Binance創業者のChangpeng Zhao（CZ）氏が、暗号資産保有者に緊急の警告を発した：今すぐiPhoneをアップデートせよと。ウォレットは暗号資産を守れるが、その下にあるオペレーティングシステム（OS）を守ることはできない、と同氏は指摘した。セルフカストディは義務であり、その義務には端末そのものを安全に保つことが含まれる、というのが同氏の言葉だ。

この警告は、iOSエクスプロイトチェーン「DarkSword」がセキュリティ研究者を再び悩ませ、暗号資産ウォレットから資金を流出させていたさなかに発表された。これは特定のウォレットの問題ではなく、単一のウォレットソフトウェアのバグでもない。その下にある層のバグである。OSが侵害されれば、ウォレットソフトウェアが提供する保護は回避され得る。

何が起きたのか — なぜCZ氏は全員にアップデートを呼びかけたのか

DarkSwordは3月に、Google Threat Intelligence Group、Lookout、iVerifyによって公開された。研究者らは、Safariのサンドボックス—Webコンテンツを端末の他の部分から隔離するために設計されたセキュリティ境界—を回避し、突破してより高い権限を取得できる6つのiOSセキュリティ脆弱性を詳述した。その詳細はGoogle Threat Intelligenceのレポートに記録されている。攻撃は、被害者がSafariで悪意あるWebページを開いた時点で開始される。ウォレットの接続もトランザクションの署名も不要だ。ユーザーが悪意あるトランザクションを承認することに依存する従来のウォレットドレイン詐欺と、ここが異なる。ページを開くだけで十分だったのだ。

サンドボックスを突破した後、この攻撃はパスワードやファイル、場合によっては秘密鍵やリカバリフレーズを露出させる。Reutersの報道が、iOSセキュリティをめぐるリスクの大きさを浮き彫りにしている。エクスプロイトに関連するデータでは、557万ドルが20以上のウォレットから流出し、少なくとも18の悪意あるWebサイトが確認された（Lookonchain）。

CZ氏は、iOSユーザー—とりわけパッチ済みバージョンにまだ更新していないユーザー—に対し、システムをアップデートして端末のセキュリティを回復するよう呼びかけた。ウォレットアプリケーションはOSをユーザーに代わってアップデートすることはできない。セルフカストディには、トランザクションを取り消したり、失ったシードフレーズを復元したりしてくれるヘルプデスクは存在しない、と同氏は述べた。

Update your iOS, especially if you haven't updated in a while. No wallet software can update your OS. Self-custody means self responsibility.

— CZ 🔶 BNB (@cz_binance) November 6, 2026

なぜiOSセキュリティが暗号資産にとって重要なのか

暗号資産のセキュリティは、従来、スマートコントラクト、取引所、ブリッジ、秘密鍵の観点で議論されてきた。端末のセキュリティはあまり語られないが、大多数の小口ユーザーはモバイル端末を通じて暗号資産にアクセスしている。モバイルウォレットのセキュリティは、その基盤となるOS、ブラウザ、ハードウェアと同じ程度にしか安全ではない。

長年にわたり、iOSのセキュリティは堅牢であるとされてきた。Appleがハードウェア、ソフトウェア、App Storeを管理しているためだ。しかしそうした評価は油断を生みかねない。ユーザーはアップデートを怠ったり、古い端末をブラウジング、メッセージング、銀行取引、暗号資産の用途のまま使い続けたりすることがある。DarkSwordはその前提を覆した。既知の脆弱性が存在する場合、感染したWebページを1つ開くだけで侵入経路になり得るのだ。

その責任は特定のウォレットプロバイダー1社にとどまらない。研究者らはiOSバージョン18.4〜18.7を実行する端末でこのエクスプロイトを確認し、報道ではTrust Wallet、MetaMask、Phantom、Coinbase、Exodusなどが潜在的な標的として挙げられた。ウォレットを乗り換えても、パッチ未適用のOSは修正されない。真の問題はアプリケーション層の下、すなわちiOSセキュリティそのものにあるからだ。

アップデート、防御、保護

Malwarebytesによると、Appleはその後DarkSwordのエクスプロイトにパッチを適用した。修正はiOS 18.6、18.7.2、18.7.3、およびiOS 26.1と26.3を通じてリリースされており、26.3時点で6つの脆弱性すべてが修正されている。（18から26への飛躍は、Appleが2025年に年数ベースのバージョン命名に移行したことを反映している。）これらの修正をインストールしていない端末は、既知の攻撃チェーンに対して無防備のままだ。アップデートの手順は簡単だ：設定、一般、ソフトウェア・アップデートと進み、見知らぬアカウントからのリンクは避けること。

ユーザーはまた、リカバリフレーズの保管場所を見直すべきだ。シードフレーズは、Notesアプリ、写真のスクリーンショット、クラウドバックアップ、メッセージングアプリに保存すべきではない。端末へのアクセスを得た攻撃者は、そこに保存されたすべてを平文で読み取ることができる。大きな資産を保有するユーザーは、ハードウェアウォレットやAppleのロックダウンモード—高度な攻撃の標的になり得るユーザー向けに用意された任意の強化モード—によって、攻撃対象領域の一部を塞ぐことができる。

端末が侵害されたと考えられる場合、ユーザーはクリーンな端末上で新しいウォレットを作成し、資金を移し、古いシードフレーズを廃棄することができる。アップデートは今後の端末を保護するが、すでに露出したシードフレーズを救済することはできない。同じシードから新しいアドレスを生成しても不十分だ。マスターキーはすでに露出しているからだ。セルフカストディにおいて、iOSのアップデートは優れた端末メンテナンスであるだけでなく、優れた暗号資産の衛生管理なのだ。