盗む

The Blockによると、アメリカのミズーリ州の男性がビットコインを盗むことを目的とした強盗および誘拐計画に関与したとして有罪を認めました。検察によると、この男性と関係者は標的人物とその両親を追跡し、犯罪を実行する計画を立てていましたが、この男性はセキュリティカメラに映ることを心配し、計画を実行する前に現場から逃げました。この男性は最大で20年の懲役に直面する可能性があります。

研究者は PHP の脆弱性を利用して「私のビットコインを盗む」（Steal My Bitcoin）チャレンジを成功裏に攻略しました。このチャレンジの賞金は 0.02511679 BTC でした。しかし、チャレンジ運営側は後にサーバーに保存されていたのが誤ったウォレットキーであることに気付き、最終的に手動で賞金をその研究者に転送せざるを得ませんでした。

慢雾余弦の監視によると、ユーザーはiPhoneとiPadのシステムを迅速に更新し、インストールされている一部のアプリがDarkSwordによって毒されている可能性に警戒する必要があります。DarkSwordは主にiPhoneの暗号通貨ユーザーを狙った標的攻撃とコインの盗難を行い、iOSに関連する脆弱性を利用してサンドボックスを突破し、Keychain内のさまざまなパスワードなどのプライバシーデータや、ウォレットのローカル秘密鍵ファイル、メモなどのプライバシーデータを盗みます。

中国湖南省湘潭市湘潭县公安局青山桥派出所は最近、県局の支援を受けて娄底に赴き、悪意のあるリンクを利用して仮想通貨を盗む詐欺の拠点を成功裏に壊滅させ、3名の犯罪容疑者を逮捕しました。調査の結果、9月4日、管轄区域の住民曹某某が仮想通貨のQQグループ内で見知らぬリンクをクリックした後、アカウント内の6814元相当のUSDTが盗まれたと通報しました。8月以来、周某、陳某、梁某の3人は不正な利益を得るために、Telegram APPを通じて悪意のあるウイルスリンクを取得し、QQやWeChat内の仮想通貨交流グループを専門に探し、グループ内で悪意のあるリンクを送信し、クリック者のアカウント内の仮想通貨を盗む機会をうかがっていました。現在、3名の容疑者は盗難罪の疑いで法的に拘留されており、事件はさらに進行中です。

慢雾の発表によると、LiteLLMは再びサプライチェーン攻撃に遭い、悪意のあるバージョンlitellm@1.107.0がPyPIパッケージおよびDockerイメージに影響を及ぼし、latest、main-stableなどのフローティングタグが含まれています。注入された悪意のあるコードは、Pythonの起動時に自動的に実行され、クラウド認証情報、AI APIキー、SSH秘密鍵などの敏感なデータを盗み、リモートコード実行をサポートします。影響を受けたバージョンは削除または置き換えられました。慢雾はユーザーに対し、1.107.0バージョンの使用を避け、クリーンなイメージから影響を受けた環境を再構築し、漏洩の可能性のある認証情報をローテーションし、バージョンを1.106.2に固定することを推奨しています。

Ledgerの公式発表によると、そのセキュリティチームLedger Donjonが、東南アジアのディーラーCryptoBilisから販売されたLedger署名デバイス（signer）について調査を行っています。このバッチのデバイスには、無許可のハードウェアコンポーネントが埋め込まれていました。Ledgerは10月10日に影響を受けたユーザーのデバイスについてこの件を確認しました。Donjonの分析によると、埋め込まれた部品はデバイスの外殻内にあり、画面表示内容を読み取ることができ、初期設定時に24語のリカバリーフレーズをデコードし、内蔵eSIMを介してLTEで外部に送信されます。このコンポーネントはセキュリティチップ、システム、または取引署名を変更することはありません。現在、10月9日に開示された事件に関連する確認された資金損失はすべてCryptoBilisから販売されたデバイスに関係しています。CryptoBilisはLedgerデバイスの販売を停止しました。影響を受けたユーザーの総数および損失額はまだ確認されておらず、Ledgerは他のディーラーや地域での類似の埋め込み報告を調査しています。

慢雾余弦はXプラットフォームで発表し、iOS 27バージョン以前のシステムが一部のブラック・グレー産業団体によって脆弱性を利用され、iPhoneユーザーの暗号ウォレットが盗まれていると述べました。そのため、ユーザーにはiPhone、iPad、Macなどのデバイスを最新バージョンに更新し、不明な出所のアプリを慎重にインストールし、Safariやアプリ内蔵ブラウザを通じて不明なリンクを開く際には慎重になるように警告しています。

ブロックチェーンセキュリティ会社SlowMistの最高情報セキュリティ責任者23pdsは、攻撃者がDarkswordの脆弱性を利用して、Safariを通じてiOSのセキュリティメカニズムを回避し、デバイスを制御してホスティングされた暗号ウォレットから秘密鍵やその他のデータを抽出していると述べています。この脆弱性は、サウジアラビア、トルコ、マレーシア、ウクライナのユーザーを対象とした攻撃に使用されていました。Googleの脅威インテリジェンスグループは、Darkswordが最初にiOS 18.4から18.7バージョンにのみ影響を与えていたことを明らかにしました。23pdsは、攻撃者がこれをiOS 26.5に適応させたと述べていますが、この判断はまだ公式に確認されていません。攻撃は通常、ソーシャルエンジニアリングから始まり、ユーザーがソーシャルメディアや通信アプリを通じて送信された悪意のあるリンクをクリックすると、デバイスがRoot権限を取得し、ウォレットデータが抽出される可能性があります。ユーザーは、携帯電話のシステムを適時更新し、見知らぬ人から送信されたウェブサイトのリンクにアクセスしないようにするべきです。また、3人の投資家がApple公式App Storeから偽のウォレットアプリをダウンロードしたために約180万ドルのビットコインを失い、Appleに対して訴訟を起こしました。

Bitcoin News の監視によると、安全研究者は、Apple App Store を通じて配布されている FomoPeek 1.1 および 1.2 バージョンに、アプリケーションサンドボックスを逃れることができる iOS 脆弱性を利用するフレームワークが含まれていることを発見しました。このフレームワークは、キーチェーンデータ、ウォレットファイル、およびリカバリーフレーズを抽出することができます。SlowMist はこのアプリを複数の盗難事件に関連付け、約 58 万ドルが盗まれた USDT があるメインアドレスに流入したことを追跡しました。上記のいずれかのバージョンをインストールしたユーザーは、その iPhone でアクセス可能なキーが漏洩したと見なすべきであり、クリーンなデバイスで新しいリカバリーフレーズを生成し、直ちに資金を移動させるべきです。

慢雾セキュリティチームによると、無料VPSサービスを装った攻撃活動が監視されており、iOS 18.4から18.6.2バージョンのiPhone Safariブラウザを対象に攻撃が行われています。攻撃者は、コードネームDarkSwordの6つの脆弱性を利用して完全な攻撃チェーンを形成し、WebKitのリモートコード実行、サンドボックスの脱出、カーネルの読み書きなどの段階を含んでおり、ユーザーが気づかないうちにAppコンテナファイルやキーチェーンデータを取得し、imToken、TokenPocket、またはTronLinkなどのウォレットが前面にあるときにキーボード入力を記録します。慢雾チームは、上記の6つの脆弱性は現在Appleによって修正されており、現在の攻撃はn-day脆弱性チェーンの再利用に該当すると述べています。悪意のあるページにアクセスするだけでは、リカバリーフレーズや秘密鍵が盗まれたことを直接証明することはできず、デバイスの証拠収集を通じて確認する必要があります。iOS/iPadOSユーザーには、できるだけ早くシステムを18.7.3または26.3以上のバージョンにアップグレードすることをお勧めします。

ウクライナ国家警察と安全局は火曜日に、キエフを拠点とする偽の投資プラットフォームネットワークを壊滅させたと発表しました。このグループは内蔵ウォレット盗取ツールを通じて、20か国以上のユーザーから暗号通貨を盗みました。調査官は現在、ドイツ、ポーランド、リトアニア、ラトビア、スペイン、フランス、イギリス、カナダ、イスラエルなどの国民を含む62人の被害者を確認しています。組織者は46人以上のウクライナ人を募集し、キエフ及びその周辺地域で複数のオフィスを運営しており、開発者は偽のプラットフォームを構築し、封鎖に対抗し、他のメンバーは電話カスタマーサービスとセキュリティを担当しています。ウクライナ安全局によると、組織者は25歳のIT専門家であり、このグループはピーク時に月間売上が100万ドルに達しました。詐欺はTelegram上の暗号通貨投資プロジェクトの広告から始まり、ユーザーは登録後にウォレットを接続し、資金を投入します。グループのメンバーは手動で取引を偽造し、ユーザーのバックエンドに残高が増加していることを表示します。ユーザーが出金を申請すると、プラットフォームは検証を理由に主ウォレットを接続し、小額の「テスト」取引を承認するよう要求します。この承認は即座にサイト内蔵の盗取ツールをトリガーし、資産をグループが管理するウォレットに移動させ、被害者のアカウントをロックします。調査官はオランダでグループのデータベースを保存しているサーバー機器を追跡しました。その中には被害者情報、ウォレットアドレス、盗まれた金額、内部通信、プラットフォーム運営データが記録されており、ユーザーのパスポート、電話、メール、ログインパスワード、写真などの資料も含まれています。警察はキエフ及びその周辺地域で34回の捜索を実施し、100台以上のコンピュータ、100台以上の携帯電話、79枚のSIMカード、1台のGSMゲートウェイ、現金、15台の自動車を押収しました。

Cointelegraph の報道によると、サイバーセキュリティ会社 Morphisec が、Anthropic の「Claude Opus 5 Free Desktop」に偽装した偽のデスクトップアプリが Windows マルウェア RevStealer を広めるために使用されていることを明らかにしました。このソフトウェアは、50 種類以上の暗号通貨ウォレットデータを盗むことができ、さらにブラウザのパスワード、Cookie、VPN 設定、メッセージ履歴、スクリーンショットなどの敏感な情報も収集します。RevStealer は、検出回避機能を備えており、実行前にターゲットデバイスの環境を検査します。デバッグや仮想環境の特徴が見つかった場合は、実行を停止します。さらに、ロシアのサイバーセキュリティ会社カスペルスキーも、暗号投資家を狙った新しいマルウェアフレームワーク OkoBot を発表しました。これにより、ウォレットファイルを収穫し、悪意のある拡張機能を注入し、ウォレットアプリケーションのウィンドウをキャプチャして資産を盗むことができます。

安全会社Huntressによると、ハッカーは偽のGoogle Docsファイル、GitHubにホストされた悪意のあるファイル、Claude.aiの偽ページを通じて、暗号通貨ユーザーに情報窃取マルウェアを広めています。攻撃者はソーシャルプラットフォームX上でCoinDeskの上級社員を装い、オンライン会議に参加するように誘導して、悪意のあるコードを含むGoogle Docs文書を開かせ、ユーザーにマルウェアを自らインストールさせるように仕向けています。MacユーザーはAtomic macOS Stealer（AMOS）の脅威に直面しており、ブラウザのパスワード、暗号ウォレットデータ、Telegramファイルを盗むことができます。Windowsユーザーには偽のGoogle API Connectorの更新がプッシュされ、インストール後にNetSupport RATと偽のLedgerハードウェアウォレットアプリが埋め込まれます。さらに、ハッカーはBingなどの検索エンジンに虚偽の広告を掲載し、ユーザーを偽のClaude.aiページに誘導して悪意のあるコマンドを実行させ、関連するマルウェアMacSyncとSectopRATはCookie、保存されたパスワード、リカバリーフレーズ、支払いカード情報を盗むことができます。安全会社Socketも同時期にChromeとEdgeを対象とした16種類の悪意のある拡張機能を発見しており、EVM、Solana、Tronのウォレット資産を空にすることができます。

Decrypt の報道によると、セキュリティ会社 Socket は研究結果を発表し、77 の Firefox 拡張機能を「オフサイドウォレット窃盗工場」と呼ばれる悪意のある活動に関連付けました。そのうち 40 の拡張機能が悪意のある行為を確認されています。これらの拡張機能は OKX、Rabby Wallet、TronLink などの Web3 製品に偽装し、偽のウォレットインターフェースを通じてユーザーにウォレットのインポートを促したり、改変された本物のウォレットコードを使用してユーザーが入力する際にニーモニックフレーズや秘密鍵を盗みます。Mozilla の署名記録によれば、この活動は 3 月 9 日から 8 月 3 日まで続き、Socket の報告時にはまだ複数の拡張機能がオンラインでした。その中で約半数の拡張機能はリアルなウォレットインターフェースを表示し、ユーザーに既存のウォレットをインポートするよう要求し、入力されたニーモニックフレーズや秘密鍵をキャッチします。さらに 13 の拡張機能は Rabby の改変版で、正常に動作しながらウォレットに保存されたアカウントデータを外部サーバーに送信します。5 つは保存された証明書やクリップボードの内容を収集するために特化しています。また、37 の拡張機能はパスワードジェネレーター、ダークモード切替、VPN、通貨コンバーター、メモツールに偽装し、実際には同じハードコーディングされた証明書を共有するスポーツスコアアプリを実行しています。9 の確認された悪意のある拡張機能は最初にサッカーやバスケットボールなどのスコアアプリとして公開され、その後の更新でウォレット窃盗コードに置き換えられました。Socket はこの活動を「オフサイドウォレット窃盗工場」と名付けましたが、すべての拡張機能が同一のオペレーターによって制御されているかどうかは確認されていないと警告しています。Socket チームは、これらの拡張機能にニーモニックフレーズや秘密鍵を入力したユーザーは「永久に漏洩した」と見なされ、直ちに資金を新しいウォレットに移動するべきであると述べています。拡張機能をアンインストールしても、他の場所に送信されたニーモニックフレーズを取り消すことはできません。

CoinDesk の報道によると、アメリカ国税庁（IRS）は、アメリカの暗号通貨保有者を狙った高度なメールフィッシング活動が拡大していると警告しています。攻撃者は公式の税務書類を偽造し、ユーザーに悪意のある QR コードをスキャンさせることで、暗号ウォレットの証明書や秘密鍵を盗もうとしています。報告によると、攻撃者は IRS を装って紙の手紙を送信し、「税務コンプライアンス」や「アカウント確認」といった名目で緊急感を煽り、手紙に QR コードを添付しています。一度ユーザーがスキャンすると、偽のウェブサイトに誘導され、ウォレットのログイン情報、リカバリーフレーズ、または秘密鍵が漏洩し、デジタル資産が盗まれる可能性があります。IRS は納税者に対し、公式機関が非公式な手段でユーザーに暗号ウォレットの秘密鍵、リカバリーフレーズ、または「ウォレット確認」操作を要求することはないと警告しています。暗号通貨保有者は、QR コードのスキャン、ウォレットの接続、または敏感な情報の提出を求める疑わしいメールや手紙に警戒する必要があります。暗号資産保有者の規模が拡大するにつれて、デジタルウォレットを狙った社会工学的攻撃が増加しており、規制機関やセキュリティ機関は関連する詐欺活動に対する防止の警告を強化しています。

Decrypt の報道によると、セキュリティ会社 Bitdefender は、新しく公開されたハリウッド大作「オデッセイ」（The Odyssey）の海賊版ダウンロードリソースに、攻撃者が Lumma Stealer 情報窃取マルウェアを埋め込んでいると警告しています。これは、偽の映画ファイルを通じてユーザーの暗号通貨ウォレット、パスワード、ブラウザデータを盗もうとする試みです。Bitdefender によると、悪意のあるファイルは映画が公開されてから数日以内に拡散し始め、攻撃者はそれを高画質の WEBRip またはブルーレイ版リソースに偽装し、正規のトレントファイルに似た名前を使用してユーザーをダウンロードさせようとします。実際、これらのファイルは動画ではなく、Windows 実行可能プログラムであり、実行するとデバイスに感染します。攻撃者は通常、ファイルのアイコンを置き換えて VLC プレーヤーや動画ファイルのように見せかけ、Windows のデフォルトでファイル拡張子を隠す設定を利用して、ユーザーがリスクを認識する能力を低下させます。一度実行されると、Lumma Stealer はブラウザに保存されたパスワード、支払い情報、自動入力データ、リモートデスクトップの資格情報、そして暗号通貨ウォレットを含む敏感な情報を収集します。さらに、このマルウェアは認証クッキーを盗み、ユーザーが多要素認証 (MFA) を有効にしている場合でも、攻撃者が一部のアカウント保護措置を回避する可能性があります。

オンチェーン探偵のZachXBTは投稿し、アメリカの脅威行為者Tiffany Milanovichがハードウェアウォレットや中央集権取引所のカスタマーサポートを装って、少なくとも約500万ドルの暗号資産の盗難に関与していると述べています。その手口には、Bitcoin IRAのメールサポートを装い、ある攻撃では被害者のTrezorウォレットから約120万ドルのBTCとETHを転送し、別の事件ではCoinbaseアカウントから約50万ドルのBTCを盗むことが含まれています。Tiffanyは「カスタマーサポートの電話」として被害者に資金アクセス権を渡すように誘導し、その後、ソーシャルメディアやTelegramグループで盗んだ資金を自慢し、被害者を嘲笑する録音を行い、他の脅威行為者と協力してフィッシングパネルや即時交換サービスを利用してマネーロンダリングを行い、盗まれた資金の一部は現在もオンチェーンで休眠しています。コードネーム「Tiffany」の脅威行為者は、複数の暗号資産の盗難に関与しており、被害者の盗まれた資金を暗号カジノでギャンブルに使っています。プラットフォームShuffleはZachXBTが提出した証拠に基づいて関連アカウントを凍結しました。Tiffanyは以前、コネチカット州の捜索押収令状を共有しており、その文書の日付は今回の一部の事件よりも早いです。ZachXBTはチャット記録、録音、オンチェーンの証拠を把握しており、この人物がさらなる法的結果に直面する可能性があると予測しています。この脅威行為者は、John Daghita（Lick）事件とも関連があり、後者はアメリカ政府に押収されたウォレットから4600万ドル以上の暗号資産を盗んだ疑いがあります。

英国の《フィナンシャル・タイムズ》によると、詐欺師はEUのMiCA新規則を利用して、ライセンスの締切後に無許可の暗号プラットフォームから資産を引き出すことを余儀なくされたユーザーをターゲットに詐欺を行っています。詐欺師は規制機関や暗号取引所を装い、ユーザーに資金を偽の口座に移すように誘惑しています。

彭博社の報道によると、アメリカ国税庁（IRS）は暗号資産の保有者に警告を発し、詐欺師が偽の手紙を郵送する方法で一部の納税者に接触し、彼らのデジタル資産や個人データを盗もうとしているとしています。IRSは、これらの手紙が納税者に「Digital Asset Compliance Portal」と呼ばれるものへの登録を求める可能性があるが、そのポータルは存在しないと述べています。また、IRSはユーザーに対し、疑わしいQRコードをスキャンしないこと、また支払いを要求する電話に応じないことを呼びかけています。フィッシングやデジタル詐欺は暗号業界では新しいものではありませんが、実際の郵便で偽のIRS通知を送信することは新しい詐欺手法のようです。IRSは過去に納税者に対してデジタル資産に関連する手紙を送信したことがあり、昨年は暗号税務申告通知が急増したため、多くの納税者が混乱を感じていることから、詐欺師はこの親しみやすさを利用して偽装している可能性があります。アメリカの税務システムが納税者に税申告書で暗号資産の活動を開示することを求める中、IRSと暗号資産の保有者との通信がより一般的になっています。これにより、偽の税務通知がより混乱を招くものとなっています。暗号ユーザーは、ポータル登録、QRコードスキャン、ウォレット接続、または支払い要求に関する「IRSの手紙」に遭遇した場合、特に警戒し、公式なチャネルを通じて確認することが重要です。

財務大臣スコット・ベッセントはXプラットフォームで、オープンソースAIとそのもたらす革新を支持すると述べたが、オープンソースはアメリカの知的財産権を無視する口実ではない。中国企業が秘密裏に、産業規模での精製攻撃を行い、知的財産権の盗用に該当する場合、制裁を検討し、実体リストに載せることを考慮する。