Last Updated on 2026年9月3日 by oba3
クラウドストライク（CrowdStrike）と米司法省、FBIなどが、20年以上活動してきたマルウェア網「Sality」の大規模な妨害作戦を実施した。Salityは近年、利用者がコピーしたビットコインやイーサリアムの送金先アドレスを攻撃者のアドレスへ置き換える「EggJagger」を配布し、暗号資産を盗んでいた。今回の事件で重要なのは、ビットコイン（Bitcoin）やイーサリアム（Ethereum）のブロックチェーン自体が破られたわけではないことだ。送金を確定する直前のパソコン上で宛先を書き換えるだけで、正しい署名を使ったまま攻撃者へ資産を送らせることができる。暗号資産の安全性を考える際、チェーンだけでなく利用者端末まで含めて信頼境界を見る必要がある。
何が起きたのか？
クラウドストライクは2026年8月31日、米司法省、FBI、米国防総省監察総監室の国防犯罪捜査局、シャドウサーバー財団（Shadowserver Foundation）、欧州当局などと連携し、SalityのP2P型ボットネットを妨害する作戦を実施した。米司法省は9月1日に作戦を公表している。
Salityは少なくとも2003年から存在し、感染した端末同士が直接通信するP2P型ネットワークを形成してきた。クラウドストライクによると、ネットワークには世界で1万5000台を超える感染端末があり、認証情報の窃取、スパム送信、プロキシサービス、ネットワーク攻撃、DDoSなど複数のマルウェアを配布する基盤として利用されていた。
暗号資産分野では、過去約8年間に主要な追加マルウェアとしてEggJaggerが使われた。EggJaggerは端末のクリップボードを監視し、利用者がビットコインやイーサリアムのウォレットアドレスをコピーすると、その文字列を攻撃者が管理するアドレスへ密かに差し替える。
クラウドストライクは、この手法だけで少なくとも1210万ルーブル、当時換算で約15万ドル相当の暗号資産が盗まれたと推計している。攻撃者が保有したままだった資産の評価額は、2025年1月に約1億4700万ルーブルまで上昇したとしている。ただし、この推計はEggJaggerに限定され、Salityが配布した他のマルウェアによる収益は含まれていない。
なぜ重要なのか？
暗号資産の送金では、秘密鍵とブロックチェーンの安全性が重視される。しかしSalityが示したのは、その二つを直接突破しなくても資産を盗めるということだ。
利用者が正しい送金先アドレスをコピーしても、貼り付ける瞬間までに端末上で別のアドレスへ変更されれば、ウォレットは変更後のアドレスを正規の送金先として処理する。利用者自身も正しい秘密鍵を使って取引へ署名するため、ブロックチェーンから見れば正常な取引として確定する。
つまり、この攻撃ではコンセンサス、スマートコントラクト、暗号署名を破る必要がない。送金者が「このアドレスへ送りたい」と入力する情報経路を奪えばよい。暗号資産の安全性と利用者の送金操作の安全性は別の問題であることを、Salityは長期間にわたって悪用していた。
市場構造への影響
暗号資産では自己管理ウォレットを使えば金融機関への依存を減らせる一方、送金判断を行う端末の責任は利用者側へ移る。秘密鍵を安全に保管していても、送金先アドレスを表示するパソコンやスマートフォンが感染していれば、資産移転の安全性は保証できない。
ここに暗号資産インフラ特有の弱点がある。ブロックチェーンは取引が確定した後の記録を強く保護するが、利用者がその取引を作成する前の入力内容が正しいかまでは保証しない。
そのためウォレットや取引所のセキュリティ競争では、秘密鍵の保管だけでなく、送金先の確認方法も重要になる。ハードウェアウォレットの独立画面でアドレスを確認する仕組み、アドレス帳、送金先の許可リスト、少額のテスト送金などは、端末側の情報が改ざんされた場合の防御にも関係する。
資金・規制・流動性との関係
今回の作戦では、犯罪者のウォレットをブロックチェーン上で直接停止したのではない。クラウドストライクはSalityのP2P通信方式を解析し、感染端末が攻撃者側のノードではなく防御側のシンクホールへ接続するようネットワークを操作した。
米司法省、FBI、国防犯罪捜査局は米国内にあるSality関連ドメインを押収し、ブルガリア、ハンガリー、ルーマニアの当局も欧州にある関連インフラへ対応した。これによって攻撃者は感染端末へ新しい指示やマルウェアを配布する能力を失ったとクラウドストライクは説明している。
一方、感染した端末からSalityそのものが自動的に消えたわけではない。シャドウサーバー財団はインターネット事業者やセキュリティ対応組織と連携し、感染端末の特定や利用者への通知、修復を進めている。今回の措置は犯罪インフラの通信能力を大きく削ぐものだが、すべての感染端末が駆除されたという意味ではない。
初心者向け補足
クリップボードとは、パソコンやスマートフォンで文字をコピーした際に一時的に保存される領域だ。暗号資産のアドレスは長い文字列のため、手入力せずコピーして貼り付ける利用者が多い。
クリップジャッキング型マルウェアは、この習慣を狙う。例えば利用者が正しいビットコインアドレスをコピーしても、貼り付けた時点では攻撃者のアドレスへ変わっている可能性がある。見慣れない長い文字列のため、先頭と末尾を確認しなければ差し替えに気付きにくい。
しかも送金後にブロックチェーンを確認すると、取引そのものは正常に記録されている。ネットワークの不具合ではないため、原則としてチェーン側から取り消すこともできない。このため高額送金では、ウォレット画面に表示された最終アドレスを別の方法でも確認することが重要になる。
Web3Timesの視点
今回を「古い暗号資産マルウェアが摘発された」という話だけで終わらせると、本質を見落とす。Salityが長期間利用できたのは、ブロックチェーンを攻撃する必要がなかったからだ。
暗号資産の取引は最終的に署名されたデータとしてチェーンへ送られる。その直前にあるのは、利用者の端末、ウォレット画面、コピーしたアドレス、ブラウザーといった通常のIT環境だ。ここで情報を改ざんできれば、安全なチェーン上で攻撃者への送金を正しく実行させられる。
これは自己管理型金融が広がるほど重要になる。銀行では不正送金検知や振込先確認を金融機関が担う部分があるが、自己管理ウォレットでは利用者自身が最後の送金先を確認する。資産管理の自由度が高まる一方、最終確認を行う端末の安全性が直接的な金融リスクになる。
今後見るべきなのはSalityと同じマルウェアが再登場するかだけではない。ウォレット事業者が送金先改ざんをどこまで検知できるか、ハードウェア側で独立した確認経路を作れるか、企業の暗号資産管理で送金承認を複数端末へ分離できるかが重要になる。ブロックチェーンが強固であるほど、攻撃者はその外側へ移る。送金直前の入力経路こそ、暗号資産を実際に守る最後の信頼境界になっている。
