Socket、イーサリアム(ETH)ウォレットの秘密情報を盗む19の悪意ある拡張機能を発見

拡張機能19本、活動期間は6ヶ月以上

自己管理型ウォレットのユーザーを、ブラウザそのものを経由して標的にする大規模な攻撃が明らかになった。拡張機能マーケットプレイスの監視を専門とするセキュリティ企業Socketは、Google ChromeおよびMicrosoft Edge向けに、暗号資産ウォレットの秘密情報を窃取する目的で作られた拡張機能19本を特定した。同社の調査レポートによれば、悪意ある拡張機能のうち18本がChromeユーザーを、1本がEdgeユーザーを標的としており、そのすべてが過去6ヶ月の間に公開または武装化されていたという。Socketのアナリストは、この作戦が2024年2月にまで遡る可能性があると見ており、そうであればキャンペーンは2年以上にわたって検知されずに動いていたことになる。拡張機能はブラウザ内で広範な権限で動作するため、一度悪用されればユーザーのオンライン上の行動のほぼすべてを読み取り・改変できる。この種の侵害がこれほど深刻とされる所以だ。配布手法が特筆すべき点だ。複数のケースで攻撃者は、一見まったく正規の拡張機能を作成し、実際に役立つ機能を備えることで現実のユーザー獲得にまで成功していた。別のケースでは、既存の評判の良い拡張機能を元の開発者から買い取り、後に悪意ある機能を追加していた。確立された配信元への信頼を突く、いわゆるサプライチェーン型のパターンだ。特定された19本のうち、14本が脅威アクター自身による作成、5本が正規の開発者からの買い取りだった。中で最も危険性が高かったのは「Enable Right Click & Copy — Smart Unlock + OCR」という拡張機能だ。Socketの報告では、Chrome版は悪意ある機能が有効化された時点で約70,000人のユーザーを抱え、Edge版は約10,000人だった。Chrome版はその後Chromeウェブストアから削除されたが、Edge版はレポート公開時点で依然としてダウンロード可能な状態にあり、Google側の対応後もMicrosoftのブラウザユーザーは露出が続いていたことになる。

ウォレットドレイナーと偽Ledgerページ

レポートに記録された機能は、単純な認証情報の窃取をはるかに超えている。Socketの調査チームが見つけたのは、ウェブサイトからContent Security Policy(CSP)の保護を剥がすマルウェアだ。CSPはページが実行を許可されるスクリプトを制限するブラウザレベルの防御機構で、これを無効化することで信頼されたドメインへのスクリプト注入が実質的に可能になる。キャンペーンの中心には、EVM互換ウォレット、Solana、Tronを標的とするマルチチェーン対応のウォレットドレイナーが据えられている。このモジュールは分散型アプリケーション(dApp)上の正規の「Connect Wallet」や「Swap」ボタンを改ざんし、画面上の見た目は変わらないままユーザーを攻撃者管理のトランザクションフローへ誘導する。ドレイナーがアプリ自身のUI要素を再利用するため、リダイレクトは経験豊富なユーザーでも見抜きにくい。ハードウェアウォレットの保有者には並行した脅威が待っている。マルウェアは偽のLedgerおよびTrezorのリカバリー・アップデートページを配信し、シードフレーズの入力を促す。Ledgerリカバリーキーを、いかに本物らしく見えてもWebページ上に入力してはならない、という実例だ。別系統のモジュール群は、Binance、Coinbase、Kraken、OKX、MEXC、KuCoin、Bybitといった中央集権型プラットフォームの認証済みセッションやアカウント情報に加え、MetaMaskウォレットを収集対象としている。この種のセッションハイジャックでは、盗んだCookieが検証済みのログインを引き継ぐため、パスワードに触れることなく取引所アカウントへのアクセスが奪われ得る。キャンペーンの範囲は暗号資産にとどまらない。追加のモジュールはFacebookやLinkedInのアカウントを標的にし、閲覧履歴を窃取し、ClickFix型の偽ブラウザアップデートページを展開していた。侵害指標(IoC)の全リストは、Socketによるウォレットドレイナーキャンペーンの技術解説に公開されている。同社からユーザーへの呼びかけは明快だ。インストール済みの拡張機能を定期的に監査し、不審なものや使用していないものは削除すること。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

拡張機能の衛生管理が第一の防御

この一連の事件を貫く論点は、ブラウザそのものがデジタル資産にとって一次的な攻撃面となっていることだ。保有者が資金をBitcoin DeFiのポジション、EVMウォレット、中央集権型取引所のアカウントに分散していても、インストール数70,000の武装化された拡張機能1本に、そのすべてを一度に突破され得る。Chrome版がすでに削除された後もEdge版が生き残っていたという事実は、マーケットプレイス間の審査・執行がいかに不均等かを示している。ストアレベルの審査が追いつくまでの間、拡張機能の衛生管理——追加は最小限に、発行元を確認し、定期的に監査する——が、暗号資産ユーザーにとって最も安価なセキュリティ対策であり続ける。