CZがTrust Walletの偽サイトを警告、3大ウォレットに対応したフィッシング手口

CZが偽ドメインを注意喚起

Binance共同創業者のChangpeng Zhao(CZ)が、Trust Walletを装ったフィッシングサイトへの注意を呼びかけた。偽サイトは訪問者をウォレット接続へ誘導し、ホットウォレットを攻撃者が管理するコードにさらす仕組みだ。偽ドメインはtrastwallet[.]camで、正規ドメインの「u」を「a」に置き換え、拡張子も「.com」から「.cam」に変更している。小さな画面では見分けにくい違いだ。セキュリティ研究者のAnurag(X上ではMalwarehunter名義)がこのサイトを発見し、悪質なJavaScriptの分析を公開した。Zhaoは11月5日、この警告を自身のフォロワーに拡散し、「フィッシングサイトがさらに出回っている。.......camは.comではない。十分注意してほしい」と述べた。偽ページは「ウォレットの送金を確認」というタイトルを掲げ、資産ごとに1ドルから5,000ドルの送金上限をうたう。訪問者がウォレットを接続すると、スクリプトはバックエンドのAPI経由で残高をスキャンし、コードにあらかじめ埋め込まれた受取アドレスへの送金を準備できる。Anuragの技術調査によると、このJavaScriptはTrust Wallet、Phantom、OKX Walletの3つの広く使われるウォレットに対応しており、攻撃の射程が複数のウォレットサービスに及ぶ。彼は残高スキャン用のエンドポイントと、ウォレット接続を担うJavaScript統合ファイルの2つの稼働部品を特定した。投稿にはページのスクリーンショットも含まれており、デジタル決済カード風のデザインと、ウォレット接続を促す目立つボタンが確認できる。ページは自らを自動的な資産審査プロセスと説明し、ネットワーク手数料やウォレット認証にも言及していた。研究者はこの仕組みを公開投稿で記録したが、1つの制限も指摘している。検証時点では取引署名が無効化されており、このバージョンのスクリプトが実際に実行できる範囲は狭まっていた。

フィッシングメールと110万ドルのiOS被害主張

この警告は、Trust Walletのユーザー層に向かったフィッシング攻撃の波の中で出た。11月3日、サイバーセキュリティ企業のBitdefenderが、Binanceの最近のセキュリティ侵害を悪用し、Trust Walletを装う偽メールが送られていると報告。受取人は11月7日以降にアカウントが停止されるおそれがあるとして、必須のウォレット認証手続きの完了を求められたという。キャンペーンは米国、英国、オーストラリア、アイルランド、南アフリカのユーザーに届き、偽の認証サイトへ誘導してウォレットの認証情報やHDウォレットの根幹であるリカバリフレーズを搾取しようとした。別の動きとして、11月5日にはiOS 18.5が動く端末に影響する脆弱性を突き、攻撃者がTrust Walletユーザーから約110万ドルを盗んだとの未確認の主張が拡散した。XアカウントEmperor.SOLが共有したこの主張は、対象端末からシードフレーズを抽出できるとし、Trust WalletのサポートがOSの即時更新を呼びかけていたと伝えている。添付のスクリーンショットには、Binanceの入金アドレスとホットウォレットを絡めた5,000、100,000、190,000の送金が写っていたが、これらの取引が主張されているiPhoneの脆弱性とつながることは示されていない。ユーザーからの被害申告も相次いでいる。11月4日にはIaroslav Dubovoiが承認画面なしに3,830がウォレットから消失したと報告し、10月28日には同社が、10万ドルの利用枠と8%のキャッシュバック、発行手数料1ドルをうたう偽カードサイトを警告した。さらに2025年12月には、Trust WalletのChrome拡張機能バージョン2.68に悪意あるコードが混入していたことが発覚し、被害額は最終的に数百万ドルに達したと報じられた。Zhaoは当時、被害を受けたユーザーに補償が行われると説明している。

単一の欠陥ではなくブランド悪用

COINOTAGの見立てでは、共通する構図は単一の技術的欠陥ではなくブランド悪用にある。.camドメインから偽カードの宣伝まで、最近の事件はいずれもTrust Walletのアイデンティティを借用している。展開されたフィッシングスクリプトは署名が無効な状態で検証されており、即時の搾取能力は限られた。ただし、稼働する残高スキャン用エンドポイントと送金準備コードの存在は、運営者がこの段階を有効化できる体制を整えていたことを示す。110万ドルというiOS被害の額は依然未確認で、拡散しているスクリーンショットはUSDTの送金と主張される脆弱性を結びつけていない。ユーザーは長期資産をコールドウォレットに保管することで露出を減らせる。ハードウェアウォレットの仕組みを解説したガイドが参考になるほか、リカバリ情報が漏れた場合に備えて仮想通貨ウォレットの復元方法を理解しておくことも有効だ。Tangem Mobile Walletのような代替手段は、ブラウザ経由の露出を根本的に排除できる。Trust Walletは以前、深刻度9.2のPHPの重大な脆弱性について、ユーザー側の対応は不要と説明していた。フィッシングページは焦りとFOMOに依存するため、何よりもアドレスバーを一字一句確認する習慣が個別のパッチ以上の防御になる。市況の文脈としては、TWTのテクニカル分析で現在のサポートとレジスタンス水準を追える。