• VOLTAはAIモデルに接続する前に、ウォレットの復元フレーズ、パスワード、アクティブなセッションを盗みます。

• Claudeがデフォルトのモデルです。拒否された場合、マルウェアはKimiまたはGeminiを試すことができます。

• AIに拒否されても、窃取は止まりません。攻撃者は盗んだ記録を引き続きTelegramで受け取ることができます。

VOLTAマルウェアはWindowsコンピューターからデータを盗み、その後、被害者の資産のうち何が最も高値で売れるかをAIモデルに尋ねます。10月31日の報告書で、Cisco Talosの研究者Ryan Fetterman氏は、このプログラムが暗号資産ウォレットの記録を、メールの領収書、ブラウザーのセッション、職場のアカウントに関する詳細と結び付ける仕組みを説明しました。その結果、攻撃者はどのアカウントを優先して狙うべきか判断できます。

VOLTAマルウェアはウォレットデータをどのように実在の人物と結び付けるのか

このWindows向け情報窃取マルウェアは、ウォレットのリカバリーフレーズを探し、暗号化されたウォレット保管庫の解読を試みます。標的は暗号資産にとどまりません。ブラウザーのパスワードや保存済みの決済カード情報、クラウドサービスの認証情報も収集します。

配送確認メールは、記録がどのように結び付くかを示す一例です。盗んだGmailセッションを使えば、VOLTAマルウェアは注文確認メールから住所を見つけ、ほかの位置情報と照合できます。Slackのワークスペースから勤務先の候補を特定できる一方、ゲームアカウントからは転売価値のあるデジタルアイテムが見つかる可能性があります。

このソフトウェアは評価を依頼する前に、こうした記録をまとめます。モデルに資産の順位付けや、パスワード管理の不備といった弱点の指摘を求めます。

この順位付けは、感染したコンピューターから明らかになった情報に基づく推定です。所有者の総資産を確定したり、攻撃者がウォレットの資金をすべて引き出したことを証明したりするものではありません。

AIが拒否してもVOLTAマルウェアによる窃取を止められない理由

このソフトウェアはOpenRouter経由で、まずAnthropicのClaude Opus 4.6に評価を依頼します。モデルが拒否したり、情報が不十分だったりすると、VOLTAマルウェアはMoonshot AIのKimi K2やGoogleのGemini 2.5 Flashを試すことがあります。OpenRouterのキーがなくても、Telegram経由で元の記録を送信できます。

新たなVOLTA情報窃取マルウェアは、Claude、Gemini、Kimiを使い、盗んだデータを攻撃者にとっての価値に基づいて順位付けする。

パスワード、Cookie、暗号資産ウォレットのデータを盗み、Gmailの領収書を確認して被害者の情報を検証し、AIが生成した標的情報ファイルをTelegram経由で送信する。

仕組みはこちら ↓… pic.twitter.com/JvDtm42NqG

— The Hacker News (@TheHackersNews) 2026年11月2日

感染を調査する場合、メインの実行ファイルが削除された後も、プログラムの痕跡が残っている可能性があります。Talosは、保存しておく価値のあるログとしてvolta_debug.txtを挙げています。このログから、プログラムが収集した情報や、AIへのリクエストが成功したかどうかを確認できます。

リカバリーフレーズを誰かにコピーされている場合、ウォレットのパスワードを変更しても資金は守れません。感染したコンピューターに読み取れる状態で保存されていたフレーズについて、Talosは、新しいリカバリーフレーズを使った新規ウォレットに資産を移すよう助言しています。

免責事項：この記事は情報提供のみを目的としており、金融に関する助言を構成するものではありません。CoinCryptoNewzは、発生した損失について一切責任を負いません。読者は金融上の決定を下す前に、自身で調査を行ってください。

<p>VOLTAマルウェアがウォレットデータを盗み、AIを使って売却する価値の高いデータを順位付け</p>