事実
Odailyの速報（10月24日）によると、SlowMistの余弦氏がXで、MistEyeの脅威ハンティングによりDarkSword関連のフィッシングサイトが1500件超展開されていると報告した。装い先はEC、偽Binance・偽OKX、偽ウォレット、ゲーム、暗号資産交換など多岐にわたる。同日の別速報では、iPhoneの暗号資産ユーザーを狙った盗幣を念頭に、システム更新と一部アプリの汚染への警戒を呼びかけている。
NADA NEWS（10月26日）はSlowMistの解析を整理し、公開コードを組み込んだ攻撃基盤が9月下旬にはオンラインで稼働していたこと、Safariで仕込まれたページを開くだけでKeychainやウォレット関連データが狙われうること、imToken・TokenPocket・TronLinkなどを狙う処理や、復元フレーズを使った残高確認・資金集約機能が確認されたことを伝えた。解析上、攻撃に必要な処理が揃っていたのは主に特定のiOS版レンジだが、すべての該当端末で成功を実証したわけではない、としている。対策として最新OSの維持、不審なSMS・個別メッセージのリンクを開かないこと、不審ページを開いた場合は別端末で新規ウォレットを作り資産を移すことを勧めている。
Google Threat Intelligence Group（GTIG）もDarkSwordを、複数のゼロデイを組み合わせたiOS向けフルチェーン攻撃として報告し、最新のiOSへの更新を強く推奨している。
なぜ重要か
「アプリをインストールしていないのに、サイトを開いただけ」という経路で暗号資産が狙われる類型であり、国内のiPhone利用者にも直接関係する。フィッシングサイト数が四桁に達している時点で、個別の偽サイト名を追うより、OS更新とリンク開封の習慣の方が効く。
日本の個人投資家への含意
国内取引所アプリやハードウェアウォレットの利用者でも、Safari経由の不審ページは共通のリスク面になる。短信・DMの「サポート」「エアドロップ」「アカウント確認」リンクは開かず、公式アプリやブックマークから入る。復元フレーズを画面入力する導線は、正規サービスであっても疑ってよい。
注意
本短報は攻撃手順の再現や脆弱性の技術詳細を扱わない。OSのパッチ状況は端末ごとに異なり、更新だけですべてのリスクが消えるわけではない。被害が疑われる場合は、公式サポートと信頼できるセキュリティ情報に従い、秘密鍵の再利用を避ける。
中文出典
Odaily（https://www.odaily.news/zh-CN/newsflash/527126）
Odaily（https://www.odaily.news/zh-CN/newsflash/527120）
一次情報
Google Cloud / GTIG「The Proliferation of DarkSword: iOS Exploit Chain Adopted by Multiple Threat Actors」
NADA NEWS「iPhoneのサイト閲覧で暗号資産が盗まれる恐れ」
ご注意
本記事は中国語圏の報道を日本語で整理した情報提供であり、投資助言ではありません。数字や日付は各出典の公表時点のものです。暗号資産の取引は、金融庁・財務局に登録された暗号資産交換業者を通じ、ご自身の判断で行ってください。
