仮想通貨ウォレット狙うiOS攻撃ツール、偽サイト1,500件超を確認

仮想通貨狙う「DarkSword」偽サイト急増

ブロックチェーンセキュリティ企業SlowMist（スローミスト）は2026年10月24日、iPhoneなどを狙う攻撃ツール「DarkSword（ダークソード）」に関連したフィッシングサイトを1,500件以上確認したと、X（旧Twitter）で警告しました。

同社によれば、確認された偽サイトは、SlowMistの脅威監視システム「MistEye」が検出したもので、大手仮想通貨取引所バイナンス・OKXやウォレットサービスのほか、ECサイトやゲームサービスなどを装っていたといいます。

DarkSwordはiOSの脆弱性を悪用して端末のセキュリティ制限を突破し、保存された認証情報や仮想通貨ウォレットの秘密鍵、メモアプリのデータなどを窃取する攻撃ツールとされています。

こうした攻撃によって秘密鍵などが流出した場合、利用者が保有する仮想通貨資産を盗まれる恐れがあり、iPhoneやiPadでウォレットを管理するユーザーにも被害が及ぶ可能性があります。

SlowMistは被害を防ぐため、iOSを速やかに最新版へ更新するとともに、不審なリンクや改ざんされた可能性のあるアプリを警戒し、ウォレットの秘密鍵やシードフレーズをメモアプリに保存しないよう呼びかけています。

SlowMistが警告：iPhoneの仮想通貨ユーザーを狙う「DarkSword」

iPhoneやiPadを利用している方は、iOSを速やかにアップデートし、「DarkSword」に感染している可能性のあるアプリにも注意してください。

DarkSwordは、iOSの脆弱性を悪用してアプリのセキュリティ制限を突破し、キーチェーンの認証情報や端末内に保存されたウォレットの秘密鍵、メモアプリのデータなどを盗み取る攻撃ツールです。攻撃が成功すると、保有する仮想通貨が盗まれるおそれがあります。

国家ぐるみのBDD攻撃、420%増加

ブロックチェーン悪用「1年で5倍」北朝鮮・イランら国家が攻撃基盤に

公開された攻撃コードが生んだ実被害

6つのiOS脆弱性を連鎖的に悪用

DarkSwordを使った攻撃は2025年11月から確認されており、Google脅威インテリジェンスグループ（GTIG）は2026年3月18日、サウジアラビアやトルコ、マレーシア、ウクライナなどでの悪用事例を公表しました。

GTIGの調査によると、DarkSwordはiOS 18.4から18.7を対象に6つの脆弱性を連鎖的に悪用し、端末のセキュリティ制限を突破する攻撃ツールで、商用監視ツールの提供業者や国家支援が疑われる攻撃者による利用が確認されています。

その後、DarkSwordの攻撃コードがGitHub上で公開され、7月19日には管理パネルやデータベース、運用手順書を備えた「DarkSword-PROV2」も登場するなど、攻撃ツールの運用基盤が拡充されていたと、SlowMistが10月19日の分析レポートで報告しました。

同社によると、この運用パッケージには仮想通貨ウォレットの情報取得や秘密情報の復号、資金集約などの機能が追加されており、公開された攻撃コードが仮想通貨の窃取を目的とするツールへと改変されていたとしています。

ウォレット狙う攻撃サーバーを特定

SlowMistは改変されたDarkSwordの運用実態を調べるため、2026年9月下旬から稼働していた攻撃サーバーの管理パネルを特定し、端末への侵入状況や窃取データに関する記録を分析しました。

直近30日間の記録では、20,187件のページ閲覧と1,187件の侵入試行が確認され、攻撃が成功した10件のうち9件ではデータの外部送信まで完了していたと報告しています。

攻撃対象にはメタマスクやimToken、TokenPocket、TronLink、Trust Wallet、OKXなどの仮想通貨ウォレットが含まれ、取得した情報からニーモニックフレーズを復号し、資金の移動まで実行できる機能が管理パネルに組み込まれていたとされています。

ただし、攻撃コードの分析では、完全な侵入チェーンが機能する範囲はiOS 18.6から18.7.2、およびiOS 26.0から26.1に限られており、対象サイトへのアクセスが必ずしも端末の侵害につながるわけではないことも確認されています。

App Store経由でも攻撃、58万USDT流入

iOSの脆弱性を悪用する攻撃は、偽サイトに加えて正規のアプリ配信サービスでも確認されており、2026年9月にはAppleのApp Storeで配布されていた仮想通貨モニタリングアプリ「FomoPeek」が問題となりました。

SlowMistが9月20日に公表した調査レポートによると、OKXのセキュリティチームとの共同分析で、FomoPeekのバージョン1.1と1.2に、iOSの脆弱性を悪用して端末内の情報を収集する不正なモジュールが組み込まれていたことが判明しています。

問題のモジュールにはキーチェーンや他のアプリのデータにアクセスする機能があり、19のウォレット・メモ関連アプリが情報収集の対象に設定されていたことも明らかになりました。

さらに、SlowMistのオンチェーン追跡ツール「MistTrack」による分析では、関連する主要な攻撃者アドレスに累計579,984.34 USDTが流入しており、イーサリアムやアービトラムなど複数のブロックチェーンにまたがる資金移動も確認されています。

送金時に詐欺の兆候を自動検知

メタマスク「送金前に詐欺を検知」新機能を発表｜ロマンス詐欺にも対応

脆弱性は修正済み、偽サイト警戒続く

こうしたiOSへの攻撃をめぐり、GTIGは同報告で、DarkSwordに悪用された6つの脆弱性がすべてiOS 26.3の公開までに修正されたことを明らかにし、利用者にOSの更新を推奨していました。

同グループはDarkSwordの配信に使われたドメインをGoogleのセーフブラウジングに追加したほか、iOSを更新できない利用者には、端末への攻撃を制限する「ロックダウンモード」の有効化も呼びかけています。

既知の脆弱性に対する修正が提供される一方、SlowMistの警告では、DarkSwordに関連する偽サイトが依然として多数確認されており、修正済みの脆弱性を持つ旧バージョンの端末や、悪意あるアプリを通じた情報窃取への警戒が続いています。

>>詐欺関連の最新仮想通貨ニュースはこちら

関連の注目記事はこちら

GMO不正アクセスで損失補償を発表、暗号資産取引への影響も懸念

Ledger147億円流出「報告から10カ月放置」Mt.Gox元CEOが批判

警察庁「北朝鮮が17億円相当の暗号資産を送金」4カ国合同で手口公表

Source：SlowMist X投稿 / DarkSword分析レポート
サムネイル：Shutterstockのライセンス許諾により使用