マルウェアとWebベースのエクスプロイトチェーンからiPhoneの暗号資産ウォレットを守る方法

古いバージョンのiOSを実行しているiPhoneユーザーは、有毒化されたウェブサイトパッケージが保護された携帯電話データやウォレットの機密情報にアクセスできるiOSエクスプロイトチェーンと関連していると研究者が指摘したことで、セキュリティリスクに直面する可能性がある。

サイバーセキュリティプラットフォームのSocketは、PHPパッケージの公開リポジトリであるPackagistで13の悪意あるテーマを発見し、このキャンペーンを公表した。これらのパッケージは携帯電話ではなくウェブサイトを感染させたため、これはサプライチェーン攻撃である。テーマを信頼したサイト運営者が知らずに訪問者に悪意あるコードを配信した。その結果、攻撃は通常のウェブ閲覧を通じて届いたため、偽のウォレットアプリを避けるだけでは、感染したSafariのページから脆弱なiPhoneを守るには不十分だった。

悪意あるPackagistパッケージは何のために設計されたのか?

これらのパッケージは、ベトナムのストリーミングサイトを支えるOphimCMSおよびKKPhim用のテーマを装っていた。vsmov、vsphim、haiau009、chilltvcms、ophimcmsという5つの発行者名の下で公開されていた。

サイト運営者が有毒化されたテーマをインストールすると、そのページに悪意あるJavaScriptが表示された。モバイル訪問者はギャンブルサイトへのリダイレクトや注入された広告を受け取る可能性があった。iPhone向けの分岐はiOSのバージョンを確認し、対応するエクスプロイトを読み込んでいた。

Socketの調査で、2つのWebKit侵入経路が判明した。CVE-2025-31277はiOS 18.4と18.5を対象とし、CVE-2025-43529はiOS 18.6をカバーしていた。WebKitはSafariやその他のiOS用ブラウジングアプリが使用を義務付けられているブラウザエンジンであり、その脆弱性は侵害されたページを読み込むあらゆるiPhoneに影響を与えうる。

その後の段階でWebKitの保護されたプロセスから脱出し、iOSカーネルに到達した。カーネルはオペレーティングシステムの中核にあるため、このアクセスによりペイロードは通常ウェブサイトからはブロックされるデータを読み取ることができた。

研究者は、iOS 18.4から18.6.xを実行するiPhone XSからiPhone 16向けのコードを発見した。解析されたバージョンはiOS 18.7やiOS 26には対応していなかった。

このスパイウェアは、Keychainの記録、メッセージ、連絡先、写真、ブラウザのCookie、Wi-Fiパスワード、位置情報の履歴、アカウントデータベースを収集できた。Keychainはデバイス上のパスワードなどの機密情報を保存するAppleの暗号化ストアである。8月の更新では、Bitget、BitKeep、Bitpie、Phantom、Tonkeeper、Trust Wallet、OKXに関連するウォレットデータの検索も行うようになっていた。

より新しい報告が異なる暗号資産ウォレットを挙げる理由は?

より新しいSlowMistの報告は、別個のWYINCCインフラを調査した。そのサンプルはiOS 18.4から18.6.2のSafariを対象とし、コードはimToken、TokenPocket、TronLinkに焦点を当てていた。

そのペイロードは、アプリファイルの検索、復号化されたKeychainエントリの読み取り、標的のウォレットが開いている間のキーボード入力の監視が可能だった。SlowMistはこれらの機能を復元したが、被害者の電話では実行しなかった。

したがって、2つのウォレットリストは別個のものとして扱うべきである。Socketは悪意あるPackagistテーマを調査し、SlowMistは別の配信システムを解析した。両者ともDarkSwordエクスプロイトファミリーとの関連を示しており、攻撃者が異なる配信チャネル間でエクスプロイトツールを再利用していることを示唆している。

Googleの脅威インテリジェンスグループは2025年11月以降、DarkSwordを追跡してきた。GoogleはiOS 18.4から18.7に対応する複数のバリアントを発見しており、Socketが解析したバージョン以降も開発が続いていることを示している。Appleは新しいiOSバージョンでこのエクスプロイトチェーンに対処するパッチをリリースしている。

ウォレットを盗むマルウェアをユーザーはどう阻止できるか?

最新のiOSアップデートをインストールすることで、既知の侵入経路が遮断される。2026年9月4日時点で、AppleはiOS 26.6.1を現行リリースとしている。また、iPhone XS、XS Max、XR向けにはiOS 18.7.10を提供している。

ユーザーは設定を開き、一般を選択し、ソフトウェアアップデートをタップできる。デバイスに提供されている最新のリリースをインストールすべきである。自動ダウンロードと自動インストールも有効にすべきである。

iOS 26.1以降を実行している場合は、設定とプライバシーとセキュリティでバックグラウンドセキュリティ改善を有効にできる。このオプションは、完全なアップデートの間に一部のWebKitおよびシステム保護を提供する。

パッチが主な防御策であり、慎重な閲覧がさらなるリスクを低下させる。ユーザーは、ギャンブルページや繰り返しのリダイレクトを引き起こすサイトから離れるべきである。Googleは既知のDarkSwordドメインをSafe Browsingに追加したが、攻撃者はインフラを切り替えられるため、ブラウザの警告だけでは完全な防御策ではない。

リカバリフレーズには別途の保護が必要である。写真、メモ、メール、チャット、保護されていないクラウドファイルに保存すべきではない。研究者は、このマルウェアがそれらのデータソースのいくつかを収集できることを発見した。

オフラインバックアップはそのリスクを限定する。大口保有者は、シードフレーズをiPhoneにインポートせずにハードウェアウォレットを使用し、鍵を電話のマルウェアから隔離されたデバイスに保持することもできる。すべてのアドレスとトランザクションは、ハードウェアデバイス上でも確認すべきである。

被曝の可能性がある場合、ユーザーはどうすべきか?

ユーザーはまず、ページが開いたときにアクティブだったiOSのバージョンを確認すべきである。不審なリダイレクトだけでは感染は確認できない。SlowMistはまた、アクセス記録だけでシードフレーズが盗まれたと断定しないよう警告した。

それでもiPhoneは直ちにアップデートすべきである。不正な送金が発生した場合やセキュリティレビューで被曝が確認された場合、所有者はクリーンなデバイスで新しい暗号資産ウォレットを作成すべきである。そのリカバリフレーズは新しいものでなければならない。

その後、所有者はネットワークと宛先を確認したうえで、残りの資産を新しいアドレスに移動できる。古いリカバリフレーズを別のアプリにインポートすると、リスクが保持される。

ユーザーは不明なウォレット接続を取り消し、アクティブなセッションを確認すべきである。より広範なデータ窃取が疑われる場合、Appleアカウント、メール、取引所、金融機関のパスワードは信頼できるデバイスから変更が必要な場合がある。Appleはまた、アカウントから認識できないデバイスを削除するようユーザーに助言している。

高価値デバイスを消去する前に、その所有者は専門的なモバイルフォレンジックを必要とする場合がある。リセットは証拠を破壊しうるためである。SlowMistは、被曝したデバイスからフォレンジックデータを保全することを推奨している。トランザクションハッシュ、ウォレットアドレス、日付、スクリーンショット、アラートも保存すべきである。

被害者は、前払いを条件に復旧を約束する者を避けなければならない。これは損失を公にした人々を狙うよくある追跡詐欺である。正当なウォレットサポートがシードフレーズや秘密鍵を要求することはない。最新のソフトウェア、オフラインでのシード保管、迅速な対応が、ウォレットを盗むマルウェアに対する最も強力な防御策であり続ける。