CrowdStrikeと米司法省はSalityボットネットを阻止し、悪意あるペイロードの配布に使われていた15,000台超の感染端末を隔離した。2003年から活動しているSalityは、過去8年間にわたり主にEggJaggerを配信してきた。EggJaggerは、コピーされた暗号資産ウォレットアドレスを監視し、運用者が管理するアドレスに置き換えるツールだった。

この作戦は、暗号資産の支払い手順に潜む深刻な弱点を狙ったものだった。マルウェアが支払い完了前にアドレスを書き換えると、資金は別の受取人に送られてしまう。CrowdStrikeは、EggJagger単体で少なくとも12.1百万ルーブル、約150,000ドル相当の暗号資産盗難が発生したと推定している。

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality. Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr — FBI Cyber Division (@FBICyberDiv) September 1, 2026

Today the @FBI , @TheJusticeDept , and the Defense Criminal Investigative Service (DCIS) announced a multinational operation with actions in the United States and Europe to disrupt the botnet known as Sality.

Since 2003, the Sality botnet has installed malware on compromised… pic.twitter.com/HNIY3oCGYr

— FBI Cyber Division (@FBICyberDiv) September 1, 2026

Salityが最初に確認されたのは2003年で、その後ピア・ツー・ピア型のボットネットへ進化した。中央のコマンド・アンド・コントロールサーバーに依存せず、感染端末同士が直接通信していた。マルウェアは、ネットワーク共有、リムーバブルドライブ、ファイル共有を通じて共有された実行ファイルに自身を付加することで拡散した。

CrowdStrikeによると、Salityの技術的役割は、感染端末へ追加のペイロードを展開することだった。過去8年間はEggJaggerが主なペイロードとなっていた。

このクリップジャッキングツールは、被害者のクリップボード内の暗号資産ウォレットアドレスを監視し、運用者が管理するアドレスへ静かに置き換えていた。そのため、BitcoinやEthereumのアドレスをコピーして支払いを行おうとした場合、資金が本来の受取人ではなく別の宛先へ送られる可能性があった。

この仕組みは、取引所の侵害やスマートコントラクトの悪用とは異なる。ブロックチェーン自体への攻撃ではなく、暗号資産の支払いを準備する過程で使われる端末とクリップボードが対象だった。

この摘発で何が示され、何が示されないのか

CrowdStrikeのCounter Adversary Operationsチームは、Salityのピア・ツー・ピア設計をボットネットに対して逆利用した。作戦では、正当なピアを削除し、CrowdStrikeが管理するシンクホールを挿入することでピアリストを操作した。これにより感染端末は運用者の制御から切り離され、ボットネットは新たな指示を受け取れなくなった。

米司法省、FBI、Defense Criminal Investigative Serviceは、米国内のSality関連インフラに対して措置を講じた。ブルガリア、ハンガリー、ルーマニアの法執行機関が、欧州での関連措置を支援した。Shadowserver Foundationは、被害者への通知のためにインターネットプロバイダーと連携している。

CrowdStrikeは運用者をSALTY SPIDERとして追跡している。同社によると、盗まれた暗号資産の多くは使われておらず、ポートフォリオは2025年1月に約147百万ルーブル、名目で約1.35百万ドルのピークに達した。

運用者の制御チャネルを遮断しても、侵害端末からマルウェアが消えるわけではない。CrowdStrikeは、感染端末に既に存在するマルウェアは削除されるまで活動を続けると述べており、影響を受けたシステムには依然として修復が必要だ。

EXPLORE: Best Crypto Presales With Asymmetric Upside in the Current Market

この盗難が暗号資産利用者にとって重要な理由

確認されているEggJaggerによる盗難額は1つのペイロード系統に限られるが、この手口は、マルウェアが通常の支払いフローにどう介入し得るかを示している。コピーしたアドレスの元は正規のものであっても、取引完了前に感染端末上でクリップボード内容が改ざんされる可能性がある。

今回の作戦で隔離された15,000台超の端末は、CrowdStrikeが対処したインフラの規模を示している。事件の中心はクリップボードの置換であり、マルウェアが暗号資産ウォレットアドレスを監視して運用者管理のアドレスに置き換え、感染コンピューターからの支払いを別の宛先へ転送していた。

BitcoinとSalityの摘発

Bitcoinの市場環境とSalityの作戦は別個の問題だ。ボットネットは盗難手口の一部として暗号資産アドレスを利用したが、この摘発に関する証拠は、作戦とBitcoinの価格動向との関連を示していない。

今回の摘発は、侵害された端末上の支払いフローの安全性に関わるサイバーセキュリティ上の措置である。CrowdStrikeによれば、即時の効果は感染端末を隔離し、運用者がそれらと通信したり新たな指示を出したりできないようにすることだった。

暗号資産利用者にとって重要なのは、基盤となるブロックチェーンの変化ではない。端末上のマルウェアが、取引の流れの中で支払い情報を書き換えられるリスクである。影響を受けた端末にマルウェアが残り続けることも、今回の摘発だけではそれらのシステムがクリーンにならなかったことを意味する。

最新の市場情報についてはXで99Bitcoinsをフォローし、日々の専門的な市場分析はYouTubeをご覧ください。