アクティビティに「〇〇へ0.1 ETHを送金しました」など、身に覚えのない送金履歴が表示されることがあります。しかし、実際にウォレットを確認すると資産額に変動はありません。
これは、スマートコントラクトが発行するTransferイベントを悪用した「イベント偽装(Event Spoofing)」であり、実際に資産が送金されたことを意味するとは限りません。
なお、これは「見た目だけの偽装」であり、実際に許可(Approval)を悪用されて資産が動かされた場合とは異なります。DAppsに接続した覚えがあり、実際に資産が減っている場合は、DAppsへウォレットを接続する際の注意もあわせてご確認ください。
仕組み
Ethereumなどのブロックチェーンでは、スマートコントラクトは処理内容をイベントとして記録できます。
一部の悪意あるコントラクトは、この仕組みを悪用し、実際にはトークンを移動させていないにもかかわらず、送金が行われたように見えるTransferイベントだけを記録します。さらに、正規のトークンと似た名前を偽装したコントラクトを使うことで、より本物らしく見せかけることもあります。
目的と手口
主な目的はアドレスポイズニングです。
攻撃者は、自分のアドレスを送金相手であるかのように履歴へ表示させます。ユーザーが次回送金時に履歴からアドレスをコピーすると、攻撃者のアドレスへ誤送金してしまう可能性があります。
特に、攻撃者はアドレスの先頭や末尾が正規の送金先と似たものを生成し、見間違いを誘うことがあります。
対処法
送金先を履歴からコピーすることは避け、信頼できるアドレス帳や公式情報から送金先を取得してください。
また、送金前にはアドレスの先頭だけでなく末尾も含めて確認してください。
身に覚えのない送金履歴が表示されていても、ウォレット残高や実際のトランザクション内容に変化がなければ、資産が失われているとは限りません。