ぬるっと暗号資産を盗み出す「クリップボード・ハイジャッカー」の原因箇所のひとつと対策

ウォレットアドレス、例えばERC-20は42桁ですが、これをコピーすると

通常なら

0x6d887844f669017c85be2b4a5fbaa499b7fe578f

というアドレスがコピーされるハズが、なぜか

0xb6dd6E2cB98B43dAC95dC54684D0a27A812D1848

というような別のアドレスがクリップボードに記録され、もしもこれで送金しようと貼りつけたら全く別のアドレスに送金されてしまう事に…という最近出回っているクリップボード機能をハイジャックするというマルウェアのようです。

最初に触れましたが、ERC-20のウォレットアドレスは通常42桁。

41桁をコピーする分には

0x6d887844f669017c85be2b4a5fbaa499b7fe578

というように問題ありませんし

123456789012345678901234567890123456789012

ただ42桁をコピーするだけではなんの問題もありません、しかし

0x1234567890123456789012345678901234567890

のように「0x」から始まる42桁の数字をコピーした時だけ

0xb6dd6E2cB98B43dAC95dC54684D0a27A812D1848

このように別の数字がクリップボードに保存されます。

・

・・

・・・

なんとも巧妙な手口ですね、アドレスは長いし気にしなければあっさり引っかかってしまいそうですね、削除方法は感染経路によって難しい場合もあるようですが、分かりやすいケースで言えば

AutoIt v3 Script(Beta)(32ビット)
もしくは
AutoIt v3 Script(32bit)

これがいたらほぼ確定なのでまずは「プロパティ」を開きどんなファイル名で動いているかを確認し、次に「ファイルの場所を開く」でフォルダを表示してから

タスクを終了し、同ファイルを削除してみましょう、もう普通にコピー出来るようになっているハズです。

しかしここに無かった場合はクリップボードのレジストリ部分にも記載されていませんし、かなり分かり難い場所に潜んでいると思われますので「0xから始まる42桁」以外にどんな罠を仕掛けられているかも分かりません。

何のアプリをインストールして、または拡張機能を入れてそうなったか分からない場合は誤送金や詐欺被害に遭う前にWindowsの再インストールをお勧めします。

暗号資産をお持ちの方は一度自身のウォレットアドレスをコピペして、謎の数字が出ないかチェックしてみてください。

ではでは。