資産流出のトランザクションは昨年発生したものだが、被害者が6日にブログで公表。手口に不可解な部分が多く、一部ではTrust Walletの信頼を疑う議論に発展しつつあった。

結論としては、イタリアに拠点を置く犯罪者集団による「ソーシャルエンジニアリング詐欺」と見られ、ローマやミラノ、スペインなどで確認された事例と類似性が指摘されている。

ソーシャルエンジニアリングとは、ソフトウェアにアクセスするために必要となるパスワードなどの重要な情報を、人間の心理的な隙や行動のミスにつけ込んで盗み出す方法。

Trust Walletによると、イタリアの犯罪者集団はWeb3投資家を名乗り、直接会って説明・交渉したいと複数の仮想通貨プロジェクト関係者にアプローチしている。

今回被害を受けたWebaverseの共同設立者であるAhad Shams氏も、自身のブログで22年11月末にプロジェクトメンバーと詐欺師がローマ会合を開いたことを認めている。

Trust Walletによると、犯人は被害者を何らかの理由をつけて巧みに誘導し、複数人の秘密鍵が必要な「マルチシグウォレット」から「シングルウォレット」に資金を移動させた。また「秘密保持契約書（NDA）」のPDFを渡し、KYC情報も共有したという。

その後、詐欺師は被害者に対して取引に必要な資金を持っていることの証明を求め、対面で表示させたウォレット残高の写真を撮影。最終的に被害者のウォレットから仮想通貨が流出する事態が起きている。

Trust Walletは、「犯人が渡したNDAのPDFファイルにマルウェアが含まれていた可能性が高い」と指摘。マルウェアが侵入したデバイス（情報通信端末）からは、多くの情報が外部に送信され、デバイスに保存されているホットウォレットの秘密鍵も標的となる。

詐欺への警戒意識を

ブロックチェーンデータサイト「Etherscan」によると、11月26日のトランザクションで400万ドル相当のUSDCoin（USDC）が流出。執筆時点で盗まれた資金は6つのアドレスに分割されている。現在、1つのアドレスが盗まれた資産の83％を保持している。

Trust Walletは、モバイルアプリの拡張機能について、内部および外部の監査人によって「セキュリティ監査と侵入テスト」を受けたことを報告した。

Shams氏は昨年11月の事件発覚直後に、ローマの地元警察に盗難届を提出、FBIにも通報した。Webaverseとしては12～16か月分のランウェイ（運営予算）があるという。

Trust Walletの調べでは、イタリアに拠点を置く犯罪者集団の他の被害者は、ホットウォレットだけでなく、インターネットから遮断されたコールドウォレットも使用していた。また、ホットウォレットの使用デバイスは、iPhone、Android、マックなど多岐に渡り、複数のウォレットプロバイダーで被害が確認されている。

ジェネレーティブNFTアーティストJacob Riglin誌の場合、バルセロナに留学中に、不動産会社を装う詐欺師によって、9万ドル相当の資産を盗まれていた。NFTの売却交渉のために、レストランで3人と接触、資産証明のためにウォレット画面を撮影したという。