先頭と末尾の文字を、きちんと確認する
2〜3文字ではありません。両端をそれぞれ長め（8文字以上）に照合し、中ほども抜き取りで確認します。すり替えキットは短い両端なら安く一致させられます。あなたが確認する文字が1つ増えるごとに、そのコストは何倍にも跳ね上がります。記憶からではなく、受取側の画面を見て読み合わせてください。
無料のインタラクティブデモ
クリップボード乗っ取りデモ
クリップボードを狙うマルウェアは、あなたのウォレットをハッキングするのではありません。あなたが貼り付ける中身を書き換えるのです。下の架空のアドレスをコピーし、はっきり表示された攻撃スイッチを入れ、貼り付けて、すり替えが自分の身に起きる様子を見てください。一度体感するほうが、十回読むよりよく分かります。
架空のアドレスのみ。あなたのクリップボードに触れるのは、あなた自身のコピーと貼り付けだけです。
1 ・「送金先アドレス」をコピー
友人があなたに支払い用として、このアドレスを送ってきたと想像してください。これは架空で、わざと無効に作られています。でもあなたのクリップボードは、これをほかのテキストとまったく同じように扱います。それこそが問題なのです。
架空のデモアドレス——わざと無効にしてあります
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealオフ：「コピー」は正直で、あなたが見ているものをそのままクリップボードに入れます
2 ・「ウォレット」に貼り付け
この送金フォームは飾りです。このボタンが誰かに何かを送ることは、決してありません。いまコピーしたアドレスを貼り付け、「送信」する前によく見てください。
どれだけ似ているか見てください
あなたが見たもの（そしてコピーしたつもりのもの）
あなたのクリップボードが実際に渡したもの
先頭の 8 文字と末尾の 8 文字はまったく同じです。攻撃者は末尾を一致させるためにバニティアドレスを生成します。ほとんどの人が確認するのは、その両端だけだからです。
3 ・本当に効く防御策
このデモでは、すり替えが両端をちらっと見るだけの確認をすり抜けました。次のものは、すり抜けられません。
まず少額のテスト送金をする
失うと痛い送金なら、まずごくわずかな額を送ってください。それが届いたことを、受取相手と別の経路で確認してください。すり替えられたアドレスが盗むのは、テストのわずかな額であって、残高ではありません。それを確かめてはじめて、テストで証明できたアドレスに本当の金額を送ります。
パソコンではなく、ハードウェアウォレットの画面を信じる
ハードウェアウォレットは、マルウェアの手が届かない自前の画面に、本当の送金先を表示します。デバイスの画面に出たアドレスが、あなたの支払うつもりだったものと違うなら、パソコンが嘘をついています。あの画面は、まさにこの攻撃のために存在しているのです。
数文字だけ確認してもなぜダメなのか。先頭と末尾の数文字が目標と一致するアドレスを作るのは、単なる総当たりです。両端3文字なら安く、8文字なら高くつき、中ほどは決して一致しません。このデモの偽アドレスは、わざと 8 + 8 を一致させています。
同じ攻撃を、もう一段深く
あなたのクリップボードを書き換えるマルウェアは、人々がシードフレーズをメモアプリに、秘密鍵をテキストファイルに、2FAのバックアップコードをスクリーンショットに残しているのと同じマシン上で動いています。クリップボード監視ソフトは、アドレスをすり替えるだけではありません。通り過ぎるものすべてを、鍵らしい形のものがないか片っ端から調べます。暗号化されていないテキストは、感染したマシン上ではもう失われたも同然です。アドレスのすり替えは、たまたまあなたが目撃できる版に過ぎません。だからこそ、鍵やコードは端末内の暗号化された金庫に入れるべきであり、本物のシードフレーズは、そもそもクリップボードに一切触れさせてはいけないのです。
どう動くのか（そしてなぜ安全なのか）
2つのデモ文字列は架空であり、しかも無効であることが証明できます。中に文字「o」が含まれており、これは見間違いを防ぐために bc1 アドレス形式がわざと除外している4つの文字（1、b、i、o）の1つです。だからどのウォレットも受け付けず、誰かの資金と衝突することもありません。本物のクリップボードマルウェアは、あなたのクリップボードをバックグラウンドで絶え間なく、永遠に監視して書き換えます。このデモがすり替えを行うのは、あなたが攻撃スイッチをはっきり入れた状態で「コピー」を押した、その瞬間だけです。このページはクリップボード読み取りAPIを一切呼び出しません。目にするテキストは、あなたが唯一の入力欄に貼り付けたものだけで、それはローカルで2つのデモ文字列と照合され、破棄されます。何も保存されず、何も送信されず、再読み込みですべてがリセットされます。
あなたのクリップボードは運び屋です。秘密を託さないでください。
Sealby はシードフレーズ、鍵、コードをあなたの iPhone 上で暗号化して保管します。復号されるのは金庫の中だけです。クリップボード監視ソフトがあさる、読めるテキストの状態で置きっぱなしにすることは決してありません。乗っ取られるアカウントもなく、いざというときには存在を否認できます。
App Storeでダウンロード
iPhoneとiPad · iOS 17+ · 無料