FBIのインターネット犯罪苦情センター（IC3）——同局がインターネット犯罪の苦情を収集し公警報を発する窓口——を通じて11月12日に公表された注意報は、FaceStealer（通信アカウントの乗っ取りと偽のビデオ会議を利用して標的をマルウェアのインストールに誘導する北朝鮮の作戦）に関する複数の報告事例で、初期侵入から暗号資産窃取までに数カ月から1年以上の遅れがあったと述べている。この警告は、はるかに前に悪意あるトラブルシューティング手順に従った可能性がある人々に向けたものであり、不正な送金がないことはウォレットの認証情報が秘匿のままだったことを証明するものではないと同局は注意している。

フレーズが盗まれた後もウォレットが正常に見える理由

リカバリーフレーズがあれば、対応するウォレットソフトウェアは取引を承認するために使う秘密鍵を再構築できる。標準的なリカバリーフレーズ型ウォレットでは、フレーズを持つ誰かが所有者のアクセスを奪うことなく別のデバイスでアクセスを復元でき、両者が資金を使う手段を持ちうる。

フレーズをコピーしても暗号資産は移動しない。ブロックエクスプローラーは入金や送金を表示できるが、別の人物が将来の引き出しを承認するために必要な情報を入手したことは示せない。したがって所有者は、攻撃者がより大きな残高を待つ間も、通常どおりウォレットを使い続けられる。

11月12日の注意報は、攻撃者がまさにそれを行っていたと述べている。平均的な待機期間や、侵害が遅延窃取につながる頻度の推計は示されていない。その結論はより限定的で、報告された複数の事例では、侵入から数カ月から1年以上後に窃取と通信アカウントの乗っ取りが発生していた。

露出の範囲は攻撃者がアクセスできたものによる。感染したコンピュータに保存されたリカバリーフレーズは、そのデバイスで一度も扱われなかったフレーズとは異なるリスクを伴う。また、コンピュータ感染だけでは、所有者が使うすべてのウォレットの鍵が失われたことにはならない。

知人を装って偽の「修正策」を届ける仕組み

FaceStealerの作戦は、過去の被害者の通信アカウントへのアクセスから始まる。攻撃者はその本物のアカウントを使って被害者の連絡先に近況確認、共同作業、投資話題などで接触し、会議サービスを装うリンクを送る。

偽の会議の中で、攻撃者は盗んだウェブカメラ映像を再生し、見覚えのある人物が参加しているように見せる。そのうえで、標的の音声に問題がある、またはアップデートが必要だと言い、解決策としてファイルのダウンロード、スクリプトの実行、マルウェアをインストールするコマンドの入力を求める。

このキャンペーンは今なお主に本物の盗撮映像に依存しているが、注意報は合成映像にも言及している。この欺瞞には作り物の顔は必要ない。本物の映像が、撮影された本人が関与しない会話で使われているのだ。

当局はFaceStealerインフラの壊滅作戦で、被害者9百件超のウェブカメラ映像を押収した。FBIは18カ月間で4億ドル超の暗号資産窃取をこの手口に帰している。

コンピュータの駆除だけではウォレット管理は回復しない

マルウェアの除去は、そのソフトウェアがデバイス上で動作し続けるのを止められるが、すでに別の場所にコピーされたリカバリーフレーズを取り戻すことはできない。ウォレットアプリの再インストール、ローカルパスワードの変更、同じフレーズの別のコンピュータへの復元では、根底にあるウォレットの認証情報は変わらない。

露出したリカバリーフレーズ型ウォレットの対処は、新しいフレーズでウォレットを作成し資産を移すことである。標準的なリカバリーフレーズ型ウォレットには、一度コピーされたフレーズを無効化できる発行主体が存在しないため、修復ではなく置き換えが唯一の道となる。Phantomの移行ガイダンスは、既存のリカバリーフレーズ型ウォレットに新しいフレーズを単純に割り当てることはできないと説明し、トークン、コレクティブル、ステーキング資産、DeFiポジションを確認するよう助言している。これらの一部は移動前に追加の手順を必要とする。

したがって移行では、ウォレットの初期画面に表示される残高以上を考慮する必要がある。所有者は露出した認証情報が引き続き管理する資産とポジションを特定し、今後の支払いを旧アドレスに向けないようにしなければならない。

盗まれたアカウントが次の連絡先を危険にさらす

ウォレットへのアクセスは、侵害されたデバイスの用途の一つにすぎない。FaceStealerの攻撃者は連絡先リストやチャット履歴も取得し、過去の会話に基づいて接触を仕立てられる。投資や会議に関するメッセージが、予想通りのアカウントから届き、実際の関係に言及することもありうる。

アカウントの復旧はその経路を断てるが、連絡先はすでに招待を受け取っていたり、所有者の撮影された顔を見ている可能性がある。別の確立された経路で警告する必要がある。暗号資産が消失していなくても、業務用デバイスや業務情報が露出した可能性があれば雇用主にも知らせるべきである。

今後の会議の招待については、公式アプリケーションを自ら開いて会議コードで参加すること、異例の依頼は別の確立された連絡経路で確認すること、チャットで提供されるスクリプトやコマンドを実行せずアップデートを別途入手することが推奨される。

数カ月前に不審な「修正策」に従った人は、当時アクセス可能だった認証情報とアカウントを再評価すべきである。注意報が述べる事例は侵入から数カ月から1年以上後に窃取が発生しているため、その再評価は最近の活動にとどまらず、デバイスが侵害されていた可能性のあるすべての期間に及ぶ必要がある。この見直しによって、資金を移すべきか、アカウントのセッションを終了すべきか、連絡先に警告すべきかが決まる。