worse_queryと呼ばれる公開のiOSサンドボックスエスケーププロジェクトが、iPhoneに暗号資産の認証情報を保管することの安全性についての議論を改めて呼び起こしました。そのGitHubページは、iOS 26.0〜26.7.2およびiOS 27.2に影響するサンドボックスエスケープを記載していますが、このコードを「単体では役に立たない開発者向けの概念実証」と位置づけています。これは活発なウォレット流出キャンペーンの証拠ではありません。

それでもなお、このプロジェクトは、2026年に公開された一連のセキュリティ調査の中で登場したものであり、それらの調査では偽ウォレットアプリ、リカバリーフレーズの窃取、高度なiOSエクスプロイトが明らかになりました。これらの事例は、共通して一つの中心的なリスクを指摘しています。攻撃者はブロックチェーンそのものではなく、暗号資産を管理する情報やデバイスを標的にできるという点です。ここから10の教訓が浮かび上がります。

1. 概念実証と確認済み攻撃を区別する

GitHub上でworse_queryは、iOS 26.0〜26.7.2およびiOS 27.2向けのサンドボックスエスケープを記載しています。サンドボックスエスケープとは、アプリ同士のデータやシステムリソースを分離するためにiOSが用いる隔離環境からコードを突破する手法です。作者はこのコードが開発者向けのものであり、単体では役に立たず、ジェイルブレイクではないと説明しています。したがって、公開されたからといって、犯罪者がこれを使ってウォレットの認証情報を盗んでいる証明にはなりません。こうしたコードは、パニックに陥ったりエクスプロイトツールをインストールしたりするのではなく、セキュリティ勧告に注意を払うきっかけとして扱うべきです。iPhoneを最新の状態に保ち、信頼できない開発者向けユーティリティは避けましょう。

2. セキュリティアップデートを速やかにインストールする

Appleが2026年9月28日に発表したiOS 26.7.1の通知では、悪意のあるファイルの処理時に任意のコード実行、つまり攻撃者が選択したコードがデバイス上で実行される恐れのあるCoreGraphicsの脆弱性が修正されました。Appleは、iOS 27以前にこの問題が特定の標的個人に対して悪用された可能性を示す報告を認識していたと述べましたが、暗号資産を狙ったキャンペーンやウォレット窃取は確認していないとしています。それでも、侵害されたスマートフォンではウォレットアプリ、メール、認証コードが漏洩する恐れがあります。デバイスに利用可能な最新のiOSバージョンをインストールし、自動アップデートを有効にし、予期しないファイルやリンクは避けてください。

3. リカバリーフレーズを写真に残さない

Kasperskyの2026年4月のSparkCatレポートでは、一見正規のアプリに隠された亜種が確認され、そのiOS版は写真ライブラリをスキャンして英語のウォレット用ニーモニックフレーズを探し出します。研究者らはAppleのApp Storeで2件、Google Playで1件の感染アプリを発見し、悪意のあるコードはその後削除されました。

リカバリーフレーズはウォレットのマスターキーです。これを入手した者は、別のデバイスでウォレットを復元し、資金を使用できます。リカバリーワードを写真に撮影したり、スクリーンショットを取ったり、写真、クラウドギャラリー、メッセージの添付ファイルに保存したりしないでください。信頼できないアプリがフレーズにアクセスした可能性がある場合は、漏洩したものとして扱い、信頼できる環境で新しいウォレットを作成し、資金を移してください。

4. すべてのウォレットアプリの配信元を確認する

Kasperskyは、MetaMask、Ledger、Trust Wallet、Coinbaseなどのウォレットになりすました26件の不正なApp Storeアプリケーションを特定しました。それらのアイコンと名称は正規製品を模したものであり、一部は当初、電卓やゲームなどの無関係な機能を提供していました。このキャンペーンは、一部の公式ウォレットが利用できなかった中国のApp Storeを中心に出現しました。

App Storeへの掲載は正統性の証明にはなりません。ウォレット提供元の公式サイトに自らアクセスし、そこから直接のストアリンクを辿ってください。ダウンロード前に開発者名と表記を確認し、検索順位や見覚えのあるロゴだけを頼りにしないでください。

5. 不明なプロファイルとシードフレーズの入力要求を拒否する

KasperskyのFakeWallet技術レポートは、偽の掲載がユーザーを模倣App Storeページへ誘導し、開発者プロファイルのインストールを促す仕組みを説明しています。これらのプロファイルにより、トロイの木馬化されたウォレットアプリが通常のストア手順外でインストール可能となり、マルウェアはウォレットの復元・作成画面を横取りしてユーザーのリカバリーフレーズを取得し、攻撃者が資金にアクセスできる恐れがありました。こうしたプロファイルはApp Store外でアプリをインストールするためのAppleの仕組みであり、一般ユーザー向けではなくアプリ開発やエンタープライズ配布を目的としたものです。この2つのKasperskyレポートは、無関係な2つの発生ではなく、同じより大きなキャンペーンを異なる角度から描写したものです。

ウォレットを入手するためにプロファイルやエンタープライズ証明書をインストールしてはならず、リカバリーフレーズを求めるいかなる「セキュリティチェック」も拒否してください。

6. 機密データをメモやQRコード画像に残さない

Googleの2026年3月のCoruna調査では、23件のエクスプロイトを含む5つのiOSエクスプロイトチェーンが特定されました。その金融ペイロードは画像内のQRコードをデコードし、AppleのメモアプリをBIP39の単語シーケンス（ほとんどのウォレットがリカバリーフレーズをエンコードするために使用する標準化された単語リスト形式）や「backup phrase（バックアップフレーズ）」といった語句で検索できました。また、多数の暗号資産ウォレットアプリの情報も標的としました。

シードフレーズ、秘密鍵、バックアップ用QRコードをメモや画像フォルダに保存してはいけません。リカバリー素材は安全な物理的な場所でオフラインに保管してください。Googleは、Corunaは最新のiOSバージョンでは動作しなかったと述べ、アップデートできない場合はLockdown Modeの有効化を勧めました。

7. ウォレットだけでなくスマートフォン全体を保護する

Googleの3月18日のDarkSwordレポートは、iOS 18.4〜18.7を搭載したデバイスに対して6つの脆弱性を利用するiOSエクスプロイトチェーンを記述しました。このマルウェアは暗号資産ウォレットのデータ、メッセージ、連絡先、写真、ファイル、閲覧履歴を収集でき、Googleはサウジアラビア、トルコ、マレーシア、ウクライナのユーザーを標的とするキャンペーンを確認しました。Googleによると、これらの脆弱性はiOS 26.3までに修正済みで、大半はそれ以前に修正されていました。

侵害されたスマートフォンは複数のウォレットを露出させ得ます。iOSをアップデートし、不審なウェブサイトを避け、標的型攻撃に直面する人向けに設計されたAppleの任意の最大セキュリティ設定であるLockdown Modeを、標的化リスクが高まる状況では検討してください。

8. 古いiPhoneをコールドストレージとして扱わない

OneKeyの創設者であるWang Yishi氏は、デバイスを消去したり切断したりした場合であっても、古いiPhoneにリカバリーフレーズを保管することに対して警告しました。11月1日のレポートは、古いモデルに影響するハードウェアレベルの脆弱性を論じるとともに、悪用には物理的アクセスと専門的な機器が必要であり、これらの欠陥が保存されたすべてのシードフレーズを自動的に暴露するわけではないと指摘しました。

機内モードはスマートフォンをハードウェアウォレットに変えるものではありません。古いiPhoneをリカバリーワードの唯一の保管庫として使用することは避けてください。シードが露出した可能性がある場合は、信頼できる環境で新しいものを生成し、資産を移してください。

9. 別個のハードウェア画面で取引を確認する

2026年7月のレポートは、Trezorの最高商務責任者が、ほとんどのユーザーにとってハードウェアウォレットが強力な自己管理オプションであると擁護する趣旨を引用しました。同氏は、署名前に取引内容を確認できる別個の画面を指摘しつつ、高額な保有者には多層的な体制が必要になる場合があると述べました。

ハードウェアウォレットは無敵ではありません。信頼できる販売経路で購入し、デバイスの画面上で完全なアドレスと金額を確認し、リカバリーバックアップを保護し、ファームウェアを最新に保ってください。可能であれば、長期保有資産と日常の支出用資産を分けてください。

10. 送金前に完全なアドレスを確認する

Microsoftの2026年6月の調査では、クリップボードデータを監視し、シードフレーズと秘密鍵を窃取し、コピーされたウォレットアドレスを置き換えるWindowsベースの暗号資産クリッパーが検証されました。これは感染したUSBショートカットを通じても拡散し、コマンド・アンド・コントロールにTorを使用していました。このキャンペーンはiPhone向けマルウェアではありませんでしたが、接続されたデバイス全体に及ぶ送金リスクを浮き彫りにしています。

送金前に、送信先の完全なアドレスを信頼できる受取人情報と照合し、最初と最後の文字だけに頼らないでください。高額な送金では、少額のテスト送金を行い、受領を確認してから本送金してください。

共通する教訓

これらの事例を通じて、露出したリカバリーフレーズ、欺瞞的なダウンロード、未確認の取引という3つの弱点が繰り返し現れます。iPhoneのセキュリティはアプリのパスワードだけでは不十分です。ソフトウェアを最新に保ち、ウォレットの入手元を検証し、バックアップをオフラインで保管し、信頼できる画面で取引を確認してください。自己管理では、誤った送金を取り消したり失われたフレーズを再生成したりするためのサポート窓口が存在しないため、これらの習慣こそが実質的にアカウントセキュリティとなります。単一の設定やデバイスがこれらの習慣の代わりにはなりません。

よくある質問

worse_queryプロジェクトは活発なウォレット窃取キャンペーンの証拠ですか？

いいえ。そのGitHubドキュメントは、これを単体では役に立たない開発者向け概念実証と記載しており、公開されたことは活発なウォレット窃取キャンペーンの存在を裏付けるものではありません。

iOSアプリは本当に写真ライブラリをスキャンしてリカバリーフレーズを探せますか？

はい。Kasperskyは、写真ライブラリをスキャンしてウォレット用ニーモニックフレーズを探すSparkCatの亜種を特定しました。スクリーンショット、写真、クラウド同期された画像にシードフレーズを保存しないでください。

App Storeのウォレットアプリは常に正規ですか？

いいえ。Kasperskyは、有名ウォレットブランドになりすました26件の不正な掲載を特定しました。アプリをインストールする前に、ウォレット提供元の公式サイトを通じて配信元を確認してください。

古くて切断されたiPhoneはシードフレーズの保管に安全ですか？

いいえ。デバイスを切断しても、ハードウェアの脆弱性や物理的アクセスのリスクは解消されません。古いスマートフォンをリカバリー認証情報を保管する唯一の場所にすべきではありません。

リカバリーフレーズが露出した可能性がある場合、どうすればよいですか？

そのフレーズは漏洩したものとして扱ってください。信頼できる環境で新しいリカバリーフレーズを用いて新しいウォレットを作成し、そのアドレスに資金を移してください。露出したフレーズを再利用してはいけません。