SimpleX ChatのXアカウントがハッキングされ、偽サイトが暗号資産ウォレット詐欺を宣伝

ユーザー識別子を避け、メタデータ保護を重視するプライバシー第一のメッセージングプラットフォームであるSimpleX Chatは、公式のX（旧Twitter）アカウントが侵害され、SimpleX Chatのインターフェースを模倣した偽サイトにユーザーの暗号資産ウォレットを接続させるよう仕向ける、組織的な攻撃が行われたことを認めた。

インシデントの概要

SimpleXによると、攻撃者はXの「デリゲート（delegate）」機能を悪用した。この機能は、ビジネスアカウントが投稿権限をサードパーティのプロフィールに委任できるというものだ。不正なデリゲートが@SimpleXChatアカウントに追加され、その直後に「Perpetuals Early Access（パーペチュアルズ早期アクセス）」と呼ばれる偽の取り組みを宣伝するポストが投稿され、そっくりなドメインsimplexspot.comへのリンクが掲載された。

そのポストは、ユーザーに「永久通信ネットワークの創設ユーザーになる」機会を約束し、「決して失効しないセキュリティと所有権」をうたっていた。狙いは、典型的なWeb3プロジェクトのオンランプを装い、「Connect Wallet（ウォレットを接続）」とラベル付けされたボタンを通じて、ユーザーにウォレットを接続させることだった。

30以上の認証済みXアカウントも、侵害された@SimpleXChatプロフィールからダイレクトメッセージで連絡を受け、詐欺メッセージへの関与やリポストを促された。@Netlifyや@wellowealthのアカウントも侵害され、この詐欺を拡散するために利用された。

Wello Wealthは、自社アカウントがハッキングされ、その後復旧したことを確認している。しかし、Netlifyはこのインシデントについて、公に認否を示していない。

詐欺サイトの実態

偽サイトのスクリーンショットには、SimpleX Chatの本物のホームページとほぼ同一の、プロフェッショナルにデザインされたインターフェースが映っている。接続された地球のビジュアルや光るネットワークアーク、おなじみのフォントまで再現されている。「Connect Wallet」という行動喚起ボタンは、正規のSimpleX Chatプラットフォームには存在せず、同サービスは暗号資産ベースのオンボーディングやトークン連携を提供していない。

ページには、公式のSimpleXデザインと一致するブランディング、色使い、レイアウトが施されており、2022年および2024年のセキュリティ監査への言及やアプリのダウンロードリンクなど、正当性を装うミスリーディングな要素が含まれている。

SimpleXの対応

SimpleXの創設者であるEvgeny Poberezkin氏は侵害を認め、インシデント発生中にチームが2要素認証（2FA）へのアクセスを失い、ログインや投稿の削除ができなくなっていたと述べた。パスワードのリセットには成功したものの、不正なデリゲートは引き続きアクセス権を保持しており、チームが介入する前に詐欺ポストを投稿したという。

その後、SimpleXはXアカウントへのアクセスを復旧し、迅速に対応したプラットフォームのサポートチームに謝意を示した。詐欺ポストは、コミュニティメンバーが公に詐欺を通報したこともあり、削除されるまで約3時間オンラインのままだった。Poberezkin氏はまた、侵害中に攻撃者によって自身の個人アカウントがブロックされ、公開で警告を発することを妨げられていたことも明らかにした。

悪意あるサイトを閉鎖するため、Cloudflare、ドメイン登録事業者NiceNIC、ホスティングプロバイダOVHcloudに通報が行われたが、執筆時点では偽サイトは依然として稼働中だ。

暗号資産もトークンもなし

SimpleXは、暗号資産ベースのサービスを提供したり、取引可能なトークンを発行したりする予定は一切ないと明言した。将来的に、プロジェクトがインフラの一部としてブロックチェーンを利用する可能性はあるものの、いずれの場合もユーザーが暗号資産を保有したり、やり取りしたりする必要はないという。

チームは、トークンのプレセール、ウォレット接続、暗号資産インセンティブを伴ういかなるオファーも、公式チャネルで明確に告知されない限り詐欺とみなすようユーザーに警告した。SimpleXは、短期的な話題作りキャンペーンや時間制限付きオファーは行っておらず、すべてのロードマップ更新は透明性とコミュニティからの意見を重視し、十分な余裕をもって公開していると強調した。

SimpleXはまた、Xに対しデリゲート機能のセキュリティ強化を求め、委任アクセスに対するより厳格な管理と、より良い通知機能を提案している。信頼されたプロフィールがいかに容易に悪用されるツールへと変えられたかは、攻撃者がビジネスアカウント機能をフィッシングや金銭窃取のために悪用しているかを示している。

Xユーザーが知っておくべきこと

Xを利用しており、暗号資産の世界で活動している場合は、アカウントと資金を守るために、次のシンプルだが極めて重要なセキュリティ対策を必ず守る必要がある。

• 未検証のサイトにウォレットを接続しない。
• なりすましサイトは、ホスティング事業者やドメイン事業者に直接通報する。
• 公式らしく見えるプロフィールからの不審なリンクは、裏取りをせずにクリックしない。