偽のXaman NFTでXRPを奪う詐欺が急増——手口と対策を徹底解説

XRP保有者を狙った組織的なフィッシングキャンペーンがXRP Ledger（XRPL）上で活発化しています。攻撃者は偽のNFTをXRPウォレットに一方的に送りつけ、その中に悪意のある「Buy Offer（買取オファー）」を仕込みます。ユーザーがそのオファーを承認・サインすると、ウォレット内のXRPやその他の資産が瞬時に引き出されてしまうのです。この詐欺はプロトコルの脆弱性を突くものではなく、完全にソーシャルエンジニアリングと人為的ミスに依存しています。

詐欺の手口

使用される偽のNFT名称

• 正規のXamanウォレットエコシステムを装い、「Xamanパス」や「ベータパスオファー」という偽NFTが送られてきます。
• NFTには「Verification: Safe XRPL verify message」といった誤解を招く認証メッセージが添えられていることもあります。
• 別の亜種では、支払リクエストに架空のメモを添え、「毎月の報酬」を約束してユーザーを悪意ある取引のサインに誘導します。

ユーザーが騙されてサインしてしまう悪意のある取引

1. 未承諾のNFTが被害者のウォレットに届けられます。多くの場合「賞品」「ギブアウェイ」「認証手順」などと表示されています。
2. そのNFTには隠された**Buy Offer（買取オファー）**が含まれています。ユーザーが報酬の受け取りや認証だと思ってこのオファーを承認すると、詐欺師がウォレット内のXRPやその他の資産を引き出す権限が与えられます。
3. 別の手口として、偽の支払リクエストを「安全なXRPL認証メッセージ」と偽って送りつけるものもあります。これに同意すると即座に資金が引き出されます。

報告されている被害額

• 2026年6月、ある被害者は「ウォレット認証」を装った不正な支払リクエストを承認し、**14,646 XRP（約16,800ドル）**を失いました。
• 2026年5月には、別の保有者が偽のNFTのBuy Offerを受け入れた結果6,000 XRPを奪われました。
• RippleのCTOであるDavid Schwartz氏は、XRPには発行元が存在しないため、盗まれたトークンを凍結、取り消し、回復することは不可能であり、損失は永久に続くと強調しています。

背景：「大幅な悪化」を見せるXRP詐欺の全体像

このNFTフィッシングキャンペーンは、XRPコミュニティを標的とするより大規模な詐欺の波の一部です。

David Schwartz氏の警告（2026年5月14日）

RippleのCTOであるDavid Schwartz氏はX（旧Twitter）で緊急警告を発し、**「XRPLユーザーを狙ったエアドロップやギブアウェイ詐欺が最近大幅に悪化している」**と述べました。同氏は、ソーシャルメディアで見られるこうしたプロモーションのほぼすべてが詐欺であり、InstagramやTelegramなどで自分を名乗る人物は詐欺師であると警告しています。

XRP Ledger Foundationの警告

XRP Ledger Foundationも同様の警告を発し、XRPコミュニティを狙った詐欺が**「急激に増加している」**と確認。ユーザーに対し、X上のエアドロップ、ギブアウェイ、偽のカスタマーサポートオファーを避けるよう呼びかけています。

同じ波の中で確認されたその他の詐欺手法

• XRPL FoundationとXamanウォレットを装い、偽の 「RLUSD Season 1」エアドロップ を宣伝する大規模なボットキャンペーン。
• Ripple幹部になりすましたディープフェイク（AI生成動画）による偽のギブアウェイ。
• 正規のXRPLウォレットを模したフィッシングサイトで、ユーザーにウォレット接続や不正取引の承認を促す手口。
• 偽のXamanデスクトップアプリや、毎日20以上の偽ソーシャルメディアアカウントが作成されている事例。

推奨される防御策

David Schwartz氏、Xaman創設者のWietse Wind氏、そしてXRPL Foundationの警告に基づく対策は以下の通りです。

• 身に覚えのないNFTオファーには絶対にサインしたり承認したりしない。 ウォレット内の不明なオファーはすぐにキャンセルしましょう。
• ソーシャルメディア上のエアドロップ、ギブアウェイ、「報酬」に関する宣伝はすべて無視する。 ほぼ例外なく詐欺です。
• 無料のXRPやNFT報酬を謳う見知らぬウェブサイトにウォレットを接続しない。
• ウォレットのシードフレーズや秘密鍵を誰とも共有しない。
• すべての連絡を確認する： RippleやXRPL FoundationがユーザーにXRPを送金させたり、ウォレットの詳細を尋ねることは決してありません。
• BithompやXamanなどのウォレットツールを使って保留中のオファーを確認・キャンセルする。 ただし、いったん資金が奪われれば、回復はほとんど不可能であることを認識しておく。
• X、Instagram、Telegram上のなりすましアカウントに注意する。 Schwartz氏自身も、これらのプラットフォームで自分を名乗る人物は詐欺師であると警告しています。