偽スワップサイト・偽サポート・偽エアドロップ：実測チェックリスト
2026年10月26日、当サイトの28の類似ドメインを調べたところ7つがDNS応答、21がNXDOMAIN。証明書の日付・CT・NS・メールポリシーを全件確認し、本物とクローンを分ける90秒の手順を書きました。
まず測った。 2026年10月26日06:01〜06:05 UTC、当サイトのドメインから28個の類似名を作りました。別TLD、ハイフン入り、文字の入れ替え、重複文字、そして定番の `veilswap.io.co` という接尾辞の手口です。次にDNSにどれが存在するか聞きました。7つが応答しました——veilswap.com、veilswap.co、veilswap.app、veilswap.finance、veilswap.xyz、veilswap.cc、veilswap.trade。21個はNXDOMAINで、veilswap.org、veilswap.net、veil-swap.io、veilswep.io が含まれます。応答した7つのうち4つは8秒以内にTLSハンドシェイクを完了せず、1つはHTTP 404、1つはドメイン仲介業者への302、1つはサイトビルダーのプレースホルダでタイトルは「Veil Swap」でした。その朝、交換フォームを出していたものは一つもありません。
鍵アイコンは身元ではない。 ドメイン認証型の証明書は無料で数分で発行されるので、鍵が証明するのは「443番で応答した者が、あなたが入力した名前の証明書を持っていた」ことだけです。このドメインは40日です。WHOISの作成日は2026-09-16T10:30:26Z、レジストラはGoDaddy、有効期限は2027-09-16。現在の証明書はGoogle Trust Services WE1発行、2026-09-16T10:02:48Zから2026-12-15T11:00:26Zまで、veilswap.ioと *.veilswap.io をカバーします。Certificate Transparencyにはこの名前の記録が5件、4つのCAにまたがります——Google Trust Services、Let's Encrypt（3回の別々の発行）、CloudflareのTLS Issuing ECC CA 4。5件のうち4件はveilswap.io、www.veilswap.io、ワイルドカードをカバーし、5件目は今日は解決しない単一のサブドメインだけです。最後の1件が要点です。CTは誰も公表していない名前まで記録し、ある名前に対して誰が証明書を出されたかを示す唯一の公開・追記専用の台帳だからです。
90秒の4項目。 コマンド4つ、信頼は不要です。`whois veilswap.io` で作成日——当サイトは執筆時点で40日前。`openssl s_client -connect veilswap.io:443 -servername veilswap.io | openssl x509 -noout -issuer -dates -ext subjectAltName` で発行者・有効期間・対象名——当サイトはGTS WE1、2026-09-16から2026-12-15。CT検索で履歴——40日で5件は新規ドメインの姿、昨日1件はクローンの姿です。`dig NS veilswap.io` でネームサーバー——当サイトは arch.ns.cloudflare.com と imani.ns.cloudflare.com、メールは route1-3.mx.cloudflare.net。クローンはページも文言もヘッダーも午後一つで写せます。日付、CT履歴、NSの組は、名前を実際に支配しない限り写せません。
7つは実際に何だったか。 veilswap.com は2026-05-17登録、現在はNameBrightのNSにあり、HTTP 302でhugedomains.comへ——売り物です。veilswap.co と veilswap.trade はGoDaddyのNSで、TLSは完了しませんでした。veilswap.app はVercel上で2026-09-20発行のLet's Encrypt証明書を持ち、404を返します。veilswap.finance はレジストラに停止されています。NSの名前が verify-contact-details.namecheap.com と failed-whois-verification.namecheap.com だからです。veilswap.cc は2026-10-04登録、NSはRailwayのホスト1つだけで、証明書は2026-09-27——自身の登録記録より7日早い。証明書はそのホストのもので、名前のものではないからです。veilswap.xyz は2026-05-23登録で、GoDaddyのビルダーのプレースホルダ「Veil Swap」を出しています。どれかを詐欺と断定はしません。意図は見えませんし、パーキングは犯罪ではありません。より狭い結論で十分です。解決する名前は何も証明せず、この7つは7通りの方法でそれを示しました。
文字に見えて文字でないもの。 veilswap.io は11文字です。aをキリル文字のа（U+0430）に変えると、多くのフォントで同じに見え、DNSは xn--veilswp-7fg.io を見ます。iをキリル文字のі（U+0456）に変えると xn--velswap-sog.io。キリル文字のіをTLDに入れると veilswap.xn--o-evb。ブラウザがpunycode接頭辞を出すのはラベルが文字体系を混ぜたときだけで、それ以外は嘘をそのまま見せます。サブドメイン版はもっと安上がりです。support.veilswap.io.evil.example は evil.example 内のホストで、スマートフォンではURLの右端こそ切り捨てられる部分です。規則は一行です。最初の単一スラッシュから左へドメインを読み、xn-- を見たら止まる。
サポートが先に連絡することはない。 当サイトのサポート経路は1つだけ、[email protected] へのメールです。利用規約とプライバシーのページに載っているのと同じアドレスです。Telegramのサポート窓口も、Discordも、「データベースで注文IDを見つけました」と切り出す担当者もいません。表示名ではなくヘッダーを見てください。SPFは v=spf1 include:_spf.resend.co ~all、DMARCは p=none で報告先は [email protected]。この p=none は実際の弱点で、飾りません。受信側に拒否ではなく監視を求める設定なので、偽装された From: も受信箱に届き得ます。さらに現在このドメインにCAAレコードはなく、どのCAでも発行できます。どちらも修正リストにあります。変わるまで、信頼できる確認は「クリックを求められたリンクのドメイン」だけです。
エアドロップが求める、どのウォレットも渡す必要のないもの。 シードフレーズはパスワードではなくウォレットそのものです。12語や24語を持つ者が残高を持ち、トークンを送るのにそれを求めるサービスはありません。ここの注文フォームも同じで、求めるのは受取アドレスと任意の返金アドレスだけ。メールもパスワードもシードも不要です。入金アドレスは注文ごとに発行され、注文を作った後に注文ページにだけ現れます。したがってDMやコメントや動画説明で届いたアドレスは、隣にどんなロゴがあっても当サイトのアドレスではありません。トークン承認は同じ攻撃の後半です。未知のコントラクトへの無制限アローランスは、以後あなたの再署名なしに残高を動かせます。承認画面はシード画面と同じ疑いを持つべきです。
チェックリスト。（1）ドメインは手入力し、リンクから行かない。（2）証明書の日付は時間ではなく週で数える。当サイトの証明書は登録記録の28分前に発行され、それが立ち上げの姿です。クローンは数時間のことが多い。（3）CTで名前を検索する。昨日1件なら歴史は1日。（4）NSを見る。共有ホスティングのクローンはまず一致しない。（5）メッセージで届いた入金アドレスは使わない。（6）送金前にアドレスの先頭6文字と末尾6文字を注文ページと突き合わせ、中間はチェックサムに任せる。すでに送ってしまったなら、取引は数秒で確定し、チャージバックはなく、残る唯一の手段は宛先が取引所の入金アドレスだった場合に凍結を依頼することだけです。
正直な限界。 これはある朝の1つの名前の28変種です。同形字の空間は事実上無限で、レジストラは毎日名前を増やします。CTが証明するのは証明書の存在で、誰がなぜ申請したかではありません。ドメイン年齢は両刃で、当サイトは40日なので「古いドメイン」という信頼基準は当サイト自身を落とします。それを隠さず書きます。すべてを越えて残るのは三段の習慣です。通信経路を確認する（証明書の日付、CT履歴、NS）、窓口を確認する（メールのみ、先方から来ない）、宛先を確認する（注文ページ、チェックサム、先頭と末尾6文字）。習慣のコストは90秒。省いたコストは貼り付けた額そのものです。今日06:03 UTC、100 USDT-TRC20は0.14928856 XMR（見積由来669.84 USDT/XMR、スポット588.09）。その1円も戻りません。 (XMR→USDT 出口ルート)