全の境界はすでに曖昧だ。クリーンな名前や高評価、公式の外観はもはや信頼できる指標ではない。暗号通貨ユーザーは、Web3の自己管理の約束が、誤ったツールの手に落ちると、逆に全く逆の危険に陥る可能性があることを認識すべきだ。