ビットコイン狙う「OkoBot」マルウェア、約20モジュールでウォレットのシードフレーズを窃取

暗号資産ニュース

セキュリティ企業Kasperskyが、約20の独立したモジュールで構成される新種のマルウェア「OkoBot」を明らかにした。標的は暗号資産ウォレットのリカバリーフレーズ(シードフレーズ)そのものだ。今回の開示資料を精査したところ、この作戦はすでにブラジル、ベトナム、カナダ、メキシコ、トルコの少なくとも5か国で被害を出しており、その一方で運営者はロシアをはじめとする独立国家共同体(CIS)諸国のIPアドレスを意図的に遮断していた。モジュール式の設計により、攻撃者は感染した1台の端末からウォレットファイル、ブラウザデータ、ログイン認証情報をまとめて収集できる。シードフレーズはウォレットの完全な支配権を解錠する鍵であり、ブロックチェーン上の送金は取り消せない。被害者はほぼ全資産を失い、盗まれた資金を取り戻す道はほとんど残らない。

感染の起点は、ソフトウェアの脆弱性ではなくソーシャルエンジニアリングにある。OkoBotは正規ツールを装ったGitHubリポジトリ経由で配布され、その中にはMicrosoft SQL Server Management Studioの偽ビルドも含まれていた。Kasperskyは「ClickFix」と呼ばれる手口の多用を確認している。これは偽のエラーメッセージや本人確認プロンプト、修復手順を表示し、被害者自身に悪意あるコマンドを自分のターミナルへ貼り付けさせる方法だ。指示どおりに操作すると、バックドアが静かにインストールされる。エクスプロイトではなくユーザー本人がペイロードを実行するため、従来型の防御をすり抜けてしまう。この構図は、ビットコインをはじめとするアルトコインの保有者を狙う攻撃で増加傾向にある。

窃取の中核を担うのが「SeedHunter」モジュールだ。LedgerやTrezorといったハードウェアウォレットを模した偽のリカバリー画面を描画する。ユーザーが12語または24語のリカバリーフレーズをこの詐欺画面に入力すると、データはそのまま運営者へ送信され、攻撃者はウォレットを再構築して資金を抜き取れる。ハードウェアウォレットがオフラインで守り抜くために設計された唯一の秘密が、狙い撃ちにされる形だ。自己管理型の暗号資産ウォレットを守る立場から言えば、教訓は明快である。正規のデバイスは、デスクトップの画面にシードフレーズを再入力するよう求めることは決してない。

監視の網を広げるモジュールがさらに2つある。「MC Keylogger」はキー入力を記録しクリップボードの動きを監視し、パスワードやコピーされたウォレットアドレスをリアルタイムで捕捉する。「OkoSpyware」はウォレットのパスワードを追跡し、開いているウィンドウの動画まで記録して被害者の操作を観察する。両者は多くのトレーダーが安全だと思い込んでいるコピー&ペーストの習慣を無力化し、取引所アカウントや同じ端末上で稼働するAIトレーディングボットの認証情報も静かに傍受できる。1台のホストから複数種類のデータを引き出せる以上、不用意なインストールが1つだけではなくポートフォリオ全体を丸ごと露出させかねない。

OkoBotは突然現れたわけではない。Kasperskyは、偽のソフトウェアサイト経由でトロイの木馬型ダウンローダーを配布した2025年の「TookPS」キャンペーンにこの系統をたどり、2026年1月以降にこの新ファミリーと結びつく複数の攻撃を確認した。今世代の特徴はその「配管」にある。20種すべてのペイロードが単一のSSHトンネルで統括されるのだ。SSHトンネルは暗号化された通信路で、盗んだデータを感染端末から攻撃者の管理下にあるマシンへ運びつつ、通常のネットワーク通信に紛れ込む。研究者は、このモジュール式で再利用可能な構造が模倣犯の参入障壁を下げ、シードフレーズを狙う派生型キットが本来の運営者の枠を超えて拡散しかねないと警告している。

この作戦は、暗号資産を作る側の人々を標的にするより大きな潮流の一部だ。別の事例として、ブロックチェーンセキュリティ企業SlowMistは、攻撃者がLinkedInでWeb3のリクルーターを装い、面接前のテスト用と称して「実用最小限の製品(MVP)」と説明した偽のGitHubリポジトリを候補者に送りつける手口を指摘した。技術選考ではごく当たり前の一歩であるそのコードを実行すると、プロジェクトの鍵、クラウド認証情報、ウォレット拡張機能のデータを盗むリモートアクセス型トロイの木馬(RAT)が仕込まれる。関連する作戦はmacOSユーザーを狙い、Telegramのセッションを乗っ取った。これらの誘い文句に正規のトークンエアドロップは一切絡んでいないが、同じ信頼を土台にした枠組みを借用して標的の警戒を解いている。

これらの事案を束ねて読み解けば、そこにあるのは複数の戦略ではなく1つの戦略だ。攻撃者は暗号技術を破ることから、人間の信頼を破ることへと軸足を移し、GitHub・LinkedIn・偽ウォレット画面を武器化してシードフレーズへ直接手を伸ばしている。COINOTAG独自の市場データは、なぜ今このタイミングが重要かを裏づける。Fear & Greed指数は25(極度の恐怖)、ビットコインのドミナンスは69.9%前後、暗号資産市場全体の時価総額は約1兆8,500億ドル。資金の確保や移動を急ぐ動揺した保有者こそ、ソーシャルエンジニアリング型キットが食い物にする格好の獲物だ。我々の見立てでは、いまやオペレーショナルセキュリティは価格水準や過去最高値(ATH)と同じだけ資産を守る。侵害されたリカバリーフレーズは、どんな相場回復でも取り戻せない利益を消し去るからだ。