Rapid7 は、Operation ASTERIX として追跡している暗号資産詐欺オペレーションが、公開時点でまだ稼働していた露出した Web ディレクトリから運営者のツール一式を回収した後、AI コーディングアシスタントを使って暗号資産フィッシングツールと悪意あるウォレットアプリを構築していたと発表しました。

Rapid7 は、詐欺オペレーションを支える露出した Web ディレクトリを特定し、電話番号データセット、アカウント検証ツール、フィッシングパネル、vishing スクリプト、偽ウォレットアプリ、Telegram の外部送信コードを回収したと、インシデント報告で述べています。関連報道としては、Bitcoin’s 2 p.m. Fed Risk Signals a Bigger Hawkish Camp を参照してください。

Operation ASTERIX が AI を使って暗号資産フィッシングツールを構築したとされる方法

Operation ASTERIX は、設定ミスのあるサーバー上で全体のワークフローが露出していた単一の暗号資産詐欺オペレーションに対して Rapid7 が付けた名称です。この名称は、そのサーバーで見つかった Asterisk 電話システムに由来しており、Rapid7 は、運営者がフィッシングメールや偽装ウォレットアプリと並行して、音声フィッシング通話を自動化するためにこれを使用していたと述べています。関連報道としては、Deribit Stock and ETF Perpetuals Launch on August 31 を参照してください。

報告の中心にあるのが AI の側面です。Rapid7 は、回収したプロンプト、シェル履歴、プロジェクトファイルから、AI コーディングアシスタントが Electron アプリケーションのパッケージ化、コードの難読化、ビルドのトラブルシューティング、フィッシング基盤の改変、マルウェア配布の準備に使われていたことが分かったと述べています。要するに、運営者は単一の作業ではなく、ツールチェーン全体で AI を開発補助として活用していたようです。

主要ポイント

• Rapid7 は、AI コーディングアシスタントがこのオペレーションのフィッシングおよびマルウェア関連ツールの構築と難読化を支援したと述べています。
• このキャンペーンは、Asterisk プラットフォームを使った vishing と、フィッシングメールおよび偽ウォレットアプリを組み合わせていました。
• Rapid7 は、稼働中の段階で Apple のセキュリティチームを含む当局にこの基盤を通報しました。

悪意あるウォレットソフトウェアが実際のペイロードでした。Rapid7 は、macOS と Windows 向けの偽 Trezor Suite、Ledger Live、Exodus アプリケーションを回収しており、これらはインストールした被害者から暗号資産ウォレットと復元フレーズを盗むよう設計されていました。

このオペレーションは、標的選定にも大きく投資していました。露出したサーバーには、詐欺ワークフローに関連する約 885,000 件の電話番号があり、その中には潜在的被害者の特定に使われた 316,002 件のドイツのモバイル番号データセットが含まれていました。

これらの番号は無差別に使われたわけではありません。Rapid7 によると、Crypto.com のチェックツールは、300 の同時スレッド、リトライロジック、ローテーション式の住宅プロキシを用いて電話番号をアカウント存在確認エンドポイントに送信し、接触前にどの番号が実在の取引所ユーザーに属するかを確認していました。

その検証は機能しました。Rapid7 は、ドイツのデータセットから 43,066 件のアカウントが確認され、約 13.6% のヒット率だったと述べており、どの標的にフィッシングメールや定型化されたサポート電話を行う価値があるかを運営者が判断できたことを示しています。

Rapid7 は、このオペレーションがまだ活動中である間に、特定した基盤を Apple のセキュリティチームを含む関係当局へ通報したと述べています。開示に関わった Christiaan Beek 氏は、研究者が「攻撃者の開発ワークフローに AI が直接織り込まれている証拠も見つけた」と記しています。

AI を使ってソフトウェアの弱点を見つけ、武器化するという報告は、BitBox がハードウェアウォレットで深刻なファームウェアの欠陥を AI が発見したと公表した件など、対岸側の最近の研究とも重なります。これは、同じツールが今や両方向で使われていることを示しています。

Operation ASTERIX のキャンペーンが暗号資産ユーザーとウォレットの安全性にとって重要な理由

偽のウォレットアプリは、暗号資産分野でも最も危険な侵入口の一つです。ウォレットの役割は鍵を保持することだからです。偽造された Trezor Suite、Ledger Live、Exodus のビルドは復元フレーズを取得するよう設計されており、シードフレーズが盗まれれば、その資産を保護している資金に対して攻撃者は永続的かつ取り消し不能な支配権を得ます。

AI の側面が重要なのは、説得力のあるツールを短時間で作るハードルを下げるためです。Rapid7 の証拠は、アシスタントが Electron アプリのパッケージ化やコードの難読化を支援していたことを示しており、かつてはチームが必要だったクロスプラットフォーム型マルウェアやフィッシング基盤を、今では単独の運営者が組み立てられる可能性を示しています。これは、AI モデルと暗号資産オペレーションの関係を監視している規制当局にとっても懸念材料です。

テレメトリは、この脅威を大量スパムではなく標的型のものとしても再定義しています。ある Rapid7 のパネルでは、約 2 週間のあいだに成功したリード検索とフィッシングメールはわずか数件しか記録されておらず、検証ステップによって運営者が全員にばらまくのではなく、確認済みの取引所ユーザーに集中できることが示されています。

これは消費者向けの注意喚起にも直接つながります。Apple のサポート資料では、ソーシャルエンジニアリング詐欺は、偽のメール、なりすましサポート通話、誤解を招くポップアップ、ソフトウェアのダウンロードを使って認証情報やデータを盗むことが多く、身に覚えのない「サポート」連絡は疑ってかかるよう警告しています。

ウォレット利用者にとっての実務的な対策は、範囲が狭く具体的です。ウォレットソフトウェアは、メールや電話で送られてきたリンクではなく、ベンダーが検証したチャネルからのみダウンロードすること、復元フレーズを要求するアプリには絶対に入力しないこと、そして取引所や Apple のサポートを名乗る着信は、独自に確認されるまではフィッシングとみなすことです。Coinbase の Base のようなプラットフォームが AI エージェントプロジェクトを支援しているなど、AI 駆動の暗号資産ツールへの関心は業界全体で高まっており、一般ユーザーにとって正規アプリと巧妙な偽アプリの見分けはより難しくなっています。

この記事は Rapid7 の開示に関するニュース分析であり、完全なインシデント対応ガイドではありません。Rapid7 は公開資料の中で、確認済みの盗難資金総額や被害者数を示しておらず、Operation ASTERIX に特化した公的な規制当局の提出書類も、公開時点では確認されていません。

免責事項: 本記事は情報提供のみを目的としており、金融または投資助言を構成するものではありません。暗号資産およびデジタル資産市場には大きなリスクがあります。判断を下す前に、必ずご自身で調査を行ってください。