NFT

ウォレット詐欺にあった経験から語るマインドと対処法

あ

こんにちは!NFTクリエイターユニットの
ペスハムです。

この記事は、こんな方におすすめです!

カフェ子
カフェ子
あわわわわわわわわわわ
わんこ
わんこ
おちけつ!て言っても無理かわわわわわわわわわわわわわわわわわわわ。

詐欺にあったとき、あう前に持っておきたいマインドと対処法について理解できます

 その日は、突然、やってくる。

あわわわわわわわわわわ。

ついに、やってしまいました。。。

終わった。。。

いや、終わってないです。

あなたの周りでもたくさん詐欺は起きています。

そして、詐欺は起きるものです。

どんなに気を付けていても、詐欺はすごく確率の高い交通事故のようなものなので、日ごろから用心しておくことが大事です。

特に今回は、

  • 声のNFTのボリュームトレード1ETH達成
  • ペスへの送金総額50万円達成
  • ペスの作品が地上波テレビに放映

といった良いニュースが続けて起きたタイミングだったので、気持ちが浮かれていたのは否めないと思います。

こういう時こそ、慎重でいるべきでしたね。

どんな手口?

私がひっかかってしまった手口です。

  • 自分が信頼しているWeb3系の企業で働いている日本人の方が「OpenSeaの$Seaトークンが発行されたらしい」と言って、海外のインフルエンサー(ぽい人)のツイートを引用RT
  • そのツイート主はTwitter上でブルーチップを取得していて、フォロワー数は7万超。リプ欄にも海外の有名アイコンにしている人からノリノリの返信で溢れてた
Image a
  • トークンをEtherscanでコントラクトアドレスを検索してみても、「$Seaトークンはきちんとあった」(多分同じ名前のトークンが別にあったと推測)
  • リンクをクリックしてみるとOpenSeaと全く同じデザインで、「claim」とあった(スクショ撮っていなかったので画像はなし)。

わからない人のために「トークンのクレーム」を説明すると、プラットフォームなどのサイトでトークンをエアドロップすることが、仮想通貨界隈ではまれにあります。

例としてはENSサービスで2021年11月に$ENSトークンを発行
自律分散型組織OpenDAOから2021年12月にOpenSeaで取引したことがある人全員に$SOSトークンを発行

といった事例が過去にありました。

どちらも市場が冷え込んだタイミングでの発行だったため、「冬」と称される今、トークンが発行されてもいいのかなぁといった感覚がありました。

引用RTしていた方は日本人で、スペース等で話もしており、英語も堪能。海外の情報にも精通しているWeb3系企業勤めの方だったので、全く疑いませんでした。

(本人も知らずに共有しており、ツイートの数時間後に「これはスキャムでした失礼しました」とツイートされていました)

もちろん言うまでもなく自己責任。ペスハムが100%悪くて、その方は1mmも悪くないのは、言うまでもありません。

実際の被害と失ったもの

CNP5体とCNPJ5体を失いました。

当時のフロア価格がCNP約0.3ETH、CNPJが約0.1ETHなので計約2ETH。

約50万円の損失です。

また、このCNPとCNPJは凍結扱いになってしまい、市場に出回っても今後売買ができなくなってしまいます。

しかし、ハードウェアウォレットにCNP14体、NSM、NTPや高額な1点ものの大事なNFTは保管してあったため、事なきを得ました。

またこれは後から分かったことですが、今回の件はウォレットがすべて詐欺師のコントロール化に置かれてしまう「setApprovalForAll」ではなかったとの見解をいただいたため、すべての資産を抜かれることはありませんでした。また、今後も盗られることはなく、コレクションも同じウォレットで継続できる可能性が高いという見解をいただき、同ウォレットで今後もコレクションを継続していく判断をしました。

非常に大きな損害でしたが、ハードウェアウォレットを導入して複数ウォレットに分散していたこと、秘密鍵を取られなかったため、最大限の被害には遭いませんでした。。。

詐欺にあっても被害を最小限にするマインドと対策

私が詐欺にあってしまったのは

  • 信頼できる日本人による海外情報の投稿(NinjaDAOなどで共有されていなかったが、NinjaDAO界隈の方ではないのでそんなもんかな~と思ってしまった)
  • 自分も何となく仮説として「(そろそろトークンのドロップが)あり得るんじゃないか」と思ってたこと
  • コントラクトアドレスを調べただけで裏取りした(つもりになっていた)

このあたりを信じて拙速に行動してしまったことが原因です。

みなさんが同じような手口に合わないと言い切れるでしょうか?

私が詐欺にあった報告をしたとき、私の知らない人でも何人も「自分も詐欺に遭った」という話をしていました。

もちろんこれ以外にも自分の知っている人たちがたくさんの詐欺被害に遭ってきたのを見てきました。

まだNFTを実際に購入している人は8000~10000人などと言われています。

今回感じたのは、「自分の知らない範囲でもこれだけ事例が出てくる。相当な割合で詐欺に遭っている人がいるんじゃないか」ということです。

恐らく全体の10%に届くか届かないかくらいの方が詐欺に遭ってるんじゃないかと推測します。

年一で詐欺にあうものだと思っておく

タイトルを見るととても嫌な気分になるかもしれないですが、「年一で詐欺に遭う」それくらいの気持ちでちょうどいいのではないかと思っています。

誰もが他人が詐欺に遭ってるのを見ると「自分も気をつけなきゃな」と思うでしょう。

ただし、四六時中「気を付ける」というのは無理です。

  • とても忙しくて慌ててしまっている時
  • 何か嫌なことがあって疲れてしまっている時
  • 逆にいいことがありすぎて浮かれている時

色々なタイミングで「油断」している時は必ずあります。しかも相手(詐欺師)がどんな手を仕掛けてくるか、完全にはわからないのです。

そのため、「詐欺に遭っても最小限の被害で済むように日ごろから対策を徹底しておく」を心掛けた方が良いと思います。

ウォレットを分けて持っておく

被害を最小限にするには、一つのウォレットに入っている資産を最小限にした方が良いです。

すべての通貨とNFTを一つのウォレットに入れておくと、そのウォレットにスキャムが入ったら全財産を失います。。

しかし、ウォレットを分けて持っておけば、最悪そのウォレットが死んでしまっても、別のウォレットに入っている資産は守られます。

もちろんメタマスクのパスワード管理などは大変ですが、それだけのことをする意味はあると思います。

具体的には

  • 自分が作った作品用のウォレット
  • 作品購入用のウォレット
  • 購入して転売しても良い作品を入れておくウォレット
  • 当分転売しないガチホ作品を入れておくためのウォレット

といった形で分けておくと安心でしょう。

ハードウェアウォレットを導入する

そして、

  • 当分転売しないガチホ作品を入れておくためのウォレット

これは、できればハードウェアウォレットを導入した方が良いです。

ハードウェアウォレットとは、「基本的にインターネットに接続しないでNFTや仮想通貨を入れられるウォレット」のことで、有名なのは「レジャーナノ」などがあります。

ここで大事なこととして必ず正規代理店から購入しましょう(そうでないものはシークレットリカバリーフレーズがすでに漏れている可能性があるため)

です。

詳しくはかねりんさんの記事が参考になるかと思います。

また、ハードウェアウォレットにガチホのNFTを保管していると「Discordで特定のNFTを持っている人にのみ与えられるロールを付与できないんじゃないか」という声も訊きますが、大丈夫です。

ロールを獲得する時だけ、Discordのbot(collablandなど)にハードウェアウォレットを接続すれば、ロール獲得は可能です。

もちろんそのbotにスキャムがない正規のものかどうかはよく確認の上繋いでくださいね。

目新しい案件があったら行動する前にコミュニティで共有する

これは自分自身への反省です。

今回信頼できる日本人の方のツイートだったので、つい深く考えずに海外の人のツイートのリンクをクリックしてしまいました。

一応NinjaDAOなどのコミュニティで、投稿されていないな、ということを見ていたんですが、「まあ大丈夫だろう」と思ってしまったんです。

普段と違う案件、信頼できる人数人の参加が確認できていない案件は、必ずコミュニティで確認を取ったうえで行動しましょう!

どんなに信頼できる人でも間違えることはあります。

ファーストペンギンは一番利益を得ることができますが、その分リスクも大きいです。

目新しい案件を一人占めしようとせず、複数の人の目で見て、精査していくことが重要です。

NinjaDAOでは「質問・相談コーナー」「ハッキング駆け込み寺」などがあります。もちろん「jp-general」での相談もOKです。

調子のいいとき、良いことがあった時ほど慎重になる

これも自分自身への反省です。

人は調子がいい時ほど浮かれてしまって、普段は取らない行動をしてしまいがちです。

私自身今回

  • ペスハムの作品が初めて地上波テレビに映ることになった
  • メインで行っている「声のNFT」のボリュームトレードが1ETH達成した
  • ハムからペスへの日本円での送金総額が50万円達成

などの良いニュースが重なったタイミングでの事件でした。

いいニュースが流れた時ほど調子に乗らず、慎重に行動するようにしましょう。

詐欺にあってしまったら。

日ごろから詐欺には遭うもの、詐欺に遭った時でも(それなりに)落ち着いて行動できるように、実体験を話します。

人の経験を予め追っておくと、自分が遭った時に多少は落ち着けるのではないでしょうか。

手持ちの通貨を避難させよう(ガス代分は残す)

まず、詐欺に気づいた時点での状況を確認しました。

  • 手持ちのお金はまだ残っているか
  • 手持ちのNFTはまだ残っているか

もし残っていれば、早々に避難させましょう。

お金の避難先としては、別のウォレットでもいいですが、別のウォレットもスキャムに合っている可能性がゼロではないので、仮想通貨取引所に移した方が安心だとは思います。

ただし、NFTを移す際、イーサリアムチェーンならETH、ポリゴンチェーン(独自コントラクトの場合)ならMATICでガス代がかかるので、その分の小額の資金はウォレットに残しておきましょう。

(ここで私はテンパって全額一気に避難させてしまい、あろうことか他の通貨に換金してしまうという大失態を犯しました。。)

すべての作品をトランスファーしよう

もしまだ盗られずに残っている作品があれば、急いで他のウォレットに移しましょう。

この際ハードウェアウォレットを持っていれば、ハードウェアウォレットに退避させておけば安心です(手間はかかりますが)

こちらのブログにもっと詳しく書かれていますので、参考にしてみてください。

コレクション移転を申し出よう

最後に自分でコレクションを運営している場合、コレクションの移転をOpenSeaに申し出ましょう。

こちらは結論から申し上げると、私の場合は今回の件はウォレットがすべて詐欺師のコントロール化に置かれてしまう「setApprovalForAll」ではなかったため、コレクションを継続して利用することができました。

↑のことがわかるまでは、一度詐欺にあってしまったウォレットは、もう使うことはできないと思いました。

また、ウォレットに紐づいたコレクションに関しても同じく使えないと思いました。

今後も同じアカウントでコレクションを販売してしまうと、購入いただいたホルダー様に迷惑が掛かってしまう。

かといって、全く新しいコレクションで一から始めるのも、かなり厳しい選択。。

どうしようか考えあぐねていたところ、NinjaDAOの救世主DANKUさんから、とあるブログを紹介いただきました。

こちらのブログは、秘密鍵を取られた(完全に詐欺師に抜かれてしまった)アカウントから、別アカウントへのコレクション移転をOpenSeaに申し出て、見事成功した、という内容でした。

早速そのブログに従って、作業をしてみました。

まず、新しいメールアドレスに紐づいた、新しいウォレットアドレスを作り、OpenSeaのアカウントを立ち上げます。

あ

次にOpenSeaのトップページから、ページ最下部にある「Help Center」をクリックします

右上の「Submit a request」を押します。

あ

下の「Report Fraudulent Activity」(不正行為の報告)を選択し、必要事項を記入していきます。

  • Email address
  • Report Fraudulent Activity(不正行為の報告)
    →I was scammedを選択
  • What blockchain did you purchase your NFT on?(どのブロックチェーンか)
    →とりあえずEtheriumで
  • What’s your wallet ID?
    →スキャムにあった方のウォレットアドレスを記載
  • Where do you believe you were scammed?(なにでスキャムにあった?)
    →Via a malicious link or contract(へんなリンクを踏んだ)
  • Please provide a link to each item that was taken.(取られた被害を報告)
    →CNP5個とCNPJ5個(optionalなので書かなくても良いと思います)
  • Please provide a link to where this occurred(踏んだリンク)
    →もはや404エラーになってたけど、履歴から引っ張り出してきて貼る(optionalなので書かなくても良いと思います)
  • If applicable, please provide the first wallet address your stolen NFT(s) were transferred to.(取られたNFTの行き先)
    →Activityから報告(このやろうめと思いながら)(optionalなので書かなくても良いと思います)
  • Subject(件名)
    <div class=”simple-box4″><p>My wallet was stolen in a scam and I want to transfer my existing collection to a new wallet.
    (ウォレットが詐欺にあって盗まれたので、既存のコレクションを新しいウォレットに移管させたい)
    </p></div>
  • 本文
    <div class=”simple-box4″><p>Dear OpenSea operator.
    My name is Pessham.
    I ran a total of 8 NFT collections.VT is about 2ETH.
    Today I claimed a scam site that said I could claim OpenSea tokens, and 5 CryptoNinjaPartners and 5 CryptoNinjaPartnersJobs were stolen.
    Original account.
    (0x7177~~~~)
    has been scammed.
    New account
    (0x5b54~~~~) is launched.
    I want to transfer all items in my collection from my original account to my new account.
    I do not want to inconvenience all the folders in my collection Mr.
    Please help me.(OpenSea運営者様
    私はペスハムと申します。
    計8個のNFTコレクションを運営していました
    今日OpenSeaのSeaトークンをクレームできるという詐欺サイトをクレームしてしまい、CryptoNinjaPartners5個とCryptoNinjaPartnersJobs5個を盗まれてしまいました。
    元々のアカウント
    (0x7177~~~~)
    は詐欺にあってしまったので、
    新しいアカウント
    (0x5b54~~~~)を立ち上げました。
    元のアカウントにある8個のコレクションのアイテムを、新しいアカウントに移したいです。
    私はコレクションのすべてのフォルダー様に迷惑をかけたくないです
    どうか助けてください
    )
    </p></div>

これでOpenSeaに送ってみました。

すると、すぐさまOpenSeaからSupport ticketがメールで発行されました。

あ

Thanks for contacting OpenSea!

We’ve received your message and will respond as soon as possible.

Your ticket number is: 671774

Our customer support team is working around the clock to provide the best service possible, but due to our current support ticket volume, our responses can take up to a week. We appreciate your patience while we look into your issue.

In the meantime, we recommend checking out our Help Center here: https://support.opensea.io/hc/

As a reminder, we will never ask for your wallet seed phrase, recovery phrase, or private key. There are many sites and users on the internet pretending to be OpenSea support, so please keep this information secure and don’t share it with anyone.

– The OpenSea Support Team

OpenSeaにお問い合わせいただき、ありがとうございます。

メッセージを受け取りましたので、できるだけ早く対応させていただきます。

チケット番号:671774

カスタマーサポートチームは、最高のサービスを提供するために24時間体制で取り組んでおりますが、現在のサポートチケットの量により、回答に1週間ほどかかる場合があります。お客様の問題を調査している間、ご辛抱くださいますようお願いいたします。

それまでは、こちらのヘルプセンター(https://support.opensea.io/hc/)をご覧いただくことをお勧めします。

ウォレットのシードフレーズ、リカバリーフレーズ、秘密鍵をお伺いすることはありません。インターネット上には、OpenSeaのサポートを装ったサイトやユーザーが多数存在しますので、これらの情報は安全に保管し、誰とも共有しないようにしてください。

– OpenSeaサポートチーム

その後1時間ほどでサポートセンターの方からメールをいただきました。

Hi there,

I’m sorry this happened to you. I’m a specialist on the User Safety team and I’m here to clarify what happens next and where I can take action to help mitigate the situation.

Action I’ve taken today
I’ve banned the identified bad actor’s account and temporarily disabled the item(s) below from being bought, sold, or transferred using OpenSea, as the sale of stolen item(s) is against our Terms of Service. These item(s) will also be marked with a “reported for suspicious activity” banner on OpenSea.

It’s important to note that while we can prevent your item(s) from being bought or sold using OpenSea, your item(s) are never in OpenSea’s custody, but instead remain on the blockchain under a third party’s control. As a result, we aren’t able to recover lost funds or NFTs that have been transferred out of your wallet. We also cannot prevent your item(s) from being bought, sold, or transferred using other marketplaces or non-OpenSea services, or through direct interaction with the blockchain. I know this may be disappointing to hear.

Action needed / Next Steps
Please provide us with a copy of a formal police report identifying the stolen item(s). We need this additional information from you to validate that the item(s) should remain disabled. If we don’t receive the formal police report within 7 calendar days, we will re-enable buying, selling, and transferring of the item(s) using OpenSea.

You can make a report with your local police or online with the FBI’s IC3 https://www.ic3.gov/Home/FileComplaint. Make sure the report contains your wallet address, a list of the item(s) taken (we will need a link or token ID for each item), and a statement that the item(s) were stolen. We ask that you respond to this email to verify you are taking this action and that you supply this report within 7 calendar days.

Additionally, if you believe your wallet has been compromised and would like to “lock” and prevent its contents from being bought, sold, or transferred using OpenSea, you can find instructions in our help guide.

How to re-enable buying and selling for these item(s) 
As noted above, when we disable buying and selling of item(s) using OpenSea, it doesn’t prevent these item(s) from being sold using other marketplaces or transferred on the blockchain.

These item(s) will only be re-enabled for buying and selling using OpenSea in one of the following scenarios:
1. You don’t provide a police report with the information outlined above within 7 days of filing this report.
2. You recover your item(s). If this is the case, please reply back to us on this email thread with the following statement: “I certify under penalty of perjury that I have recovered [item URLS or token IDs] and would like for OpenSea to re-enable buying, selling, and transferring of the item(s) on OpenSea.  I understand that this action is not reversible.”
3. You have learned additional information and would like to withdraw your report that the item(s) were stolen. If this is the case, please reply back to us on this email thread with the following statement: “I certify under penalty of perjury that I have learned additional information and would like to withdraw my report that [item URLS or token IDs] were stolen. I would like for OpenSea to re-enable buying, selling, and transferring of the item(s) on OpenSea. I understand that this action is not reversible.”

Item(s) disabled for buying and selling using OpenSea:

 

こんにちは。

このようなことが起こったことを残念に思います。私はユーザーセーフティ・チームのスペシャリストであり、次に何が起こるのか、状況を軽減するためにどこでアクションを起こせるのかを明確にするためにここにいます。

本日実施した措置
盗品の売買は利用規約に反するため、当該悪質業者のアカウントをBANし、以下のアイテムをOpenSeaでの売買・譲渡を一時的に禁止しました。また、これらのアイテムにはOpenSea上で “reported for suspicious activity “のバナーが表示されます。

注意すべき点は、私たちはあなたのアイテムがOpenSeaを使って売買されるのを防ぐことができますが、あなたのアイテムは決してOpenSeaの管理下にはなく、第三者の管理下でブロックチェーン上に残っていることです。そのため、お客様のウォレットから送金された紛失資金やNFTを回収することはできません。また、他のマーケットプレイスやOpenSea以外のサービス、またはブロックチェーンとの直接のやり取りによって、お客様のアイテムが売買・譲渡されるのを防ぐことはできません。これを聞いてがっかりされるかもしれませんが、ご了承ください。

必要なアクション/次のステップ
盗まれた品物を特定する正式な警察報告書のコピーをご提供ください。そのアイテムが無効にされたままであることを確認するために、この追加情報が必要です。7日以内に正式な警察への届け出がない場合、OpenSeaを使ったアイテムの売買や譲渡を再び可能にします。

地元の警察に通報するか、FBIのIC3 https://www.ic3.gov/Home/FileComplaint、オンラインで通報することができます。被害届には、あなたのウォレットのアドレス、盗まれたアイテムのリスト(各アイテムのリンクまたはトークンIDが必要です)、アイテムが盗まれたことを示す文章が含まれていることを確認してください。このメールに返信して、このアクションを行っていることを確認し、7日以内にこのレポートを提供するようお願いします。

さらに、あなたのウォレットが侵害されたと思われ、OpenSeaを使用してその内容を売買または譲渡できないように「ロック」したい場合は、ヘルプガイドで手順を確認することができます。

これらのアイテムの売買を再び有効にする方法
前述の通り、OpenSeaを使ったアイテムの売買を無効にしても、これらのアイテムが他のマーケットプレイスで販売されたり、ブロックチェーン上で転送されたりすることは防げません。

これらのアイテムは、以下のシナリオのいずれかにおいてのみ、OpenSea を使った売買が再び可能になります。
1. 1. この報告書を提出してから7日以内に、上記の情報を記載した警察報告書を提出しない場合。
2. 2. 品物を回収した場合。この場合、このメールスレッドに次のような文章を添えて返信してください。「私は偽証罪に基づき、私が [アイテムの URL またはトークン ID] を取り戻したことを証明し、OpenSea でアイテムの売買や譲渡を再開させたいと考えています。 このアクションは元に戻すことができないことを理解しています。
3. 3. 追加情報を得たので、アイテムが盗まれたという報告を取り下げたい。この場合、このメールスレッドに以下の文章を添えて返信してください。「私は、偽証罪に基づき、追加情報を入手したため、[アイテムの URL またはトークン ID] が盗まれたという報告を撤回することを証明します。私はOpenSeaでアイテムの売買や譲渡を再び可能にすることを希望します。この措置は元に戻せないことを理解しています。”

OpenSeaを使ったアイテムの売買が無効になっています。

つまり、

  • 詐欺師のBANを実施した
  • 盗品を売買できないような措置を実施した
  • 紛失資金やNFTを回収することは不可能である
  • ただし7日以内に警察の報告書を提出しないと再び売買可能になる

ということです。

こちらの「警察の報告書が必要」という内容についてmiinさんがツイートされていました。

私の場合、盗難されたCNP,CNPJが売買されることに関しては特段問題がないので、警察報告書の提出は必要ない(そもそも日本では無理だろうが)という判断をしました。

しかし、私の質問「コレクションを他のアカウントに移せるのか」という質問には全く答えてくれませんでした。。。

NinjaDAOで相談しよう

その後、NinjaDAOの「ハッキング駆け込み寺」の中で、詳しい方たちにコントラクトを見ていただき、「今回の件は秘密鍵を取られたわけではない」という見解をいただいたので、詐欺に遭ったウォレットでコレクションを継続することを判断しました。

あ あ

ご回答いただいたCHIBIさん中田さんけいすけさんDANKUさん、誠にありがとうございました!

念の為、旧ウォレットのパスワードを変更しておく

こちらは念のためですが、パスワードを変更しておきました。

すでにログインしている場合はアイコンのマークから「ロック」

あ

「パスワードを忘れた場合」をクリック

あ

シークレットリカバリーフレーズを入れ直して新しいパスワードを入力すればパスワード変更ができます。

あ

さらに念のため、メールアドレスのパスワードも変更しておく

こちらも念のためです。ウォレットはメールアドレスに紐づいているため、そのメールアドレスのパスワードも変更しておきました。

Gmailの場合、トップページからアイコンをクリックして「Googleアカウントを管理」を選択

あ

「セキュリティ」から「パスワード」を選択で変更できます。

あ

あとはこれらをひたすらTwitterやスタンドFM、NinjaDAO Voicyで発信し続けました。

まとめ

いかがでしたか?

今回私はとっても痛い目を見ました。

しかし、それを教訓に自分自身への反省とする。そしてそれを情報共有して、集合知にする。この「他者に貢献している」感覚が、私のしんどい気持ちを和らげてくれました。

クリプトやNFTはまだまだ先進的で未成熟な世界です。

これから多くの人が参入してきて、多くの人が痛い目を見て、そして改善されていくのだと思っています。

痛い目を見てしまった方、どうかクリプトやNFTを嫌いにならないでいただきたいです。

長い歴史の中で、あなたの痛い目は、とても重要なことで、これからの発展に結びつく過程の一つとなります。

そしてできる限り痛い目を見た経験を発信して、一人でも多くの方に広めていきましょう。

あなたの経験と発信が、だれかの礎になる、そう思います。

体験セッションを受けていただいた方の声

 

コーチングに興味ある方や質問してみたい方はXのDMまたは公式LINEへメッセージをお願いします。

【ぜひ聴いてください】
ラジオ毎日更新!「価値提供マインド」について発信しています!

FAN PASSの活動を応援できるペスハムのFAN PASS、最も数字が大きいナンバーを購入してください。応援お待ちしています!