Calif製AIワーム「WeWorm」がWeChatアカウントを数秒で乗っ取り、Bitcoin(BTC)自己管理リスクが表面化

不在着信だけでWeChatアカウントが奪われるゼロクリック攻撃

パロアルトのセキュリティ研究チームが、不在着信の1回だけでWeChatアカウントの控制を奪える自己増殖型ワームを実証した。カリフォルニア州のセキュリティ企業Califが9月8日に公表したのは、WeChatのインターネット音声通話処理におけるメモリ破壊の脆弱性を突くゼロクリック型ワーム「WeWorm」だ。タップもダウンロードもユーザーの操作も一切不要で攻撃が成立するため、これはモバイルエクスプロイトの中でも最も深刻な区分に位置する。影響はメッセージアプリの域を超える。端末を奪われれば、取引所のログイン情報から、自己管理で保有するBitcoin(BTC)やspot trading(現物取引)プラットフォームを経由して移された資産を守る鍵まで、端末に保存されたあらゆる認証情報が晒される。研究レポートが示す制約条件として、攻撃者は被害者のWeChatフレンドリストにすでに登録されている必要があり、発信ベースの攻撃を実行できる者は限定される。着信は鳴っても応答は不要で、仮に応答しても攻撃は何ら変わらない。通話には音声が流れず、その裏で乗っ取りが数秒で完了する。その後、乗っ取られたアカウントが被害者自身の連絡先に発信し、新たな被害者が次の攻撃者へと変わっていく――ソーシャルグラフを横方向に感染が広がる仕組みだ。Califはデモ映像で、Pixel 10aからiPhone 17eへ、さらに別のPixel 10aへとモバイルOSの垣根を越えて感染が連鎖する様子を提示した。同社は、この手法が実武器化された場合、10億台以上の端末またはアカウントが危険にさらされると評価している。脆弱性はインターネット音声通話を処理するコードに存在するが、チームはカンファレンスでの発表まで詳細を公表しない方針で、現時点でCVE番号は採番されていない。

AIが初号エクスプロイトをわずか2日で記述

今回の開示に添付された開発タイムラインは、AIがエクスプロイト開発をどれだけ高速化しているかを浮き彫りにした。脆弱性は7月にAIの支援を受けて発見され、チームはAndroid向けの初のリモートコード実行ツールを7月30日までに完成させた。発見から実動するエクスプロイトまで、おおむね2日の作業である。8月2日にはiOS版が続き、両プラットフォームをつなぐ完全なデモ可能なワームは8月11日に仕上がった。Califは役割分担を明確にしている。AIモデルが脆弱性発見とツール作成を加速し、安全性の確保や対象の判断といった部分は研究者が担った。最高経営責任者のThai Duong氏は、ワームが機能するためにはプロセス全体を最初から最後まで監督する必要があったと述べており、レポートは使用されたAIモデルの名前を明かしていない。責任ある開示も並行して進んだ。Califは7月24日にTencentへ脆弱性を報告。検証用の研究アカウントは7月25日から28日にかけて一時ブロックされた後に復旧した。Tencentは8月21日にAndroid 8.0.77およびiOS 8.0.76の修正版をリリースし、Califの確認によれば、8月26日から28日にかけて全ユーザーを対象とするサーバー側対策も有効化された。ユーザー側は何もする必要がない。技術分析と実動ツールは9月3日にTencentへ引き渡され、研究内容は9月8日に公開された。同社の公式2026年第2四半期決算資料によれば、WeChatとWeixinの合算月間アクティブユーザーは6月30日時点で14億3,900万人に達しており、脆弱性を含む通話基盤に乗る規模の大きさがわかる。報告から修正版の出荷まで4週間、サーバー側ブロックが全ユーザーに届くまでさらに約1週間という推移だ。Tencentは脆弱性を確認し修正を完了したが、影響を受けたアカウント数は明らかにしていない。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

Bitcoin(BTC)自己管理への教訓

暗号資産ホルダーにとって、この一件はウォレットリスクの所在を再定義するものだ。AIは実動するゼロクリック型エクスプロイトを日単位で生み出せるようになり、月次ペースのパッチサイクルはその速度に追いつかない。そのため当メディアの見立てでは、Bitcoin(BTC)をはじめとする自己管理資産を守る上での最弱リンクはオンチェーンの暗号技術ではなく、あくまで端末レベルの侵害にある。端末を制御されれば、いかなるプロトコルの機能も役に立たない。資金は吸い上げられ、crypto mixer(ミキサー)を経由して痕跡を消すこともできるし、Zcash (ZEC)のようなプライバシーコインを持ってしても、攻撃者が画面をリアルタイムに読み取ることまでは防げない。実効的な防御はハードウェアウォレットと、保護されたrecovery key(リカバリーキー)の組み合わせだ。署名を侵害された端末から切り離すことで、たとえスマートフォンが乗っ取られても資産の移動は実行できない。なお、AI機能を備えたAIクリプトウォレットの利用者は、端末侵害リスクとの重なりを特に意識すべきだ。当メディアがクリプトジャッキング関連の報道で展開してきた監視の規律は、ワーム型モバイル脅威に対しても等しく適用できる。パッチは出ている。だが、不在着信を消すだけの操作で資産の存続が分かれる時代に、自己管理の防御は端末そのものを守ることから始まる。