GoPlus SecurityがTrust Wallet利用者のiOSウォレット窃取56万1,000ドルを警告

Trust Wallet利用者に被害が集中

自己管理の暗号資産ウォレットでiOS端末に資産を保管していた利用者から、2週間の侵攻被害で合計約56万1,000ドルが流出した。セキュリティチームのGoPlus Securityがこの集計を明らかにしたのは11月5日で、オンチェーン調査のボランティア組織であるSecurity Alliance(SEAL)が収集した事案ファイルに基づくもので、統計対象は10月28日から11月3日までの1週間だ。この期間だけでiOSウォレットの侵害事案6件が新たに報告され、被害額は約12万7,000ドルに上る。被害者の大半は資産をTrust Walletで保管しており、同じ週次集計ではUniswap Walletの事案も1件計上された。SEALの報告では、被害者の多数がロシア、ウクライナ、カザフスタンに所在しているという。

GoPlus Securityの警告は、古いiOSビルドを狙った犯罪キャンペーンに被害の発端を求めている。攻撃者はパッチ提供が終了したバージョンの脆弱性を突いて端末のデータと権限を収奪し、その後オンチェーン上で資金を移し替える。被害者が取引に署名したり、リカバリーフレーズを読み取らされたりする必要はない。仕組みを押さえれば、被害の広がり方は理解しやすい。ホットウォレットは秘密鍵を端末本体に保持するため、攻撃者が高権限のアクセスを得ればバックグラウンドで静かに残高を引き出せる。不審なサイトを一度も訪れていない利用者からも損失が積み上がったのはこのためで、GoPlusはiPhoneに資産を保管する全利用者に対し、即時のOS更新とインストール済みアプリの棚卸しを呼びかけた。未知のソフトウェアを導入していた利用者には、端末を侵害済みとみなし、残りの資産を退避させるよう助言している。この方針は2週分の週次集計で一貫して繰り返されたもので、今回の2週間の全体像は単一インシデントではなく、連続するSEAL週次報告の事案ファイルをGoPlusが統合した結果だ。

GoPlus SecurityがXで公開した2週間のウォレット窃取警告

DarkSwordとCorunaのキット

被害額の背後には、特定の攻撃ツール群が存在する。SEALの週次報告は、Censysが10月に記録したスキャン観測を引用し、DarkSwordおよびCorunaと呼ばれるエクスプロイトキットがすでにウォレットアプリを標的にしていたことを示した。両キットはいずれも古いiOSビルドをSafari経由、あるいは悪意あるアプリ経由で侵害でき、端末に保存された秘密鍵とリカバリーフレーズを狙う。GoPlusは、キャンペーンが未適用のシステムに依存していると強調する。脆弱なバージョン範囲に端末が留まっている限り、所有者がリカバリーフレーズを書き出さず、送金を承認しなくても残高は空にされ得る。潮流は1週間前から見えていた。SEALの前回報告はTrust WalletのiOS事案急増と、悪質な広告経由でDarkSwordが配信されている疑いを指摘しており、それは最新の集計内容と整合する。この重複が意味するのは時期の特定だ。10月28日から11月3日の6件が始まる前からTrust Wallet関連の報告急増は始まっており、最新集計は2週連続で同じパターンを記録した2回目の週次報告となる。数字と同時に出された対応指針は具体的だった。最新のiOSバージョンへの移行で既知の侵害範囲に端末が置かれる時間を短縮すること。報酬の支払いまで端末を長時間起動し続けるよう求めるタイプの、SNSで宣伝されるツールを中心に、導入済みアプリを点検すること。そしてクリーンな端末でウォレットを再構築し資産を退避させる指示は、侵害された端末に触れた鍵をすべて焼失済みと扱うことを意味する。こうした開示を自身で評価したい読者には、ブロックチェーンセキュリティ監査の解説が入門として役立つ。また、今回の事案は今年に入ってからのTrust Walletをめぐるその他の警鐘にも続くもので、同社が利用者の対応を不要とした重大なPHP脆弱性や、以前流出した偽Trust Walletサイトへの警告が先立っていた。

SEALとGoPlusが描いたパターンは、いずれのウォレットのコードの欠陥ではなく、端末自体の侵害だ。Trust WalletとUniswap Walletが報告に現れるのはiPhoneへの導入数が多いためであり、侵入経路はオペレーティングシステム側を通る。保有者側の実務的な対応は、OSが旧ビルドのまま置かれる時間を減らし、見知らぬアプリを敵性と扱い、鍵をネットワーク接続端末に保存しないコールドウォレットに長期保有分を置くことにある。SEALの最新集計は11月3日で締められ、GoPlusの警告はその2日後に発出された。最後に記録された窃取期間と公開警告の間隔は短く、キャンペーンは現在も進行中とみるべきだ。