詐欺師の正体：4つの詐欺バックエンドを徹底解剖

 Apache上のExpress.js、実質的なセキュリティ対策は皆無

 「認証」――冗談だ

このAPIには、ハードコードされたBearerトークンが付属しています： thisisakeyforsecureserver。でも、ここが肝心なところだ―― トークンは実際には検証されていない:

 ゼロ入力検証

テストしたすべてのインジェクションペイロードは、何の警告もなく受け入れられました：

 パフォーマンス・フィンガープリント

ペイロードのサイズ（10バイトから10MBまで対応）にかかわらず、POSTのリクエストに対する応答時間は一貫して約7.5秒であり、バックエンドでメール転送またはWebhookの中継が行われていることが示唆される。GETのリクエストに対する応答時間は0.6秒である。10件の並列リクエストは9.1秒で完了し、レート制限は適用されていない。

 セキュリティルールが一切ない Firestore

 被害者データ — 誰でも自由に閲覧可能

Firestore REST API への認証されていない単一の GET リクエストにより、以下の結果が返されました 盗まれたすべてのシードフレーズ:

12件の記録の中には、ある示唆に富む項目があった――誰かがすでにこのシステムをテストしていたようで、 fbi@fbi.gov そのメールのように。詐欺師は、自身のシステムをテストしていた（身元特定に役立つ）か、あるいは誰かがすでにそのシステムを調査していたかのどちらかだ。

 攻撃の流れ

このフィッシングサイトは、[REDACTED]のウォレットのインターフェースを模倣しています。被害者が「ウォレットを接続」をクリック → シードフレーズを入力 → ReactのフロントエンドがFirestoreに直接書き込み → 詐欺師が、その公開されたデータベースから情報を読み取ります。 バックエンドサーバーは一切ありません。 このシステム全体は、Googleの無料プランで稼働しています。

 行レベルのセキュリティが無効、GraphQLは完全に開放されている

 データベースへの完全なアクセス権 — 読み取り、書き込み、削除

ミニファイされたJavaScriptバンドルに含まれるSupabaseのanonキーは、以下の権限を付与します 完全なCRUDアクセス ～へ seeds 表：

IDは130から始まります — つまり、レコード1～129は、以前にオペレーターによって削除されていた。少なくとも131個のシードフレーズがこのシステムを通過している。

 エッジ機能：メールの履歴

2つのSupabase Edge Functionsがアクティブになっています。私たちはこれをリバースエンジニアリングして、 send-email ペイロードをテストして、関数の期待される入力形式を確認する：

API キーの再送信（RESEND_API_KEY) は Supabase の環境変数に保存されます。Resend は送信者の認証記録と課金データを管理しており―― 演算子の正体を突き止めるもう一つの直接的な方法.

 5.8日間で19,000のシードフレーズ

 連番IDによって明らかになった規模

最も致命的な過ち： 連続したジョブID. シードフレーズを送信するたびに連番のIDが返されるため、誰でも総取引量を算出することができます：

 マルチチェーンアーキテクチャ

C2サーバーは、深さ100の導出パスを使用して、すべての主要チェーンにわたって鍵を導出します：

 キャンペーンのインフラ

2つの事業者グループにまたがる、Bundle IDで追跡された11の確認済みドメイン：

 JavaScript ペイロードの分析

3つの難読化されたJSペイロードが、ドレイナーに配信される：

• wallet-connect.js (46 KB) — ウォレット接続のUIを処理し、シードの入力を傍受する。文字列配列のローテーションによる難読化。
• wallet-specific-modals.js (134 KB) — 以下の内容が含まれています BIP39の完全な英語単語リスト そして Moneroのワードリスト (1,626語)。console.log/traceの上書きによるデバッグ対策。マルチウォレットモーダルのサポート。
• [REDACTED]/index.js (601 KB) — 中国語の変数名を用いたUnicode難読化処理が施されています。Solana専用のドレイナーロジック。Base58エンコーダー、暗号鍵導出プリミティブ。バージョン 3.0.0。