セキュリティ企業Rapid7（ラピッドセブン）は17日、暗号資産（仮想通貨）を狙う詐欺グループの内部環境を分析したレポートを公開した。攻撃者のサーバーで設定ミスによりディレクトリが露出しており、標的の名簿から偽ウォレットアプリまで一式が観測できる状態だったという。

88万件の名簿から口座保有者を絞り込み

同社の調査部門Rapid7 Labsは、この活動を「Operation ASTERIX」と名付けた。サーバーに残されていた通話自動化ソフト「Asterisk」に由来する。同社は活動が継続中の段階で、Appleのセキュリティチームを含む関係当局へ通報したとしている。

サーバーには約88万5,000件の電話番号が地域別に整理されていた。最大のファイルはドイツの携帯番号31万6,002件で、ほかに香港やブルガリア、英国や北米のフィンテック関連、ハードウェアウォレット利用者とみられる名簿が54カ国分に分けられていた。

攻撃者は、これらの番号が実際に取引所の口座と結び付いているかを機械的に確認していた。Crypto.comの認証関連エンドポイントへ番号を送信し、口座の有無を判定する仕組みだ。

ドイツの名簿からは4万3,066件が該当し、的中率は13.6%だったという。

クラーケン向けの照合ツールも別途用意されていた。絞り込まれた名簿には氏名、メールアドレス、居住地、口座情報が付加され、一部にはカード関連の情報も含まれていた。

メールと電話を連携させ、偽アプリへ誘導

攻撃はメールと電話の組み合わせで進む。まずCrypto.comやバイナンスなどを装ったサポートメールを送り、偽の問い合わせ番号と認証コードを伝える。その直後に電話をかけ、メールに記載した番号やコードを読み上げる。

攻撃者は事前に氏名や居住地、利用している取引所を把握しているため、受け手からは正規のサポート窓口に見える。Rapid7は、あるパネルの記録が約2週間で照会20件、メール6通にとどまっていた点を挙げ、大量送信ではなく個別に対応する形の作戦だったとみている。

電話の目的は、偽のウォレットアプリを導入させるか、復元フレーズを入力させることだ。回収されたのはTrezor Suite、Ledger Live、Exodusを装ったmacOS版とWindows版のアプリだった。

このうちTrezor版の挙動が特に巧妙だ。起動しても画面は表示されず、1ピクセル四方の透明なウィンドウとして常駐する。そして5秒ごとに端末のプロセスを監視し、利用者が本物のTrezor Suiteを起動した瞬間にそれを強制終了させ、自らの画面を前面に出す。

利用者から見れば、自分で開いたアプリがそのまま表示されたようにしか見えない。偽画面は12語から24語までの復元フレーズとパスフレーズを受け付け、1回目の入力後にわざとエラーを表示して再入力を促す。打ち間違いを装って、正確なフレーズを確実に得るための設計だ。

入力されたフレーズは接続元のIPアドレスとともにTelegramのボットへ送信され、利用者は本物のTrezorのサイトへ転送される。異常に気づきにくい流れになっている。

Ledger Live版のWindowsビルドには、コピーした暗号資産アドレスを攻撃者のものへ差し替えるクリップボード監視機能も組み込まれていた。

開発にAI支援ツール、拒否されると別モデルへ

レポートが異例なのは、攻撃者がAIコーディング支援ツールを開発全体で使っていた痕跡が残っていた点だ。プロンプトやシェルの履歴が回収されている。

用途は、10万件超のポーランドの電話番号の整形、口座照合スクリプトの構成、通信が制限された際の代替手段の調査など、作戦の準備段階に及ぶ。

マルウェアの難読化を依頼した際にモデルが応答を拒否すると、攻撃者は別の提供元のモデルへ乗り換え、安全機構を回避するためのプロンプトを投入した。Rapid7は、回避が成功したかは確認できないとしたうえで、攻撃者にとってモデルの制限は解決すべき技術的課題のひとつになっていると指摘する。

配布経路のひとつには、AIコーディングツールの公式ドキュメントを複製した偽サイトも使われていた。インストール用のコマンドだけが差し替えられ、実行すると偽のLedger Liveが隠しディレクトリへ導入される。正規のツールも同時に導入されるため、利用者は異常に気づきにくい。

Rapid7は、確認された手口自体に目新しいものはないとしたうえで、AIコーディング支援を使った開発が今後の攻撃準備で常態化するとの見方を示した。

関連：10年貯めた5.9BTCが一瞬で消えた──App Storeの偽Ledgerアプリに要注意
関連：メタマスク装う2FA詐欺が横行、シードフレーズ窃取で資金奪う──偽ドメイン注意