サイバーセキュリティ企業のRapid7は、電話番号のスクレイピング、フィッシング、音声通話、そして偽装ウォレットソフトウェアを組み合わせ、被害者のシードフレーズを盗み出す暗号資産詐欺パイプライン「Operation ASTERIX」の手口を公開した。Rapid7の調査報告書によると、実行者はドイツの携帯電話番号31万6002件を含む地域別データセットから、合計およそ88万5000件の電話番号を収集し、そのうちどれが実際に暗号資産取引所の口座と紐づいているかを検証していた。Crypto.comだけを対象にしたこの検証では13.6%が該当し、ドイツのリストから4万3000件を超える実在口座が確認されたという。
実行者は無差別にフィッシングメッセージを送りつけるのではなく、電話番号を列挙し、取引所の会員かどうかを検証し、該当が確認された相手には氏名や口座情報を付加した上で、Crypto.comやBinanceのサポート担当者を装ったフィッシングメールへと段階的に進める、緻密なパイプラインを構築していた。反応した被害者には偽の認証コードが送られ、実際の口座情報を交えることで信頼性を演出したビッシング(音声フィッシング)の電話が続き、最終的に保有資産を「確認」するためと称して偽のウォレットアプリのインストールへと誘導される。
本物を欺くために作られた偽ウォレット
Rapid7は、Trezor Suite、Ledger Live、Exodusになりすました偽アプリの実物を回収した。中でも最も作り込まれていたのがTrezorの偽物で、隠れたピクセルサイズのElectronウィンドウが5秒おきに本物のTrezor Suiteアプリを検知しては強制終了させ、偽の画面に差し替えるという仕組みを備えていた。そこで盗み取られた12~24語のリカバリーフレーズは、そのままTelegramへと送信されていた。
関連記事: 1.16億ドル規模のColdcard盗難、FBIが第一波の実行犯特定か
Ledgerを装った版はWindows上でのクリップボード乗っ取り機能まで備えており、Exodus版はトロイの木馬化したJavaScriptファイルを使ってペイロードを送り込んでいた。ただし活動記録を見る限り、これは大規模な一斉攻撃というより、比較的小規模で運営者主導のキャンペーンだったようだ。あるパネルの記録では、2週間でリード調査はわずか20件、フィッシングメール送信は6件にとどまっていた。
AIツールはどう使われたのか、そしてどこで拒まれたのか
Rapid7の報告書は、実行者が開発全体を通じてAIコーディングアシスタントに頼っていた様子も詳細に伝えている。バックエンドの雛形作成にはGitHub Copilotを、電話番号データセットの管理・整形にはClaude Codeを使っていたという。実行者が悪意あるコードの難読化をClaudeに手伝わせようとした際にはモデルが拒否し、代わりに別のAIシステムであるKimiに切り替え、モデルの安全機構を回避させるためのジェイルブレイク型プロンプトを投入して従わせたとされる。Rapid7は、実行者が独自ツールではなくAIアシスタントに大きく依存していたこと自体が、技術力はあるものの必ずしも高度とは言えない攻撃者像を示していると指摘した。
この事件が際立つ理由
ハードウェアウォレットへのなりすまし詐欺自体は目新しいものではないが、被害の規模は際立って大きくなり得る。2026年1月に発生したTrezorなりすましのフィッシング事件では、リカバリーシードフレーズを渡すよう仕向けられた投資家1人だけで2億8400万ドルの被害が出た例もある。Rapid7は攻撃がまだ活動中の段階でAppleおよび関係当局に調査結果を開示したとしており、特定されたコマンド&コントロールのIPアドレスや、ledger[.]com[.]lvのような紛らわしいドメインを含む発見内容は、今後同種のインフラを見分けるための具体的な手がかりを防御側に提供するものとなる。
