2026年8月7日、Trezorを偽装したフィッシングサイトがGoogleのスポンサード検索結果の上位にランクインし、ユーザーがウォレットの回復フレーズを入力させられたことで資金が流出した。この偽ページはGoogle自身のSitesプラットフォームにホストされており、Trezorの公式インターフェースを非常に忠実に模倣していたため、少なくとも1人の被害者が人生全体の貯蓄を失ったと報告されている。
この詐欺の仕組み
フィッシングページは、sites.google.com/view/start-trezor-suiteで始まるURLにホストされており、これはランダムなドメインでは得られなかった信頼性を演出しました。Google Sitesは誰でも利用できる無料のウェブサイト作成ツールであり、スカムをそこにホストすることで、URLが多くの人が本能的に信頼するドメインで始まることになりました。
ページにアクセスすると、ユーザーは12語または24語の復元用フレーズ、つまり暗号ウォレットのマスターキーを入力するよう求められました。Trezorなどのハードウェアウォレットは、初期設定中にこれらのシードフレーズを生成します。これらのフレーズを所有している誰でも、世界中のどのデバイスからでもウォレットを再構築し、残高をすべて引き出せます。
Trezorはこの事象を認識しており、内部で対応を進めていることを確認しました。同社は、不正な広告を削除するためGoogleと協力しているとともに、暗号資産セキュリティの基本ルールとして、いついかなる場合もシードフレーズを誰とも、どのウェブサイトとも共有しないようユーザーに再確認しました。
異常ではなくパターン
この攻撃は突然発生したわけではありません。2025年から2026年にかけて、暗号通貨ユーザーをターゲットにした有料検索広告の不正が繰り返し発生しています。2026年5月には、偽のUniswapサイトを用いた同様のスキームにより、ユーザーが40万ドル以上を損失したと報告されています。
Trezorとそのコミュニティは、正当な検索結果をはるかに上回る誤解を招く広告のリスクを長年警告してきました。スポンサード結果が有機的結果よりも上に表示されるため、資金が豊富な攻撃者は検索結果で正当な企業を上回ることができます。
なぜGoogle広告が弱い環節であるままなのか
この出来事から浮かび上がる不快な質問は、Googleの広告スクリーニングプロセスに関するものです。有名な金融製品を偽装したフィッシングページが、存在するあらゆる審査メカニズムを通過し、検索結果ページの最も目立つ位置に表示されました。
暗号資産ユーザーにとって、防御策はこれまで数年間変わらず同じです。検索してサイトを探すのではなく、公式サイトをブックマークしてください。回復用フレーズをどのウェブサイトにも入力しないでください。金融製品に関わるものは特に、スポンサード検索結果を深く疑ってください。また、正当なウォレットプロバイダーは、いかなる状況下でもウェブフォームを通じてあなたのシードフレーズを要求することはありません。