米国の連邦法執行機関は、サイバーセキュリティ企業のCrowdStrikeと連携し、暗号通貨から約15万ドル相当の資金が盗まれる原因となったマルウェアの背後にいる勢力を狙った動きを発表した。
そしてこの発表は、ブルガリア、ハンガリー、ルーマニアの当局に加え、民間のパートナーが参加した国際作戦の一環として行われた。パートナーにはCrowdStrikeやShadowserver Foundationが含まれる。米司法省によれば、この作戦はSalityボットネットとそれに関連するマルウェアの無力化を目的としていた。
当局によると、Salityは2003年以降、侵害された端末にマルウェアをインストールするために使われており、その結果、デジタル資産の窃取やその他のサイバー攻撃が発生していたという。この種の攻撃では、攻撃者はウォレットを直接侵害する必要はなく、送金実行前に受取先アドレスを変更するために、端末やコピー＆ペースト機能を制御すれば十分だった。
CrowdStrikeは、Salityに関連する勢力が過去8年間にわたり、EggJaggerとして知られるツールを使用していたと説明した。これはクリップジャッキングツールで、端末のクリップボードを監視して暗号資産ウォレットのアドレスを探し出し、密かにそのアドレスを、操作者が管理するアドレスに置き換える。 同社によると、その結果、少なくとも1210万ルーブル、つまり約15万ドル相当の暗号資産が盗まれた。
同社はまた、まだ消費されていないデジタル資産の価値は、2025年1月に約150万ドルでピークに達したと述べた。さらに、攻撃の仕組みを明確に説明した。被害者がBitcoinやEthereumのアドレスをコピーして支払いを行おうとすると、その資金は代わりに別のアドレスへ送られる。
CrowdStrikeによれば、当局による取り締まりの結果、犯人は感染端末と通信できなくなった。これは、彼らがネットワークを運用するうえで依拠していた基盤に対する直接的な打撃を意味する。関係当局はまた、約1万5000台の感染端末が、各システムの接続を40分ごとに確認するピアツーピアネットワークの一部だったと指摘した。
この事件はユーザーやプラットフォームに何を示しているのか？
• 暗号資産を送信する際、コピー＆ペーストだけに頼るのは不十分である。
• 送金前にウォレットアドレスを手動で確認することは、今なお不可欠な手順である。
• 感染した端末は、ユーザーが気づかないうちに取引データを変更する可能性がある。
• 政府機関と民間セキュリティ企業の連携は、悪意あるネットワークの活動能力を抑制し得る。
この件は、1つのマルウェアが何年にもわたってデジタル資産を継続的に盗む手段となり得ること、そして攻撃基盤を無力化することで損失を止められること、さらにユーザーとプラットフォームの両方でセキュリティレビューを行う重要性を浮き彫りにしている。