あなたのNFTに誰が入札しているか、本当に把握していますか？

Angel Grant

Web3企業が悪意のあるボットから顧客を守る必要がある理由

非代替性トークン（NFT）は、ブランドに大きな収益機会をもたらす一方、当初からセキュリティを考慮しなければ、サイバー犯罪者に悪用されるおそれがあります。Adidasは初のNFTドロップで2,000万ドル超を売り上げました。現在では、多くの主要スポーツリーグが、こうした現代版のコレクターズアイテムを取り入れています。その好例が、NBA Top Shotです。これは、NFT形式のデジタルバスケットボールコレクティブルを提供するオンラインマーケットプレイスで、NBAプレーオフと、元Los Angeles Lakersのスター選手Magic Johnsonによる初のNFTドロップへの期待を追い風に、大きな注目を集めています。

NBAファイナルと父の日が近づき、卒業シーズンも真っ盛りの今、NFTマーケットプレイスにとって、限定リリースのNFTを父親や卒業生への最適な贈り物として宣伝する絶好の機会です。しかし、NFTが最近もたらした高額な収益には、悪意ある攻撃者も目を付けています。ボットはサイバー犯罪者の秘密兵器です。サイバー犯罪者はボットを使って混乱を引き起こし、価格を操作し、顧客を欺き、NFTエコシステムを弱体化させます。マーケットプレイスにボットが入り込んでいるとしたら、コレクターや投資家はNFTの真の価値をどのように見極めればよいのでしょうか。

NFTマーケットプレイスや、その他のWeb3ビジネスモデルを検討している組織は、メタバースで事業を展開するうえで急速に変化するセキュリティ要件を理解し、対応する必要があります。こうした新しいデジタル取引所が成功するには、NFTへの投資、マーケットプレイスの評判、顧客の活動や体験を守るため、ボットなどによるサイバー攻撃に対して動的なセキュリティ防御を提供する必要があります。

ハッカーがNFT販売にボットを集中させるのはなぜでしょうか。端的に言えば、そこに金銭的利益があるからです。Chainalysisによると、NFT市場は2021年末までに410億ドル規模へと成長しました。NFTマーケットプレイスのエコシステムは比較的新しく、その技術やプロセスはまだ多くの人に十分理解されていないため、格好の標的となっています。一方、サイバー犯罪組織は長年の経験を持ち、ボットを使って混乱を引き起こす手法をすでに確立しています。

銀行、証券会社、保険会社などの従来型金融サービスは、年々巧妙化するボット攻撃に長年対処してきました。Eコマース業界もボットによる深刻な被害を受けており、特に、スニーカーなどの限定商品が発売される際には、在庫を買い占めるボットの標的となっています。ブロックチェーン、暗号資産、分散型金融は比較的新しいイノベーションですが、すでに成熟し、実戦で鍛えられたサイバー犯罪環境に直面しています。

注意すべきボット

NFTマーケットプレイスにとって、ボットは避けて通れない存在です。NFTドロップは悪意のあるボットに悪用されやすく、価格や商品の在庫状況を操作されたり、偽の商品を販売されたりするおそれがあります。また、ボットは、Webサイト全体の停止、個人情報の盗用、その他の個人金融情報の不正取得などを伴う、より大規模で悪質な計画の一部として使われることもあります。対策が必要なボットには、次のような種類があります。

• 購入ボット。自動購入ボットは、オンラインの商品やサービスが販売開始された瞬間に大量購入するよう設計されています。これらのボットは、決済手続きを瞬時に完了します。その目的は、価値の高い在庫を大量に確保することです。通常、確保された在庫は流通市場で大幅に上乗せした価格で転売されます。こうしたボットは実際の購入者による購入を妨げ、NFTなどの仮想商品を入手できない状況を生み出すため、消費者の不満につながります。
• 入札ボット。これらのボットは、偽の入札によってNFTの価格を操作し、転売戦略に応じて価格を上げたり下げたりします。価格引き下げボットは、NFTの希望価格を大幅に下回る安値で大量に入札することで、実際には一度も購入せずにNFTの価値を下げることができます。価格引き上げボットは、低価格のNFTを購入して人為的に希少性を生み出し、人気を高めることで、購入者に残りの在庫をより高い価格で購入させます。多くの場合、これは二次流通市場で行われます。悪質なケースでは、入札ボットが自動入札による競争を引き起こし、NFTの価格を人為的につり上げることがあります。
• 偽造NFTボット。街角で売られている偽のRolex腕時計と同様に、ボットはポリシーIDと一致しない偽のNFTプロジェクトを販売するために利用されることがあります。消費者が詐欺業者から誤って偽のNFTを購入した場合、返金される可能性はほとんどなく、適切な認証がなければ合法的に再販することもできません。
• 偽プロモーションボット。ボットがフィッシング詐欺を装い、ユーザーを誘導してリンクをクリックさせ、偽のYouTube Genesis Mint Passなどの非常に限定的なオファーを利用するよう仕向けることもあります。

NFTマーケットプレイスで横行するボット活動は、疑念や不信感を生み、購入を検討している人だけでなく、オンラインマーケットプレイスで作品や商品を販売する正規の販売者、アーティスト、アスリート、クリエイターにも影響を及ぼします。悪意のあるボットは、ブロックチェーンベースの市場の成長を妨げる可能性があります。さらに、NFT取引所がボットの温床と見なされるようになれば、新たなデジタル経済を象徴する最も活気ある分野の1つが脅かされかねません。

マーケットプレイスをボットから保護

NFTマーケットプレイスやその他のWeb3サービスを運営するうえで重要なのは、お客さまが安全で高速かつシームレスな体験を期待しており、その実現に向けて講じられる対策があるということです。

F5は、多くの大手NFTマーケットプレイスや取引所と緊密に連携し、当初から高度なセキュリティと保護対策を導入できるよう支援してきました。これにより、ログインを狙うボット攻撃からの保護、不正アカウント作成の阻止、在庫を買い占めてNFTの価格をつり上げるボットの防止に貢献しています。

父の日や卒業祝いの贈り物としてNFTのプロモーションを検討している場合は、次の点にご留意ください。

• 不正な新規アカウント開設のパターンを把握し、新規アカウント登録を検証する
• 高度な人間模倣型の自動化やツールの再構築を防ぐため、ボット対策戦略を評価する
• すべてのトランザクションを監視して、不正やリスクの高い行動の兆候を検知し、ログインシステムを強化することで、アカウント乗っ取りを防止します。対策の対象：クレデンシャルスタッフィング
• 認証インテリジェンスを活用してユーザーの負担を軽減し、顧客体験を向上
• プラットフォーム上のユーザーを管理し、顧客かボットかを識別します。上流でボット攻撃をブロックすることで、下流での不正行為の削減に役立ちます
• 不正行為に先手を打つため、新しいツールや外部のインテリジェンス支援を活用して、セキュリティチームと不正対策チームを強化する方法を検討します
• 犯罪者は今後も攻撃手法を変え続けると想定し、それに応じて防御策も迅速に見直せるようにする必要があります

お客さまのサイバー犯罪対策を支援

お客さまからの信頼を守り、さらに高めるには、まず啓発が重要です。お客さまに共有できるヒントをいくつかご紹介します。

• ハードウェアウォレットの利用を検討してください。暗号資産でNFTを購入する場合は、購入とNFTの保管にソフトウェアウォレットではなく、ハードウェアウォレットを利用することを検討してください。ハードウェアウォレットは、秘密鍵へのアクセスを防ぐ専用ファームウェアを搭載した外付けの物理デバイスです。ボットやその他のサイバー攻撃から暗号資産とNFTを保護することで、購入時のセキュリティを大幅に向上できます。
• 契約内容を必ず確認してください。 NFTを購入する際は、ほぼ必ず販売者との「スマートコントラクト」が伴います。ブロックチェーン上で発行されるスマートコントラクトには、所有権や取引の詳細など、NFTに関連付けられた固有の情報が記載されているため、承認前に内容を慎重に確認してください。スマートコントラクトでは、NFTの取引やその他の所有権に関するルールが定められている場合があるため、同意する内容を十分に把握しておくことが重要です。
• 偽のマーケットプレイスにご注意ください。セキュリティを重視し、ボットによる取引を排除している信頼できる組織からのみ、NFTの購入を検討してください。
• 利用しているNFTマーケットプレイスの連絡方法と、NFTが盗まれた場合に取れる対応を把握してください。 マーケットプレイスからの連絡方法と、NFTが盗まれた場合の救済手段を事前に把握しておくことで、フィッシング攻撃、なりすまし、その他の詐欺を回避しやすくなります。

他の組織がボットから顧客と自社をどのように保護したかをご覧になりませんか？F5 Bot Defenseの総経済効果（Total Economic Impact）レポートをご覧ください。Forresterによるレポートです。

F5 Distributed Cloud Bot Defenseの実際の動作をご覧になりたい場合は、F5のDevCentralでデモをご覧ください。

また、ボット対策ソリューションを選ぶ際のポイントについては、ボット緩和ベンダーに確認すべき10の質問をご覧ください。

著者について

Angel Grant

Angel Grantのその他のブログ記事