米サイバーセキュリティ企業のRapid7は、暗号資産ユーザーを標的とした大規模な詐欺キャンペーン「Operation ASTERIX（アステリックス作戦）」の詳細を公開しました。攻撃者は約88万5,000件の電話番号から暗号資産サービスの利用者を特定し、メールや電話、精巧な偽ウォレットアプリを連携させた多段階の攻撃を仕掛けていました。さらに、マルウェアの開発や安全対策の回避にAIコーディングアシスタントが深く組み込まれていたことが判明しており、攻撃手法の高度化を示す事例として注目されます。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
暗号資産保有者を特定する多段階のソーシャルエンジニアリング
Operation ASTERIXは、無作為な攻撃ではなく暗号資産を実際に保有している可能性が高い対象者を精密に絞り込んで行われていました。攻撃者のサーバーには地域や入手元ごとに整理された約88万5,000件の電話番号が保存されており、ドイツの携帯電話番号約31万6,000件やポーランドの10万3,000件超のほか、香港、ブルガリア、英米加のフィンテック関連リスト、ハードウェアウォレット「Ledger」関連リストなどが含まれていました。
攻撃者はCrypto.comやKrakenのアカウント検証ツールを用いて、これらの電話番号が暗号資産サービスと紐付いているかを確認していました。特定された番号には氏名やメールアドレス、地理情報などの個人情報が付加され、接触用のリストとして整理されていました。
その後、攻撃者はCrypto.comやバイナンスなどの正規サービスを装い、ケース番号や認証コードを記載した偽のサポートメールを送信しました。あらかじめ得た個人情報を把握した状態で、オープンソースの電話通信プラットフォーム「Asterisk」による自動音声発信などを通じて電話をかけ、正規のサポート担当者を装って信頼関係を構築していました。最終的には偽アプリのインストールやアカウント保護を名目に、ウォレットのリカバリーフレーズを入力させるよう誘導する手口が確認されています。
本物を強制終了させて模倣する精巧な偽ウォレット
Rapid7の調査では、macOSおよびWindows向けにTrezor Suite、Ledger Live、Exodusを装った偽ウォレットアプリが確認されました。これらの偽アプリはいずれもウォレットの認証情報を窃取する目的で設計されており、ユーザーに正規アプリと誤認させるための工夫が施されていました。
特に偽のTrezor Suiteは、本物のTrezor Suiteの起動を監視し、検知すると強制終了させた上で自身の偽画面を前面に表示する仕組みを備えていました。これにより、ユーザー側からは自身が起動した正規アプリが開いたように見えます。
また、12語・18語・24語など複数パターンのシードフレーズやパスフレーズの入力を受け付け、一度送信されると偽のエラーを表示して再入力を促す仕様も確認されました。これは、窃取するリカバリーフレーズの正確性を高める狙いがあったとみられます。
AIアシスタントの悪用と安全対策の回避
Rapid7は、今回の事案においてAIコーディングアシスタントが犯罪インフラの開発工程全般に深く組み込まれていた点を強調しています。AIはコードの作成や修正にとどまらず、ビルド時の問題解決、アプリのパッケージ化、マルウェアの難読化、フィッシング基盤の改変など多岐にわたる用途で使用されていました。
開発過程においてClaude Codeがマルウェアの難読化やビルド支援を拒否した際には、攻撃者はKimi（moonshot-ai/kimi-k2.7-code）へ切り替え、安全対策を回避するための独自の脱獄（jailbreak）プロンプトを作成して対応していました。Rapid7は、AIコーディングアシスタントの悪用が進むにつれ、こうした安全対策の回避行為がマルウェア開発における通常の工程となる可能性があると予測しています。
発見された詐欺インフラの多くが稼働中または開発中であったため、Rapid7は関連プロバイダーや当局、Appleのセキュリティチームなどの関係組織へ調査結果を開示し、対応に向けた連携を行いました。
ポイント
- Rapid7が暗号資産保有者を精密に標的とする大規模詐欺「Operation ASTERIX」の詳細を公表した点
- 約88万5,000件の電話番号から取引所アカウント保有者を選別し、偽サポートメールと電話（ビッシング）を連携させて信頼を得る多段階の手口が使われた点
- 本物のTrezor Suiteを強制終了して自身の偽画面を表示するなど、高度に模倣された偽ウォレットアプリでリカバリーフレーズを窃取しようとした点
- マルウェア開発や難読化にAIを活用し、安全対策を回避する脱獄プロンプトを作成していた実態が明らかになった点