How the scam operates.
本件の手口は、機能するイーサリアム・ウォレットのインターフェースを装うものです。そのPunycode符号化(xn--metherwallet-3ml.com)が、特定のブラウザで表示された際に広く利用されているイーサリアム・ウォレットサービスと視覚的にほぼ同一に見えるドメインを登録することで、運営者は、正規のアドレスを打ち間違えたユーザーや、偽装されたリンクをたどったユーザーのトラフィックを横取りできる位置に当該サイトを置いています。表面上の見た目はセルフカストディ型ウォレットツールの想定されるレイアウトを模倣しており、Ether(イーサ)およびERC-20トークンの保有者を標的としています。
その仕組みはIDNホモグラフ攻撃に依拠しています。これは、ドメイン名の中で視覚的に類似するASCII文字を、1つ以上のUnicode文字で置き換える手法です。ブラウザのアドレスバーは当該ドメインのデコードされた形を表示することがあり、その背後にあるPunycode文字列を確認しないユーザーにとっては本物に見えてしまいます。このインターフェースを通じてウォレットにアクセスし、または復元を進めた被害者は、通常、シードフレーズまたは秘密鍵の入力を求められ、運営者はセッションが終了する前にそれをリアルタイムで取得します。
発覚の瞬間は通常、被害者が資金を送金しようとした際に、残高がすでに引き抜かれていることに気づくときに訪れます。シードフレーズの入力は取り消し不能であり、ウォレットへの完全なアクセス権を付与するため、その段階での資産回収は、いかなる形の直接的な巻き戻しでもなく、もっぱらブロックチェーンレベルのフォレンジック追跡に依存します。ホモグラフ・ドメインのインフラを背後で運営する者は、通常、窃取サイクルの直後に当該ドメインを放棄し、追及すべきカスタマーサポート窓口、登録された事業体、特定可能な相手方を一切残しません。
Red flags we documented.
- 01Punycode prefix signals homograph intentThe xn-- prefix in the domain name is not a formatting quirk; it is the technical marker that this domain contains Unicode characters. Its presence in a wallet-adjacent domain name is a near-universal indicator of a lookalike or impersonation operation rather than a legitimate service.
- 02Listed on CryptoScamDB community blacklistThe domain appears in the CryptoScamDB blacklist, a widely-referenced dataset of confirmed malicious cryptocurrency addresses and URLs maintained through community contribution and ongoing verification. Inclusion is a hard signal, not a probabilistic one.
- 03Seed-phrase solicitation is an absolute loss signalAny web interface requesting a wallet seed phrase or private key operates outside all legitimate norms. No genuine non-custodial wallet service requires this for standard access. Submission to an unverified site constitutes an immediate, total, and irreversible transfer of wallet control to the operator.
- 04No legitimate wallet platform uses IDN homograph domainsEstablished cryptocurrency wallet services do not register their primary interfaces under internationalised domain names that incorporate Unicode lookalike characters. Such registrations have no plausible commercial purpose other than deception.
- 05Disposable infrastructure with no verifiable operatorHomograph-domain operations are low-cost to create and trivial to abandon. No corporate identifiers, regulatory licences, or verifiable operator details are associated with this domain, which is consistent with infrastructure designed for a single harvest cycle rather than a sustainable service.
What you can do now.
Open a free 24-hour case assessment with CryptoLeek +
Tell us what happened. A senior analyst reads your file within 24 hours and replies with an honest yes/no/conditional on recovery. The assessment is free. If we cannot recover the funds we say so plainly, including which (free) regulator channel you should use instead. If we accept the case, we open a numbered case file and issue a written quote for a flat investigation retainer before any work begins, scoped to case complexity, the jurisdictions involved, and the on-chain trail.
Trace your funds on-chain with our analysts +
We trace stolen crypto across BTC, ETH, EVM L2s, Solana, Tron, and major stablecoins using the same toolchain as regulators and tier-1 exchange compliance teams. The output is a forensic report anchored to specific transaction hashes and block heights, the evidence that exchanges, payment processors, and counsel actually act on. Recovery starts here.
Recover with counsel where civil action makes sense +
Where the trace lands in a jurisdiction with cooperative banks and courts, we coordinate with bar-licensed counsel in our 40+ jurisdiction network for civil action and asset-freezing orders (Mareva-style). Counsel bill you directly; the CryptoLeek investigation retainer is independent of counsel fees. The outcome is funds released back to your nominated wallet or bank account.