暗号資産のフィッシング詐欺に遭ったら？被害後にやるべき対処法を順番に解説

フィッシングサイトに情報を入力してしまったあと、多くの人はまずパスワードの変更に手をつけます。通販サイトやSNSのアカウントであれば、それで正しい対応です。ただ、暗号資産（仮想通貨）を持っている場合は、その前にやるべきことがあります。

暗号資産のフィッシングは、情報を盗まれて終わる被害ではないからです。狙われているのは、資産そのものを動かせる鍵にあたる情報です。そして一度実行された送金は、誰にも取り消せません。アカウント側を守り固めている最中に、資産のほうが先に出ていってしまうことがあります。

珍しい事故でもありません。当メディアが暗号資産の利用者に対して実施した調査（有効回答296名）では、67.9%がフィッシングや偽サイトに遭遇した経験があると答えています。

大事なのは、気づいたあとに何から手をつけるかです。以下は、被害に気づいた直後からそのまま動けるように、順番どおりに並べています。まだ何もしていないなら、上から順に進めてください。

フィッシングで暗号資産の情報を盗まれたら最初にやるべきこと

フィッシングサイトにログイン情報を入力してしまった。ウォレットに出てきた確認画面を、中身をよく読まないまま承認してしまった。そう気づいた直後にやるべきことは、次の4つです。並び順そのものに意味があるので、できるだけこのまま進めてください。

1. 資産の避難：手元に残っている暗号資産を、攻撃者の手が届かない場所へ移す
2. アカウント側の防御：メールと取引所のパスワード・2段階認証を立て直す
3. 証拠の保全：何が起きたのかを後から示せる記録を残す
4. 通報・相談：取引所と公的な窓口に被害を伝える

多くの人が真っ先に手をつけるのは、2番目のパスワード変更です。ただ、暗号資産の被害では、その前に1番目を終わらせる必要があります。暗号資産の送金には、取り消しの仕組みがないからです。銀行振込であれば組戻しを依頼できる場合がありますが、ブロックチェーン上で承認された送金は、送った本人からも取引所からも巻き戻せません。出ていってしまった分については、打てる手がほとんど残らないということです。

一方、パスワードの変更や2段階認証の再設定は、攻撃者がこれからログインしてくるのを防ぐための対策です。すでにウォレットの操作権限を渡してしまっている場合、アカウント側をいくら固めても、資産が流出していく経路はふさがりません。だからこそ、まだ動かせる資産を先に逃がします。

その資産避難で最初に確認したいのは、どこに何が残っているかです。取引所に預けている分と、自分で管理しているウォレットに入れている分とでは、取るべき動きが変わります。

取引所に預けている分は、少し事情が違います。資産が取引所の管理下にあるため、取引所側で口座を止めれば、出金そのものを塞げるからです。自分で出金や送金を急ぐほかに、取引所へ連絡して口座の利用停止や出金制限をかけてもらうという方法もあります。ログイン情報が漏れている状態では、こちらが手続きをしている最中に別の操作をされる可能性があるためです。国内の取引所は、問い合わせフォームやサポート窓口で不正アクセスの申告を受け付けているところが多く、電話窓口を用意している事業者もあります。連絡の際は、心当たりのない取引や出金がないかも、あわせて確認してもらってください。

自分で管理しているウォレットの場合は、新しいウォレットを作り、残っている資産をそちらへ送ります。このとき、新しいウォレットのシードフレーズは、必ず新しく生成されたものを使ってください。同じシードフレーズから作り直したアドレスは、漏れた情報でそのまま操作できてしまいます。いったん外部に渡ったシードフレーズは、パスワードを変えても、アプリを入れ直しても無効にはなりません。そのウォレットはもう使わない、という割り切りが必要になります。

入力したのがシードフレーズではなく、ウォレットの接続画面での承認だった場合は、承認の取り消し（Revoke）も資産避難の一部になります。こちらは手順が少し込み入っているため、次の章で順を追って説明します。

2つ目のアカウント側の防御では、着手する順番をもう一度間違えやすくなります。取引所のパスワードだけを変えても、メールが乗っ取られていればパスワードの再発行をやり直され、元に戻されてしまうためです。まずメールのパスワードと2段階認証を固め、そのうえで取引所やウォレットサービスの認証情報を変更してください。同じパスワードを他のサービスでも使い回していたなら、そちらも合わせて変えます。2段階認証は、SMSで受け取る方式より、認証アプリやセキュリティキーを使う方式のほうが、電話番号を狙った乗っ取りに強いとされています。取引所にAPIキーを発行していたり、外部サービスと連携させていたりする場合は、その連携も解除しておきましょう。

3つ目の証拠保全は、後回しにすると取り返しがつかなくなる作業です。被害の直後は、不審なメールを削除したい、履歴を消したいという気持ちが働きますが、その前に記録を残してください。一般社団法人日本暗号資産等取引業協会（JVCEA）も、事件性が認められる場合には捜査がおこなわれることがあり、その際には送金履歴などの証拠資料の保存が重要だと案内しています（参照：被害に遭われた方へ｜一般社団法人日本暗号資産等取引業協会）。

残しておきたいのは、次のような記録です。

• フィッシングサイトのURL（アドレスバーごと画面を撮っておく）
• きっかけになったメール・SMS・DMの本文と、送信元のアドレスや電話番号、アカウント名
• 情報を入力した日時、承認の操作をした日時
• 取引所のログイン履歴・取引履歴・出金履歴
• ウォレットから出ていった送金のトランザクションID（ハッシュ）と、送金先のアドレス

スクリーンショットは、必要な部分だけを切り取るのではなく、URLや日時が画面に写った状態で撮っておくと、後から説明する手間が減ります。取引所のサポートや警察に状況を伝える場面では、記憶をたどった口頭の説明より、こうした記録のほうが早く話が通ります。

最後が通報と相談です。取引所への被害申告は、口座を止めてもらうための連絡とは別に、何が起きたのかを正式に伝える手続きとして必要になります。あわせて、警察や消費生活センターといった公的な窓口にも相談してください。どの窓口を選ぶかは被害の内容や状況によって変わるため、相談先の考え方は後の章で整理します。

なお、通報すれば出ていった資産が戻ってくる、というわけではありません。暗号資産の被害は、クレジットカードや銀行振込の被害と回収の見込みが異なります。この点は誤解されやすいので、後の章であらためて扱います。

気づくのが遅れた場合でも、この順番をたどる意味はあります。ウォレットに与えた承認が残っていれば、被害がその後も続く可能性があるためです。まず手元に残っているものを守り、それから記録を残す。この2つを先に済ませておけば、そのあとの相談や手続きも進めやすくなります。

暗号資産ウォレットの承認履歴を確認する｜Revoke（承認取り消し）のやり方

ウォレットを取引所以外のサービスにつないだことがあるなら、この章の作業は必ず確認してください。フィッシングの被害で「パスワードを変えたのに、そのあとも資産が減り続けた」という状況が起きるとすれば、原因の多くはここにあります。

分散型取引所（DEX）やNFTのマーケットプレイスなど、ウォレットを接続して使うサービスでは、操作の途中で「承認（Approve）」という確認画面が出ます。これは、そのサービスのプログラム（スマートコントラクト）に対して、自分のウォレットにあるトークンを動かす権限を渡す手続きです。送金そのものではなく、今後この相手が引き出してよい、という許可を出す操作だと考えると分かりやすいと思います。

この許可には、やっかいな性質が2つあります。ひとつは、一度与えると自分で取り消すまで残り続けること。もうひとつは、扱える金額に上限を設けず、そのトークンの残高すべてを対象にする形の承認が広く使われていることです。操作のたびに確認を求められる煩わしさを減らすための設計なのですが、相手が悪意を持っていた場合には、その設計がそのまま被害の入り口になります。

フィッシングサイトは、この仕組みを利用します。よく知られたサービスの見た目をまねたページを用意し、ウォレットの接続を促し、認証や確認と称して承認ボタンを押させる。画面上は正規のサービスに見えていても、実際に承認しているのは攻撃者が用意したコントラクトです。承認した時点で、資産を引き出す権限が相手に渡ります。

ここで押さえておきたいのが、この承認はパスワードやログイン情報とは別のところに記録されている、という点です。承認はブロックチェーン上の記録として残るため、ウォレットのパスワードを変えても、アプリを入れ直しても、端末を買い替えても無効にはなりません。アカウント側をどれだけ固めても、承認が生きている限り、相手は同じ権限を使い続けられる状態にあります。

しかも、権限を得た側がすぐに引き出してくるとは限りません。残高が増えるタイミングまで待つこともできる立場にあるからです。被害の直後に何も起きていないことは、承認が無害だったことの証明にはなりません。

そこで必要になるのが、承認履歴の確認と取り消し（Revoke）です。おおまかな流れは次のとおりです。

1. 承認の一覧を確認する。*ウォレットの承認状況を確認できる無料の管理ツールに自分のウォレットアドレスを入力するか、ウォレットを接続すると、そのアドレスが現在どのコントラクトに何の権限を与えているかが一覧で表示されます。ブロックチェーンの記録を閲覧できるエクスプローラー側にも、同様の機能があります。
2. 取り消す対象を選ぶ。*見覚えのないコントラクト、もう使っていないサービス、金額の上限がない承認が候補になります。被害に心当たりがある日の前後に結ばれた承認は、特に注意して見てください。
3. 取り消しを実行する。*取り消しもブロックチェーン上の取引として処理されるため、ネットワーク手数料（ガス代）がかかります。原則として承認1件ごとに手数料がかかるため、取り消す数が多いときは費用を見込んでおいてください。
4. 一覧から消えたことを確認する。*処理が完了すると、そのコントラクトは権限を持たない状態になります。

見落としやすいのが、承認がネットワークごとに別々に管理されている点です。複数のチェーンで同じアドレスを使っているなら、チェーンを切り替えて、それぞれで確認する必要があります。また、承認管理ツールを名乗る偽サイトも存在します。検索結果の広告枠からたどるのではなく、URLを自分で確かめてからアクセスしてください。

この作業は、暗号資産を持っている人のあいだでも、まだ広く知られているとは言えません。当メディアが実施した調査（有効回答746名）では、Revokeについて「知らない」と答えた人が30.4%、「聞いたことはある」にとどまった人が30.7%でした。合わせて61.1%が、実質的に手をつけていない状態です。「知っていて定期的に実施している」と答えた人は12.7%にとどまりました。

裏を返せば、承認という仕組みの存在を知らないまま、過去に結んだ権限を抱えたウォレットを使い続けている人が、それだけいるということです。被害に気づいたタイミングは、こうした古い承認をまとめて棚卸しする機会でもあります。

ただし、Revokeは万能ではありません。取り消せるのは、これから引き出されるかもしれない分の権限だけです。すでに送金されてしまった資産が、この操作で戻ってくることはありません。また、シードフレーズや秘密鍵そのものが相手に渡っている場合は、承認を取り消しても、ウォレットごと操作できる状態は変わりません。このケースでは、前の章で触れたとおり、新しいウォレットへ資産を移すほうが先になります。

では、すでに出ていってしまった資産は、どこまで取り戻せる見込みがあるのか。次の章で見ていきます。

暗号資産は盗まれたら取り戻せない？返金・補償の実態

被害に気づいた人がいちばん知りたいのは、結局のところ「返ってくるのか」だと思います。ここは期待と現実のずれが大きいところなので、順を追って整理します。

クレジットカードが不正に使われた場合、カード会社に連絡すれば、所定の条件のもとで不正利用分が補償される仕組みが一般に用意されています。届け出の期限や本人の過失の有無といった条件はつくものの、被害者と加害者のあいだに入って損失を引き受ける主体が、制度として存在しているわけです。ネット上の詐欺に遭ったとき、まずカード会社や銀行に連絡するという発想が浮かぶのは、この経験があるからでしょう。

暗号資産では、この前提が成り立ちません。理由は大きく3つあります。

1つ目は、送金を取り消す手段がないことです。この記事の冒頭でも触れましたが、ブロックチェーンに記録された送金は、承認された時点で確定し、あとから誰かの判断で巻き戻すことはできません。うっかりの誤送金でも、だまし取られた送金でも、扱いは同じです。

2つ目は、あいだに入る主体がいないことです。カードには発行会社という窓口がありますが、自分で管理しているウォレットには、管理を任せている事業者がそもそもいません。秘密鍵を自分で持つというのは、事業者を介さずに資産を動かせるということであり、裏返せば、事業者に頼れないということでもあります。取引所に預けていた資産についても、漏れたのが利用者側のログイン情報である場合、事業者が必ず補償するとは限りません。補償の範囲は各社の規約によって異なります。

3つ目は、追跡できることと取り戻せることが別だという点です。ブロックチェーンの記録は公開されているため、盗まれた資産がどのアドレスへ送られ、その後どこへ動いたかは、誰でもたどれます。ただ、アドレスを見ても持ち主が誰かは分かりません。海外の事業者を経由されたり、資金の流れを分かりにくくする仕組みを挟まれたりすると、そこから先の身元にたどり着くのは容易ではなくなります。追えるのに戻らない、という状況が起こりうるのが、暗号資産の被害の特徴です。

実際の復旧状況も見ておきます。当メディアが実施した、暗号資産を失った経験のある人への調査（有効回答292名）では、失った資産を全額取り戻せた人が36.31%、一部だけ取り戻せた人が39.11%、まったく取り戻せなかった人が18.99%でした。

数字だけを見れば、7割以上が何らかの形で取り戻せているように読めます。ただし、この調査が対象にしているのは盗難に限りません。端末をなくした、パスワードを忘れたといった、自分側の事情で資産にアクセスできなくなったケースも含まれています。取り戻せた人の多くは、自分の資産に戻れなくなった状態を解消できた人であり、第三者のウォレットへ送られた資産が返ってきた人と同じには扱えません。

むしろ、この調査で目を向けるべきは、まったく取り戻せなかった18.99%のほうです。自分のミスが原因のケースまで含めた全体の数字でこの水準である以上、第三者に送金されてしまったケースがこれより楽観的だと考える材料はありません。

では打つ手がまったくないのかというと、そうとも言い切れません。次のようなケースでは、回収につながる可能性が残ります。

• 送金先が国内の取引所の口座で、取引所や捜査機関への連絡が早く、口座の凍結が間に合った場合
• 取引所側のシステムや管理体制に問題があったことが明らかで、事業者が補償の対象と判断した場合
• 利用しているサービスに補償の規定があり、その条件を満たしている場合
• 相手の身元が特定でき、法的な手続きを取れる場合

どれも条件が厳しく、必ず結果につながるものではありません。ただ、共通しているのは、早く動いた人ほど可能性が残るという点です。口座の凍結は時間との勝負ですし、補償の申し出も法的な手続きも、何が起きたのかを示す記録がなければ始まりません。冒頭で証拠の保全を急ぐようお伝えしたのは、このためです。

現実的な構えとしては、戻ってくる前提で動くのではなく、戻らない可能性を見込んだうえで、被害をこれ以上広げないことを優先する。そのうえで、回収の道が残っていないかを、しかるべき窓口に確認していく。この順番が、結果としていちばん損を小さくします。

では、その窓口はどこを選べばよいのか。次の章で整理します。

被害に遭ったら誰に相談すべきか｜年代別・相談先の判断軸

相談先は一つではありません。そして、どこを選ぶかによって、その後の進み方が変わります。まず、実際に被害に遭った人がどこへ相談しているのかを見てみます。当メディアが実施した調査（有効回答746名）では、頼る先が年代によってはっきり分かれていました。

この表の読み方には注意が必要です。ここに並んでいるのは、各年代が実際に選んでいる相談先であって、選ぶべき相談先ではありません。自分の年代で多数派になっている行動が、そのまま妥当とは限らない。そういう前提で見てください。とくに差が出るのが、20代のSNSです。

SNSでの相談は、心理的なハードルがいちばん低い選択肢です。深夜でも書き込めますし、似た経験をした人の反応もすぐ返ってきます。ただ、被害に遭ったことを公開の場に書くという行為には、別のリスクがついてきます。その投稿を見た相手から、資産を取り戻せる、復旧を代行できる、といった申し出が個別に届くようになるためです。

そこで求められるのは、たいてい次のどれかです。着手金や手数料の先払い、ウォレットの接続、シードフレーズや秘密鍵の提示。いずれも応じてはいけません。ここまで見てきたとおり、シードフレーズを渡すことは、ウォレットの中身を渡すことと変わりません。復旧を名乗る相手にそれを伝えれば、手元に残っていた資産まで失いかねません。一度被害に遭った人が、続けてもう一度被害に遭う。二次被害と呼ばれるのは、この形です。

判断の目安をひとつ挙げておきます。公的な相談窓口が、SNSのダイレクトメッセージで個別に営業をかけてくることはありません。相手から近づいてきた「助けます」は、いったん疑ってかかるくらいでちょうどよいと思います。

では、どこを優先すべきか。公的な窓口を先に押さえてください。

ひとつは警察です。各都道府県の警察には、サイバー犯罪に関する相談窓口が設けられています。だまし取られた経緯と送金の記録を持ち込めば、事件として扱えるかどうかの判断につながります。最初にお伝えした証拠の保全が効いてくるのは、この場面です。手ぶらで行くより、記録を整理してから行くほうが、話ははるかに早く進みます。

もうひとつは消費生活センターです。こちらは取引や契約に関するトラブルの相談を幅広く受け付けている窓口で、どこに相談すればよいか分からない段階の入口として使えます。捜査をおこなう機関ではないため警察の代わりにはなりませんが、状況の整理や、次に取るべき手続きの案内を受けられます。

どちらにも電話の相談窓口が用意されています。警察は警察相談専用電話（#9110）、消費生活の相談は消費者ホットライン（188）が入口です。一般社団法人日本暗号資産等取引業協会も、暗号資産の被害に遭った人に向けた相談先として、この2つを案内しています（参照：被害に遭われた方へ｜一般社団法人日本暗号資産等取引業協会）。

この2つは、どちらか一方を選ぶものではありません。両方に相談して構いませんし、取引所への被害申告とも並行して進められます。相談先を1つに絞ろうとして時間を使うくらいなら、思いついた順に連絡したほうが結果的に早く進みます。

最後に、いちばん避けたい選択にも触れておきます。同じ調査では、20代と40代で、実質的に泣き寝入りとなった人が32.8%と、他の年代より高くなっていました。3人に1人近くが、被害を抱えたまま区切りをつけている計算になります。

金額が小さい、自分の不注意だった、説明するのが面倒。相談しない理由はいくらでも作れます。ただ、届け出のない被害は、統計にも捜査にも残りません。金額の大小にかかわらず、まずは窓口に伝えておく価値があります。

ここまでが、被害に気づいてからの動き方です。次の章からは、そもそもなぜ盗まれてしまうのか、その仕組みのほうを見ていきます。

なぜ盗まれるのか｜秘密鍵・シードフレーズが狙われる仕組み

フィッシングが最終的に狙っているのは、取引所のパスワードではありません。秘密鍵とシードフレーズと呼ばれる、ウォレットの根幹にあたる情報です。ここを押さえられてしまうと、アカウント側の防御をどれだけ固めても意味をなさなくなります。

では、この2つは具体的に何なのか。そして、多くの人が普通にやっている扱い方の、どこに隙が生まれるのか。順に見ていきます。

シードフレーズ・秘密鍵とは何か

秘密鍵は、ウォレットに入っている暗号資産を動かすための鍵にあたるデータです。送金の操作をすると、裏側ではこの鍵を使って署名がおこなわれています。銀行の暗証番号に近い役割ですが、決定的に違うのは、再発行してくれる窓口が存在しないことです。

シードフレーズは、その秘密鍵を復元するための、12個や24個の英単語の並びです。リカバリーフレーズ、復元フレーズと呼ばれることもあります。ウォレットを新しく作るときに画面に表示され、紙に書き写すよう促されるのがこれです。シードフレーズから秘密鍵が導き出される関係になっているため、シードフレーズさえ手元にあれば、端末が壊れてもウォレットを復元できます。

順番を整理すると、いちばん上にシードフレーズがあり、そこから秘密鍵が作られ、秘密鍵で資産が動きます。守る優先度が最も高いのは、この並びのいちばん上にあるシードフレーズです。

そして、それが他人の手に渡ると何が起きるか。相手は同じウォレットをそのまま自分の端末で復元し、資産を動かせるようになります。パスワードのように変更することはできませんし、利用を止める手続きもありません。フィッシングサイトがログイン情報ではなくシードフレーズの入力を求めてくるのは、これが一度手に入れば、それ以上何も要らないからです。

保管方法の落とし穴｜スマホ保存・紛失のリスク

問題は、この情報がどこに置かれているかです。当メディアが実施した秘密鍵の管理に関する調査（有効回答303名）では、スマートフォンのメモ帳やスクリーンショットで保存している人が32.45%いました。3人に1人近くという割合です。

不注意だと切り捨てる話ではないと思います。英単語を24個も手で書き写し、なくさないように保管し続けるのは面倒です。スマホのメモに入れておけばいつでも確認できますし、取引のたびに紙を探すよりはるかに現実的に見えます。合理的な判断として、そうしている人が多いということでしょう。

ただ、この置き場所には構造的な問題があります。スマートフォンは通信できる端末です。外から届いたリンクを開く端末であり、アプリを入れる端末であり、多くの場合クラウドと同期している端末でもあります。読める形の秘密鍵をそこに置くということは、フィッシングや情報を抜き取る型の攻撃の射程内に、鍵そのものを置いているのと同じです。画面をのぞかれる、端末を落とす、同期先のアカウントを乗っ取られる。経路はいくつもあります。

実際、同じ調査では、秘密鍵を自分で管理している人の8割超が、ヒヤリとした経験があると答えています。大事に至らなかっただけで、危ない場面そのものは珍しくない、ということです。

では、実際に資産を失った人は何が原因だったのか。先ほどの資産消失に関する調査（有効回答292名）では、次のような原因が挙がっています。

• 端末の紛失　50.28%
• パスワードの忘却　45.81%
• フィッシング・偽アプリ　37.43%
• 秘密鍵の漏洩　16.20%

この並びを見ると、秘密鍵の漏洩は、件数のうえでは最も多い原因ではありません。ただ、一件あたりの重さが違います。端末をなくした、パスワードを忘れたという原因は、シードフレーズが手元に残っていれば、別の端末でウォレットを復元できる余地があります。一方、秘密鍵やシードフレーズそのものが他人の手に渡った場合は、復元して取り戻すという発想自体が成り立ちません。相手も同じ鍵を持っているからです。

とはいえ、シードフレーズさえ控えておけば安心、という話でもありません。シードフレーズの紛失について調べた別の調査では、なくしてしまった人が資産を復旧できた割合は45.3%にとどまりました。誰にも盗まれておらず、自分のミスだけが原因のケースですら、半分以上は戻ってこないということです。

ここまでを踏まえると、秘密鍵とシードフレーズの扱いは、通信する端末から切り離し、読める形で残さない、という一点に尽きます。紙に書いて自宅で保管する、専用の機器に保存する、といった方法が勧められるのはこのためです。メモアプリやスクリーンショット、クラウドのアルバムに置いたままになっているなら、この記事を読み終えたあとにでも、場所を移しておいてください。

フィッシング詐欺を見分ける方法｜次の被害を防ぐために

最後に、次の被害を防ぐ話をしておきます。被害に遭ったあとは、支援を装った接触が増えます。見分ける力が必要になるのは、むしろこれからです。

フィッシングの入口は、たいていメール、SMS、SNSのメッセージです。そして文面には共通の型があります。アカウントが凍結された、不正なログインを検知した、至急確認してほしい。要するに、落ち着いて考える時間を奪う書き方です。そのうえで本物そっくりのページへ誘導し、ログイン情報やシードフレーズを入力させます。

見分け方の要点は、そう多くありません。次の4つを習慣にしておくだけで、入口で止められる場面が増えます。

• メールやメッセージのリンクからはログインしない。公式サイトはあらかじめブックマークしておき、必ずそこから開く
• URLを最後まで確認する。1文字違いの綴り、余計な単語がついたドメイン、見慣れない末尾は疑う
• 急かす文面・不安をあおる文面が来たら、その場で操作せず、公式アプリや公式サイトから自分で状況を確認する
• ウォレットに出てきた承認画面は、何を許可しようとしているのかを読んでから押す

そして、これだけは覚えておいてください。正規の取引所やウォレットが、シードフレーズや秘密鍵の入力を求めてくることはありません。サポートを名乗る相手でも同じです。求められた時点で偽物だと判断して構いません。

当メディアが実施したフィッシングに関する調査（有効回答296名）では、実際に操作まで進んでしまったと答えた人は4.05%でした。多くの人は、どこかの段階で気づいて引き返しています。

では、そこで何を見ているのか。同じ調査で、フィッシングや偽サイトを見抜くために普段意識しているポイントを聞いたところ、日本語の不自然さを挙げた人が56.8%にのぼりました。文面のぎこちなさが、多くの人にとっての主な判断材料になっているということです。

ここに、これから効いてくる変化があります。自然な日本語の文章を誰でも生成できる道具が広まった以上、この手がかりは弱くなっていくと考えたほうが安全です。文面の違和感で見抜く方法は、今後あてにしにくくなります。

残るのは、文面ではなく導線で判断する習慣です。どれだけ自然な日本語で書かれていても、届いたリンクを踏まずに、自分のブックマークから公式サイトを開けば、偽サイトにはたどり着きません。上の4つのうち、最初のひとつだけでも徹底しておく価値があります。

まとめ

フィッシングで暗号資産の情報を盗まれたと気づいたら、資産の避難、アカウント側の防御、証拠の保全、通報という順番で進めてください。パスワードの変更から手をつけたくなりますが、暗号資産の送金は取り消せないため、まだ動かせる資産を逃がすほうが先になります。

ウォレットを取引所以外のサービスにつないだことがあるなら、承認（Approve）の履歴も確認してください。フィッシングで結ばれた承認はブロックチェーン上に残るため、パスワードを変えても、アプリを入れ直しても無効にはなりません。取り消し（Revoke）で止められるのはこれから引き出される分だけですが、放置すれば被害が続く余地を残すことになります。

回収の見込みについては、期待を調整しておく必要があります。クレジットカードの不正利用と違い、暗号資産にはあいだに入って損失を引き受ける主体が原則いません。取引所の口座凍結が間に合った場合など、可能性が残るケースはありますが、どれも早く動いた人にだけ開かれています。証拠の保全を急いでほしいとお伝えしたのは、このためです。

相談先は、警察のサイバー犯罪相談窓口と消費生活センターを優先してください。どちらか一方に絞る必要はなく、取引所への被害申告とも並行して進められます。SNSに被害を書き込んだあと、個別に届く「取り戻せます」という申し出は、二次被害の入口になりやすいため相手にしないでください。

そして、狙われている対象は秘密鍵とシードフレーズです。スマートフォンのメモやスクリーンショットに置いたままになっているなら、通信する端末から切り離してください。次の被害を防ぐという意味では、届いたリンクからログインせず、公式サイトは自分のブックマークから開く。この習慣ひとつでも、入口で止められる場面は増えます。

この記事を読み終えたあと、最初にやることを1つだけ選ぶなら、ウォレットの承認履歴の確認です。まだ手をつけていないなら、今すぐ開いてみてください。