偽のGTA6リーク版が仮想通貨ウォレットを空にする

今年、Grand Theft Auto VI(GTA6)を題材にした詐欺サイトが、3通りの手口で訪問者を狙っているのをMalwarebytesは確認してきました。

6月には、数百ドル相当の仮想通貨と引き換えに「アーリーアクセス」を販売するGTA6の詐欺サイトを取り上げました。支払っても何も手に入らず、返金もできないという内容でした。8月には、ゲーム本体の代わりに情報窃取マルウェアを送り込む偽のExtended Look・デモサイトを発見しています。

今週調査したサイトは、GTA6のファンによるカウントダウンサイトを装いながら、リーク版のゲームを販売すると謳うものでした。訪問しただけでウォレットドレイナー(接続されたウォレットから仮想通貨などの資産を盗み出すよう設計されたコード)が読み込まれます。仮想通貨での支払いを選ぶと、ドレイナーはウォレットの接続を要求してきます。複数のブロックチェーンネットワーク上の資産を標的にできる仕組みです。

ページの見た目

このサイトの巧妙な点は、ページの大部分に正確に見える情報が使われていることです。11月19日までのライブカウントダウン、Leonidaの地図、リリース情報やゲームプレイのタイル画像が並んでいます。リリース情報はRockstar自身の発表と一致しており、GTA6はPlayStation 5とXbox Series X|S向けに11月19日に発売予定で、PC版はRockstarからまだ発表されていません。

その正確な情報の中に、2つの「販売案内」が紛れ込んでいます。1つはリーク版を50ドルで販売するというもの。もう1つは同じものを仮想通貨で、1 SOL(執筆時点で約102ドル相当)で提供するというものです。

ページはさらに、リーク版を提供する他のサイトはすべて詐欺であり、このサイトだけが安全な購入先だと訪問者に伝えます。他の詐欺師について警告するのは、すでに疑いを持っている相手を安心させるためによく使われる手口です。

このサイトは誰でも確認できる形で自己矛盾も抱えています。フッターには「このページは購入・ダウンロード・支払いを一切提供しない」と書かれているにもかかわらず、その直下に2つの支払いボタンが配置されています。サインアップ欄の見出しは「通知を受け取ろう。騙されないために。」となっています。事実情報のグリッドではコンソール専用と記載されているのに、FAQでは購入後にPC版がダウンロードできると約束しており、しかもRockstarが6月に予約受付を開始しているにもかかわらず「価格は未確定」だと主張しています。

文章のトーンも二極化しています。カウントダウンや地図のセクションは整った文章です。一方、販売文言には複数の誤りがあり、「download」のスペルミスや、VIではなくGTA IVへの言及まで見られます。私たちの見立てでは、正規のファンサイトらしいテンプレートが流用され、そこに校正されていない販売文言が別の誰かによって追加されたのではないかと考えられます。

ウォレットを接続すると何が起きるか

このサイトには2種類のコードが仕込まれており、その性質は大きく異なります。

1つ目はページ自体に組み込まれたコードで、Solanaウォレットを標的にしています。表示されている価格の請求は行いません。代わりにウォレットの残高を確認し、取引手数料分だけをわずかに残し、残り全額を攻撃者に送金する準備を行います。表示価格はこの計算に一切関係していません。

2つ目は約2.4MBの別スクリプトで、はるかに高機能です。ウェブサイトと仮想通貨ウォレットを接続するための正規かつ広く使われているツールが組み込まれており、これによって単一のウォレットだけでなく多数のウォレットに対応できるようになっています。そのツールに悪意あるコードが追加されており、接続されたウォレットの中身を棚卸しし、資産の価値を算出し、その詳細を攻撃者に報告したうえで、被害者に承認させるための取引を取得してきます。

このスクリプトは、Ethereum、Polygon、BNB Smart Chain、Avalanche、Arbitrum、Base、Fantomという7つのブロックチェーンネットワーク上のウォレットを標的とするよう設定されています。これらのネットワーク上の主要なステーブルコインを認識し、複数種類のアクセス許可を要求できます。被害者が何を承認するかによって、即座に仮想通貨を送金することも、後になってトークンやNFTコレクション全体を移動する権限を得ることも可能です。

送金は資産を即座に奪います。承認は攻撃者に後から資産へのアクセスを許してしまいます。このスクリプトはその両方に対応しています。

まず訪問者の所在地を確認する

訪問者にウォレット接続を求める前に、このスクリプトは運営者のサーバーから設定情報をダウンロードします。特定の設定が有効になっている場合、訪問者のIPアドレスから国を特定し、あらかじめ決められたリストと照合します。対象国はアルメニア、アゼルバイジャン、ベラルーシ、カザフスタン、キルギス、モルドバ、ロシア、タジキスタン、トルクメニスタン、ウズベキスタンです。

これらの国からの訪問者には「このウェブサイトはお住まいの地域ではご利用いただけません」と表示され、空白のページにリダイレクトされます。それ以外の訪問者はそのまま先に進めます。

この国別ブロック機能を制御する設定は、コード上でCIS_Protectionという名前が付けられています。

こうした国々を除外する手法は一部の犯罪ツールで昔から見られる慣習であり、通常は現地の法執行機関を避ける狙いだと解釈されています。とはいえ、国のリストだけを根拠に犯行主体を断定することはできません。ここから分かるのは、このツールを作った者が「誰から盗むか」を意図的に選び、その判断を設定ファイルに書き込んでいたという事実です。

ウォレットの価値を算出する

このスクリプトは、承認を求める前に訪問者のプロファイリングを行います。複数のブロックチェーン上の保有資産を確認し、総額を計算したうえで、その詳細を運営者に送信します。送信される情報には、ウォレットの推定ドル価値、保有するトークンやNFT、訪問者のIPアドレスと国、そのウォレットの接続回数などが含まれます。

このスクリプトは解析を困難にするための工夫も施されています。セキュリティスキャナーが使う自動化ブラウザを検知したり、通常はブラウザの開発者コンソールに表示されるはずのメッセージを抑制したり、開発者ツールの動作を妨害したり、サーバーのアドレスをコード内に隠蔽したりできます。

いくつかの特徴から、このドレイナーは自作品ではなくレンタル型のツールである可能性が高いとみられます。ウェブページに直接書き込まれたSolanaアドレスは、より大きなスクリプトの中には登場しません。その代わりに、スクリプトはリモートサーバーから運営者IDと設定情報をダウンロードしており、そのサーバー側で被害者に表示する取引の準備も行われています。これは複数の顧客が利用するホスティング型サービスに似た構造ですが、具体的な製品を特定することはできませんでした。この仕組みにより、ウェブサイト自体を変更することなく、盗んだ資金の送金先だけを変更することも可能になっています。

6月に調査した偽のGTA6サイトでは、被害者に一定額の支払いを求めるものだったため、即時の被害はその支払額に限られていました。今回のサイトは、接続されたウォレットの中身をすべて奪おうとする点が異なります。被害者が何を承認するかによって、攻撃者はウォレットの現在の残高を即座に送金することも、後からトークンやNFTを奪う権限を得ることもできてしまいます。

承認する前に確認すべきこと

ウォレットを接続するだけでは、サイト側が何かを奪えるわけではありません。危険が生じるのは、その後に表示される取引や権限の承認要求を承認したときです。

この承認画面は、重要な最後の防衛線となります。たとえば仮想通貨ウォレットのPhantomは、署名前にすべての取引をシミュレーションし、何が起きるかを平易な言葉でプレビュー表示するほか、不審な点があれば警告も出すとしています。他の信頼できるウォレットも同様の機能を備えていますが、内容を読まずに要求を承認してしまえば守りようがありません。

ウォレットの承認画面では、次の2つの警告サインを確認してください。1つ目は、想定していた支払額ではなく、残高のほぼ全額を送金しようとする取引は拒否することです。2つ目は、トークンやNFTへのアクセスを「承認」「許可」「付与」するよう求める要求は拒否することです。これを承認すると、攻撃者が後からそれらの資産を移動できてしまう可能性があり、ゲームを販売する店がそのような権限を必要とする理由はそもそもありません。

自衛のためにできること

• GTA6のプレイ可能版を販売している者は今のところ誰もいません。Rockstarは11月19日発売分の予約注文を受け付けています。リーク版・アーリー版・プレイ可能版を提供すると謳うサイトは、正規の販売者ではありません。
• ゲームサイトでのウォレット接続要求は「危険信号」と捉えてください。正規のGTA6購入は、Rockstarの公認ストアや販売店を通じて行われます。Rockstarが購入者に仮想通貨ウォレットの接続や、ウォレットアドレスへの仮想通貨送金を求めることはありません。
• 承認画面は毎回必ず確認してください。残高のほぼ全額を動かそうとするものや、継続的なアクセス権を求めるものは拒否してください。
• 正確な部分があるからといって、他の部分まで信用しないでください。正しい発売日や本物のアートワークを用意することに、攻撃者は何のコストもかけていません。
• 普段閲覧に使うウォレットに、大きな残高を置かないでください。
• ページを読み込む前にブロックしてください。Malwarebytes Browser Guardは無料で、閲覧中に詐欺サイトや悪意あるサイトをブロックします。

ウォレットを接続してしまった場合の対処

1. そのサイトを通じて付与した権限をすべて確認し、取り消してください。まだ何も盗まれていなくても、これらの権限があると後から攻撃者に資産を奪われる可能性があります。
2. サイトをウォレットから切断してください。これにより現在の接続は終了しますが、すでに付与済みの権限が取り消されるわけではありません。
3. ウォレットの中身をすべて確認してください。利用しているすべてのチェーン上のトークンやNFTを含めて確認しましょう。
4. 資産が盗まれた場合、またはリカバリーフレーズを入力してしまった場合は、残っている資産を新しく作成したウォレットに移してください。
5. 送金先のアドレスを、利用しているウォレット提供元や公的な詐欺報告サービスに報告してください。これにより、提供元がそのアドレスを特定し、他のユーザーに警告できる可能性があります。

盗まれた仮想通貨を有料で取り戻すと持ちかけてくる者には注意してください。これは同じ被害者を狙った二次的な詐欺であることが多いです。

一度完了した送金は取り消せません。私たちが解析したコードは、ウォレットのリカバリーフレーズを要求したり公開したりするものではないため、このサイトに接続しただけでリカバリーフレーズが漏えいするわけではありません。もし手続きの過程でどこかにリカバリーフレーズを入力してしまった場合は、それを別の侵害として扱い、残った資産を新しく作成したウォレットに移してください。付与した権限は、自分で取り消さない限り有効なまま残ります。

覚えておくべきこと

この誘い文句自体は6月から変わっていません。Rockstarが発売する前にGTA6をプレイできるという約束であり、それは今も昔も実現不可能な約束です。

変わったのは、その裏側にある仕組みです。ある手口は代金を請求し、別の手口はパスワードを盗みました。そして今回は、レンタルし、再設定し、次に人々が熱狂する対象へと自在に向け直せるよう作られたツールを使って、ウォレットへのアクセス許可を求めてきます。

GTA6は2026年11月19日、ゲーマーがすでに利用している同じ店舗を通じて発売予定です。発売前に出回る非公認のプレイ可能版は、いかなるものであれ正規品として扱うべきではありません。

侵害指標(IOCs)

ドレイナーのインフラ

• centrodigestionedellarapina[.]life 
• dasunerforschtelandamendederwelt[.]sbs

ページ内の送金処理で使用されているSolanaアドレス

21iWU6FJWJ9FKKz4Jek2CyTh2x1fqs5jawjrNgE3nHjN