アービトラージボット作成チュートリアル動画で暗号資産を奪う【隠された送金先編】
公開日：
※当サイトはアフィリエイトプログラムを利用しています。
「Ethereumの自動取引ボットを作れば、暗号資産の価格差を利用して稼げる」そんな方法を紹介するYouTube動画を見つけても、すぐに信用しないでくださいね。
前回は「偽のコードコンパイラ」に誘導しコードをすり替える手口を取り上げました。
アービトラージボット作成チュートリアル動画で暗号資産を奪う【偽のコードコンパイラ編】
今回は複数の値を計算したり、文字列を組み合わせたり、大きな数字を別の形式に変換したりしないとわからない。
まるでスパイ映画に出てくる暗号のように、手の込んだ罠が仕掛けられていたのです。
SentinelLABSは、自動取引ボットを装い、利用者自身にスマートコントラクトを作らせ、そこへ入金された暗号資産を盗み取る詐欺を確認しています。
攻撃者は、YouTube動画でスマートコントラクトの作成方法を説明し、動画の説明欄からコードを入手させます。
見た目は「自動取引で利益を出すためのコード」ですが、実際には攻撃者のウォレットへ資金を送る仕組みが隠されていました。
暗号資産アービトラージのリスク
アービトラージは、取引所などで生じる暗号資産の価格差を利用して利益を狙う方法です。
実際の取引では、価格差が消える、手数料が利益を上回る、注文が想定した価格で成立しないなど、さまざまな要因が利益を左右します。
価格差が消える
アービトラージでは、安い場所で買うと同時に、高い場所で売る必要があります。
価格は短時間でも動くため、価格差を見つけても注文が成立するまでに差が縮まれば利益は減る、買い注文と売り注文の片方だけが成立すれば、その後の価格変動によって損失が出る可能性もあるのです。
手数料で利益が減る
取引で得られる価格差からは、取引手数料や出金手数料、暗号資産を別の取引所へ送る場合は、ネットワーク手数料も発生。
価格差が大きく見えても、コストを差し引くと利益にならない場合もあります。
スリッページの発生
スリッページとは、注文を出した価格と実際に成立した価格との差のこと。
相場が大きく変動した場合、大きなスリッページが発生する可能性があります。
想定より不利な条件で約定することもあるのです。
送金している間に価格差がなくなる
取引所間で暗号資産を移動する方法では、送金に時間がかかります。
ブロックチェーンの混雑や取引所側の処理、メンテナンスなどで資金の移動が遅れれば、その間に価格差がなくなります。
自動取引ボットにも注意が必要
アービトラージでは、価格差を素早く見つけて注文するために自動取引ボットが使われます。
ボットのプログラムに不具合があったり、APIや価格情報に問題が起きたりすれば、意図した取引ができません。
そして、この「自動取引ボット」を利用した詐欺も確認されています。
「アービトラージで利益を出すボット」と称してコードを配布し、利用者自身にスマートコントラクトを作らせ、暗号資産を入金させる手口です。
アービトラージという実在する取引手法を利用して、「自動で利益を出せる」という期待を持たせるところに、この詐欺の特徴があります。
自動取引ボットを作るという動画が入口
SentinelLABSが確認した詐欺では、YouTubeに「EthereumのMEVボット」「アービトラージボット」などを作る方法を紹介する動画が投稿されていました。
MEV（Maximal Extractable Value）ボットは、暗号資産の取引などを自動化する仕組みとして実在。
ETH（イーサリアム）などの暗号資産について市場の価格差などを利用し、取引による利益を狙うアービトラージ（裁定取引）に利用するボットです。
今回の詐欺は、こうした実在する仕組みを悪用しているのが特徴です。
動画では、スマートコントラクトを作成するための開発環境「Remix」を使い、コードをコピーして実行する手順を説明。
そして最後には、作成したスマートコントラクトへETHを入金するよう促します。
- ・「コードをコピーするだけ」
- ・「あとはボットが自動的に取引してくれる」
- ・「最低でも0.5 ETHを入れておけば、アービトラージで利益を狙える」
そんな説明を信じてしまうと、入金したETHが攻撃者のウォレットへ送られてしまうのです。
自分で作ったスマートコントラクトが罠になる
この詐欺で特に注意したいのは、攻撃者が被害者に偽サイトへログインさせたり、ウォレットのパスワードを聞き出したりするわけではないこと。
被害者自身にスマートコントラクトを作らせ、そのコントラクトへ暗号資産を送らせます。
SentinelLABSが分析したスマートコントラクトには、攻撃者が管理するウォレットのアドレスが組み込まれていました。
ただし、そのアドレスはコードにそのまま書かれているわけではありません。
複数の値を計算したり、文字列を組み合わせたり、大きな数字を別の形式に変換したりすることで、実際のウォレットアドレスを分かりにくくしていました。
そのため、コードを見ただけでは、どこへ資金が送られるのか簡単には分かりません。
開始ボタンを押さなくても盗まれる
動画では、スマートコントラクトを作ったあとに「Start()」や「StartNative()」といった処理を実行するよう指示。
利用者から見ると、ここから自動取引が始まるように見えますよね。
ところが、利用者がその処理を実行しなくても、コントラクトに送られた資金を攻撃者が引き出せるようになっていたのです。
「自動取引を始めるために入金した」というつもりでも、その時点ですでに資金を盗まれる可能性があったということ。
信頼できそうな雰囲気を作る
SentinelLABSが確認した動画では、YouTubeアカウントそのものを信頼できそうに見せる工夫も行われていました。
一部のアカウントは古くから存在し、暗号資産に関するニュースなどをプレイリストにまとめています。
こうした投稿を重ねることで、突然作られた詐欺アカウントではなく、以前から仮想通貨について発信しているチャンネルのように見せていたと考えられます。
さらに、動画のコメント欄には「このボットで利益が出た」「分かりやすい解説だった」といった肯定的なコメントが並んでいました。
SentinelLABSは、動画の投稿者がYouTubeのコメント管理機能を利用し、否定的なコメントを表示させないようにしていた可能性を指摘しています。
この場合、肯定的なコメントは自作自演でしょう。否定的なコメントが無いのは不自然なんですよ。
ツールの感想は人それぞれ、ツールを利用した人全員が満足いくかどうかはわかりません。
- ・「動画の内容が正しそう」
- ・「チャンネルも昔からある」
- ・「コメントでも稼げたと言っている人がいる」
こうした情報が重なると、動画そのものを疑いにくくなるかもしれませんね。
AIで作られたとみられる解説動画も
さらにSentinelLABSは、確認した複数の動画について、AIで生成されたとみられる映像も指摘。
不自然な声の抑揚や話すテンポ、ぎこちない顔の動き、音声と口の動きのずれなどが確認されました。
また、解説者が常にカメラの正面を向き、横顔など別の角度から撮影された場面がないことも特徴として挙げられています。
AIを使えば、実在する人物を撮影しなくても「人が詳しく解説しているような動画」を量産できちゃう。
詐欺動画を作る側にとっては、手間やコストを抑えながら「専門家が教えているような雰囲気」を作れるわけです。
ただ、AI動画だったものだけが大きな被害を出したわけではありません。
SentinelLABSが確認した中で最も大きな被害につながった動画には、AI生成と判断できる明確な特徴はなかったとのこと。
暗号資産を奪われないために
前回の記事でも書きましたが、そもそも暗号資産アービトラージがあなたに本当に必要なのか考えてほしい。
遊びでやっているなら構いませんが、利益を出して収入に繋げようとするなら。
この記事は暗号資産の専門的な内容にはなっていません。
もし、この記事に出てくる用語が一つでも分からなければ、やめておいた方がいいでしょう。
暗号資産アービトラージで利益を出す以前の問題だと思いますよ。
「入金してね」の時点でいったん止まる
今回の手口で、お金が動くのは入金の瞬間です。
動画の中で「ここにETHを入れてください」と言われたら、そこで手を止めてください。
「コードをコピーするだけ」「最低0.5 ETH」といった言葉は、簡単さと安心感をセットで見せてくるもの。
でも、簡単に自動で稼げるなら、わざわざ動画で作り方を無料公開する理由がありませんよね。
読めないコードは実行しない
説明欄のコードを「動いているみたいだし」とそのまま使うのは危険です。
今回のコントラクトは、送金先アドレスを計算や変換で隠していました。
普通に作るボットなら、そんな面倒なことをする理由はないはずです。
コードの中身が自分で確認できないなら、そのコードに資金を預けてはいけません。
動画のコメントを真に受けない
古いアカウント、立派な再生リスト、並ぶ高評価コメント。どれも、詐欺側が用意できるものです。
コメントの管理機能で、都合の悪い声を消すことだってできます。
「みんな稼げたと言っている」ではなく、「誰が、どこで、どう検証したのか」を見てください。
出どころが動画のコメント欄だけなら、確認できたとは言えません。
それでも試したくなったら
どうしても仕組みを知りたいなら、本物のお金を入れる前にテストネット（練習用のネットワーク）で動きを見るのが先です。
ウォレットも、普段使いのものとは分けてください。
ただ、ここまでやって「自分には必要なかった」と気づく人も多いと思います。それが正解かもしれません。
もう入金してしまったら
ブロックチェーン上の送金は、取り消せません。残念ですが、攻撃者のウォレットに送られた資金を取り戻すのは非常に難しいのが現実です。
だからこそ慎重になって欲しいんですよね。
それでも、できることはあります。
- ・送金のトランザクション情報（ハッシュ）や、動画のURL、コードのスクリーンショットを保存する
- ・警察のサイバー犯罪相談窓口や、消費生活センター（188）に相談する
- ・追加で入金しない（「回収できます」という二次被害の勧誘にも注意）
「自分で作ったものだから自己責任だ」と抱え込まず、早めに相談してくださいね。
今回の手口は、パスワードを盗むわけでも、偽サイトでログインさせるわけでもありません。
被害者が自分の手で罠を組み立てて、自分の手でお金を入れる。
「騙された」という感覚すら持ちにくいのです。
「簡単」「自動」「コピーするだけ」。この3つが並んだ動画を見たら、あなたならどうしますか？
お金が関わる場所には必ず詐欺師が現れる。
こちらの記事もぜひ読んでくださいね。
アービトラージボット作成チュートリアル動画で暗号資産を奪う【偽のコードコンパイラ編】
【OZプロジェクト】ＡＩ搭載の仮想通貨のトレードシステムで４カ月後に元本は2.5倍に！
暗号資産の偽取引所と自動売買Bot詐欺に遇わないために｜その利益は本当ですか？
AI生成ボットが仕掛けるスマート・ラグプル｜生成AIが詐欺を量産する時代
Web2とWeb3で何が違う？ソーシャルエンジニアリングが招く致命的な結末の差
Web3詐欺とは？知っておくべき10の手口と被害に遇わないための対策