iPhone攻撃キット「DarkSword」、仮想通貨窃盗に悪用か

この記事のポイント

写真やメモからシード探索、承認不要で秘密鍵を窃取
トロンの365ウォレットから約406万ドル移動、関連は未確定

承認なしでシードを盗む攻撃キット

iPhoneの脆弱性を突く攻撃キット「DarkSword」が、仮想通貨ウォレットからの窃盗に悪用されている疑いがある。ブロックチェーン分析企業のビットクエリ（Bitquery）は5日、関連が疑われる窃盗ネットワークで、少なくとも406万ドル（約6.4億円）相当のUSDTがトロン（TRON）上の365のウォレットから移動していたとする分析を公表した。

DarkSwordはiOS 18.4から18.7を搭載したiPhoneを主な標的とする。細工されたWebサイトをSafariで開くだけで攻撃が成立しうるため、研究者はiOSを最新版に更新するよう呼びかけている。

グーグルの脅威インテリジェンスグループ（GTIG）とセキュリティ企業のルックアウト（Lookout）、アイベリファイ（iVerify）は3月18日、DarkSwordに関する分析を同時に公表した。6件の脆弱性を組み合わせて端末を乗っ取り、キーチェーンに保存されたパスワードやメッセージ、仮想通貨ウォレットアプリのデータを抜き取るもので、ダウンロードや操作の承認は必要ない。

セキュリティ企業センシス（Censys）が10月に公表した報告によると、キットには18のウォレットアプリを個別に狙うモジュールがあり、写真やメモアプリからシード（リカバリーフレーズ）を探す機能も備える。標的にはメタマスク（MetaMask）やファントム（Phantom）、トラストウォレット（Trust Wallet）、コインベース（Coinbase）のアプリなどが含まれる。

いずれもアプリ自体の不具合ではなく、端末側の脆弱性を突かれるもので、センシスは、主な目的はウォレットの窃盗だと分析している。

攻撃者は盗んだ秘密鍵やシードを使い、自分の端末で署名して送金する。被害者側ではウォレットの接続や取引の承認が一切発生しない点が、不正な承認を求める従来のフィッシングとの大きな違いだ。

承認の取り消しやアプリの再インストールでは防げず、シードが盗まれた場合に資金を守る手段は、新しいシードで作ったウォレットへの資産移動に限られる。

関連記事：仮想通貨狙うiPhone攻撃、関連偽サイト1500件超＝スローミスト

iOSの脆弱性を突く攻撃ツール「DarkSword」に関連するフィッシングサイトが1,500件以上見つかった。スローミストが10月24日に警告し、iOSの更新を呼びかけた。攻撃の仕組みと対策をまとめる。

トロンで約406万ドル相当が移動

ビットクエリは、被害を公表したiPhone利用者の1件と金額・時刻が一致する取引を起点に、資金の流れを追った。

10月5日から11月4日（UTC）に、同じ手数料用ウォレットと資金のつながりがある43の収集用アドレスが、365のウォレットから資金を移していた（うちTRXのみの被害が89件）。USDTを失った276アドレスの被害額の中央値は1,029ドルで、10万ドル以上を失った8アドレスがUSDT被害総額の63％を占める。

ただし、ビットクエリはオンチェーンの記録から各被害者の端末やウォレットアプリはわからないとして、すべての損失がiPhoneの脆弱性やDarkSwordによるものとは確認できないとしている。日本国内の利用者に被害が出ているかどうかも、現時点で確認されていない。

トロンでUSDTを送るには、手数料としてTRXが必要になる。ビットクエリによると、被害者のアドレスにはまず少額のTRXが送り込まれ、数秒後に残高全額が移されていた。見知らぬアドレスからの少額のTRX着金は、警戒の合図になりうる。

少額の着金には、似たアドレスを履歴に紛れ込ませて誤送金を誘うアドレスポイズニングという別の手口もあり、いずれの場合も送金先アドレスを取引履歴からコピーしないことが基本となる。