ブロックチェーン分析企業のビットクエリは、iPhoneの脆弱性を突く攻撃キット「DarkSword」に関連が疑われる窃盗ネットワークにおいて、トロン上で約406万ドル相当の資産移動が確認されたとする分析を公表しました。本手口はウォレットアプリ自体の不具合ではなくスマートフォンのOS側の脆弱性を悪用し、利用者の取引承認操作を介さずに秘密鍵やシードフレーズを抜き取る点が特徴です。従来のフィッシング詐欺とは異なり、事後的な接続・承認の取り消しでは資産を守ることができない新たなリスクとして、暗号資産の自己管理体制に対する影響が注視されています。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
取引承認を経由しない新たな攻撃手口と脅威の背景
iPhoneの脆弱性を突く攻撃キット「DarkSword」が、暗号資産ウォレットからの不正な資金窃取に悪用されている疑いが浮上しています。暗号資産ウォレットのTrust Walletによると、DarkSwordやCorunaと呼ばれるツールはウォレットアプリの欠陥ではなく、古いiOSバージョンの脆弱性を突いてウォレットデータにアクセスしていると警告されています。
セキュリティ企業のCensysが10月に公表した報告によると、DarkSwordにはMetaMaskやPhantom、Trust Wallet、Coinbaseなど18種類のウォレットアプリを個別に狙うモジュールが含まれています。さらに、端末内の写真やメモアプリからシード（ウォレットを復元するためのリカバリーフレーズ）を探索する機能も備えているとされています。Googleの脅威インテリジェンスグループ（GTIG）やLookout、iVerifyの分析によれば、複数の脆弱性を組み合わせて端末を乗っ取ることで、キーチェーンに保存されたパスワードやメッセージ、ウォレットのデータを抜き取ることが可能です。
この攻撃は、細工されたウェブサイトをSafariで開くだけで成立しうるとされています。悪意ある接続や取引の署名をユーザーに要求する従来のフィッシングとは異なり、攻撃者が盗み出した秘密鍵を用いて自身の端末から送金を実行するため、被害者側では承認操作が一切発生しません。そのため、承認の取り消しやアプリの再インストールを行っても被害を防ぐことはできず、秘密鍵やシードが流出した場合は新しいシードで作ったウォレットへ資金を移す以外に対処法がないとされています。
トロン上で特定された406万ドル規模の資金移動
ビットクエリの追跡調査によると、10月5日から11月4日（UTC）までの期間に、同一の手数料用ウォレットと資金的なつながりを持つ43の収集用アドレスが、365件のウォレットから合計約406万ドル（約6.4億円）相当のUSDTを移動させていたことが判明しました。このうち89件は手数料トークンであるTRXのみの被害でした。
被害を受けたアドレスの分析では、USDTを失った276アドレスの被害額の中央値が1,029ドルであったのに対し、10万ドル以上を失った8つのアドレスがUSDT被害総額の63パーセントを占めており、一部の大口保有者に損失が集中している傾向が示されています。また、USDTの送金にTRXが必要となるトロンの仕組みを悪用し、攻撃者は被害者のアドレスに事前に少額のTRXを送り込み、その数秒後に全残高を外部へ移送する手口を用いていました。
ただし、ビットクエリはオンチェーンの記録から各被害者の利用端末やウォレットアプリを特定することはできないため、確認されたすべての流出がiPhoneの脆弱性やDarkSwordに起因するものとは断定できないとしています。また、現時点において日本国内の利用者への被害が発生しているかどうかも確認されていません。
被害抑止に向けたOSアップデートと推奨される資産管理策
セキュリティ企業のスローミスト（SlowMist）は10月24日、DarkSwordに関連する不正サイトが1,500件以上確認されたとして、iOSの更新を呼びかけました。
Appleはすでにこれらの攻撃に対処する修正版OSを提供しています。DarkSwordが利用する6件の脆弱性はiOS 26.3で修正され、iOS 18系でも18.7.7で対応が行われました。さらにAppleは10月26日にiOS 27.2を公開して多数の脆弱性を修正したほか、iOS 26.7.2や旧機種向けのiOS 18.7.11などの更新プログラムを配布しています。
セルフカストディ（自己管理型）ウォレットの利用者にとっては、シードフレーズの保管方法の徹底が重要となります。写真やスクリーンショット、メモアプリ、クラウドストレージに保存された情報は漏洩の危険があるため、紙や金属板などオフライン環境での保管が有効とされています。また、見知らぬアドレスから少額のTRXが送り込まれた場合や、脆弱なOS環境下で不審なサイトを閲覧した疑いがある場合は、最新版に更新した信頼できる端末上で新しいシードを用いたウォレットを作成し、速やかに資産を移動させることが推奨されています。取引所アプリの利用者に対しても、キーチェーン情報の流出を防ぐためのパスワード変更や、認証アプリ・パスキーを用いた二段階認証の導入、出金先アドレスの制限といった対策が提示されています。
ポイント
- アプリの不具合ではなく端末OSの脆弱性を悪用し、ユーザーの取引承認を経ずに秘密鍵やシードを窃取する手口が確認された点で注目されます。
- トロン上の365ウォレットから約406万ドル相当の資産移動が確認されたものの、DarkSwordとの直接的な関連性は確定していない点に留意が必要です。
- 従来のフィッシング対策である取引承認の取り消しでは防御できないため、OSの最新アップデートやオフラインでのシード管理など、端末レベルでのセキュリティ徹底が求められる点で重要です。
総研プライム
ブロックチェーンを、
徹底的に読み解く。
技術の仕組み、企業の戦略、市場の構造まで。独自の調査・分析で掘り下げる専門レポート。
初月無料で読む