ポリゴンのDiscordチャンネルハッキングでフィッシング詐欺が発生　 現在は復旧

セキュリティ侵害が発生

暗号資産（仮想通貨）ポリゴンのDiscordチャンネルが24日にハッキングされ、エアドロップを装ったフィッシング詐欺が仕掛けられたことがわかった。

ポリゴンのMudit Gupta情報セキュリティ最高責任者（CISO）はXの投稿で、ハッキングが発生したため、Discordのポリゴンコミュニティ（@0xPolygon）内のリンクをクリックしないよう、ユーザーに注意を促した。

PSA: Do not click on any links in the @0xPolygon community discord until further notice.

It has been compromised and we're trying to get back ownership.

— Mudit Gupta (@Mudit__Gupta) August 24, 2024

最初の警告から3時間後、Gupta氏はサーバーへのアクセスを回復し、ハッカーによる全ての変更を元に戻す作業を行っていると報告した。

さらにその数時間後、ポリゴンチームはDiscordサーバーのコントロールを取り戻し、外部botと結合を無効化したと発表。再発防止のため、セキュリティ調査を実施していると述べた。

Discordチャンネルは自由に使用できる状態となったが、チームは常に詐欺に注意するよう呼びかけ、疑わしいリンクはクリックせず、決してシードフレーズを他人に教えないよう強調した。

トークン移行への期待を悪用

ポリゴンは来たる9月4日に、現行のMATICトークンから新たなPOL（Polygon Ecosystem Token）トークンへの移行を予定している。

POLトークンへの移行は、ゼロ知識ベースのレイヤー2エコシステムを強化し、独自トークンの実用性を高めることを目指す大規模アップグレード「ポリゴン2.0」の一環として行われる。

関連：ポリゴン大型アップグレード、MATICからPOLのトークン移行は9月上旬実施へ

今回のハッキングは、トークン移行に対するコミュニティの期待につけ込むもので、「移行前のお祝いエアドロップ」と称し、公式な告知を装った数々のフィッシング・リンクがDiscordチャンネルに投稿された。

ポリゴンのCISOによる注意喚起は一部のユーザーにとっては一足遅かったようで、 Xネーム「ValidatorK」というユーザーが、「ポリゴンの公式 Discordの告知によって、イーサリアム・プールの15万ドル（2,160万円相当）を一気に失った」とGupta氏の投稿に返信。

ValidatorK氏は迅速にセキュリティ侵害が通知されなかったとして、ポリゴンに対し、同氏が被った損害の補償手続きを求めている。

ポリゴンのDiscordメンバー「shadabk2005」 氏は、サポートチャンネルで詐欺リンクについて警告を発しようとしたが、タイムアウトとなったとXで明らかにしている。さらに悪いことに、被害者への救済を装った詐欺リンクも多数、投稿されている状況だという。

@0xPolygon hey is your discord hacked? There are scam links being posted in the announcements channel and I got a timeout for highlighting this in the support channel.

— shadab.eth ✈️🏨 (@shadabk2005) August 24, 2024

関連：WebX 2024 特別講演予告　ポリゴンラボ共同創設者 サンディープ・ネイルワル氏

Discordとフィッシング攻撃

Discordは仮想通貨コミュニティの主要なコミュニケーションツールとして、幅広く利用されている。プロジェクトに関する重要な情報や資産管理ツールのリポジトリとしても活用されているため、サイバー犯罪のターゲットとなるケースも多い。

今年3月には、ArbitrumのDiscordサーバーがハッキングされ、公式チャンネルにフィッシング詐欺のリンクが仕掛けられた。

5月には、Gnus.AIのDiscordサーバーがハッキングされ、約127万ドル（1.8億円相当）の損失が発生したと報告された。

フィッシング詐欺では、偽のソフトウェアのインストールや悪意あるリンクへの誘導、不正なトランザクションに署名させるなどして、所有者から仮想通貨を搾取。また、被害者を騙して秘密鍵や個人情報、ウォレットのアクセスや所有権を譲渡させようと試みる。

8月20日には、フィッシング詐欺により、5,500万ドル（約79億円）相当のステーブルコインDai が、所有者のウォレットから不正なアドレスに送付されるという事件が起こった。

所有者はトランザクションの署名後に送付先アドレスの間違いに気づいたが、すでに所有権が移っていたため、取り戻すことはできなかった。

ブロックチェーンセキュリティ企業CertiKによると、2024年の上半期に、約4億9800万ドル（716億円相当）のフィッシング詐欺被害があったという。

また、オーストラリア証券投資委員会は19日、昨年７月以降の1年間で、5,530以上の偽投資プラットフォーム、1,065のフィッシングリンク、615件の仮想通貨投資詐欺を摘発したと発表した。