ジェネラティブアーティストのタイラー・ホッブスになりすました詐欺師らが、X上で偽のQQL NFTミントを宣伝しており、このスキームに関与した少なくとも1人が資金を失ったと伝えられている。

この警告は10月20日、Yuga Labsのブロックチェーン担当バイスプレジデントであるQuit氏によって発表された。同氏は2026年10月19日付の投稿で、複数のアカウントがホッブスになりすまし、このジェネラティブアートプロジェクトのミントが再開したと虚偽の主張をしていたと述べた。

「PSA QQL minting has not reopened(注意喚起：QQLのミントは再開していません)」とQuit氏は書いた。同氏の投稿によれば、すでに1人のウォレットから資金が流出しており、別のユーザーはPocket Universeのセキュリティツールのおかげで同様の損失を回避したという。このツールは保留中のトランザクションをシミュレートし、ユーザーが署名する前に潜在的に悪意のあるリクエストを検出する。

PSA QQL minting has not reopened. Already aware of one person who got drained and one who would've if not for pocket universe. Scammer is making several accounts impersonating Tyler Hobbs. Please do not interact.

— Quit (@0xQuit) October 19, 6

報じられた窃取は独自には検証されていない。ウォレットアドレス、取引の詳細、損失額の推定はいずれも公表されていない。

偽のークションはQQLの2022年の開始時を忠実に再現

X上の投稿によると、なりすましアカウントは50 ETHから始まる900枚のQQLミントパスのダッチオークションを宣伝していた。これらのメッセージはオリジナルの制作者との関係を主張していたが、プロジェクトの公式資料には新しいオークションの記載はない。ダッチオークションでは、価格は高く始まり、買い手が全供給量を引き取るまで下がっていく。

これらの数値は、2022年9月のQQLの実際の開始時と一致する。当時、ホッブス氏と共同制作者のDandelion Mané氏は、50 ETHで開始するダッチオークションを通じて900枚のパスを販売した。その販売は1パスあたり14 ETHで終了し、1時間足らずで完売。12,600 ETH(当時のレートで約1,670万ドル相当)を調達した。偽の出品はこれらの正確なパラメータを再利用しているため、2022年の数値と一致すること自体は正当性の証拠にはならない。

QQLでは、コレクターはミントする作品を選ぶ前に、ジェネラティブアルゴリズムのさまざまな出力を試すことができる。各ミントパスは公式NFTを1つ作成するために一度だけ使用でき、使用後はバーンされる。プロジェクトのドキュメントによると、ミントパスに有効期限はなく、既存の保有者は今でも公式アートワークをミントできる。Quit氏の警告は、新たな公開販売が開始したという虚偽の主張に関するものだけであり、QQL自体は公開ミントを再開していない。

ウォレットからの資金流出はどのように起こったのか

Quit氏の投稿では、偽アカウントの特定やスクリーンショットの公開はなく、被害者が偽サイトにアクセスしたのか、悪意のあるコントラクトを承認したのか、あるいは別種のリクエストに署名したのかについては言及されていない。

同様の手口は十分に文書化されている。FBIは2023年8月の勧告で、犯罪者が暗号資産を窃取するためにNFT開発者になりすますと警告しており、その手法には類似のソーシャルメディアアカウントの作成や実在アカウントの乗っ取りが含まれる場合がある。こうした投稿は多くの場合、焦りを煽り、被害者を偽サイトへ誘導する。ウォレットが接続されると、ユーザーは悪意のあるコントラクトが資産を移動することを許可するトランザクションを承認してしまう可能性がある。

同様の手法は他の最近の事例でも確認されている。10月5日、セキュリティ企業のSalusはRevenueに関連する悪意のあるUSDG承認を検出した。これは、権限を付与したのと同じトランザクション内で資金が移動されるというものだった。一部の承認はウォレットの所有者が取り消すまで有効のままとなるため、最初のやり取りから長期間経過した後でも、コントラクトが資産を移動できる状態が続く可能性がある。Etherscanのトークン承認チェッカーのようなツールを使えば、ウォレット所有者は未処理の承認を確認し、取り消すことができる。

正規のQQLミントパスの検証方法

ジェネラティブアートNFTにおいて、真正性を偽物と区別するのは、出力と公式コントラクトとの検証可能な結びつきである来歴(provenance)だ。QQLのドキュメントは、公式のミントパスコントラクトを0xc73B17179Bf0C59cD5860Bb25247D1D1092c1088として記載している。購入を検討している人は、セカンダリーマーケットでパスを購入する前に、公開イーサリアムブロックエクスプローラーであるEtherscanでこのアドレスを確認できる。プロジェクトはまた、偽のミントパスコレクションが存在することも注意喚起している。

執筆時点で、報じられた攻撃が正確にどのように行われたかは明らかになっていない。X上で今後流通する可能性のあるミント告知は、同じ参照情報——公式コントラクトアドレスとプロジェクトのドキュメント、およびQQLが公開ミントを再開していないという確認——と照らし合わせて確認することができる。

本レポートは当初、Blockonomiにより公開されたものです。