シードフレーズのスクショから仮想通貨窃取｜Apple・Google審査突破の手口

音声で聞く

公式ストア経由でウォレット情報窃取

サイバーセキュリティ企業Cyberintは2026年7月26日、仮想通貨（暗号資産）ウォレットの復元情報を狙うマルウェア「SparkKitty」の調査報告を公開しました。

調査対象となったSparkKittyは、AppleのApp StoreとGoogle Playで配布されたアプリを通じて利用者の端末へ侵入し、仮想通貨ウォレットの復元情報を窃取していたことが明らかになりました。

攻撃では端末内の画像からシードフレーズ（ウォレット復元用の単語列）やパスワードが読み取られ、攻撃者のサーバーへ送信されていたと報告されています。

公式ストア経由でも仮想通貨ウォレットの重要情報が狙われる実態が判明し、報告書では感染経路となったアプリや攻撃の仕組みを詳しく取り上げています。

6チェーンのウォレット生成に脆弱性

仮想通貨6チェーンのウォレットに脆弱性｜リカバリーフレーズが推測可能に

Apple・Google審査を欺いた偽装技術

感染アプリは「币coin」と「SOEX」

報告書によると、iOS側で感染経路となったのはApp Storeで配布されていた仮想通貨関連アプリ「币coin」で、悪意ある機能を内部に隠したまま審査を通過していました。

隠蔽の手口としては、AFNetworkingなど正規のフレームワーク（アプリ開発用の部品群）に偽装した部分へコードを難読化して埋め込む方式が使われていたとCyberintは説明しています。

Android側では、Google Playで配布されていた「SOEX」も感染アプリとして確認されており、メッセージアプリと仮想通貨取引機能をうたい、削除されるまでに1万件を超えるダウンロードを記録していました。

SOEXは表向きのメッセージ機能とは別に、端末内のメディア保存領域へのアクセスやファイル変更の監視、外部サーバーへのデータ送信といった機能を密かに備えていたといいます。

両公式ストア以外にも、改変版TikTokやギャンブルアプリを装った亜種がサイドロード（公式ストアを介さないインストール）を通じて配布されていたことが確認されています。

ギャラリー監視で画像から文字を抽出

こうした経路で端末に入り込んだSparkKittyは、起動時にフォトギャラリーへのアクセス許可を要求し、許可を得ると画像フォルダの継続的な監視を始めるとされています。

監視の過程ではOCRライブラリが画像内の文字を定期的に読み取り、シードフレーズやパスワード、QRコードが写ったスクリーンショットを自動で選別していたといいます。

選別された画像のデータは端末情報とあわせて攻撃者のC2（指令用）サーバーへ送信されており、利用者が異変に気づきにくい仕組みだったと報告書は説明しています。

前身「SparkCat」から進化した手口

こうした画像の窃取手法についてCyberintは、カスペルスキーが2025年1月に報告したスティーラー（情報窃取型マルウェア）「SparkCat」から直接進化した亜種にあたるとの見方を示しています。

キーロガー（入力記録型）やクリップボード監視が主流だった従来のマルウェアと異なり、SparkKittyは保存済みの画像そのものを狙う点でSparkCatの設計思想を引き継いでいるといいます。

感染経路もSparkCatから拡大しており、AndroidとiOSの双方で動作するほか、公式・非公式ストアの双方を経由して拡散していたと報告書は指摘しています。

感染が疑われる端末への対応についてカスペルスキーは、該当アプリを直ちに削除したうえで、悪意ある機能を取り除いた修正版が配信されるまで再び使わないよう推奨しています。

メタマスク開発元に約1か月潜入

メタマスク開発元に北朝鮮工作員が潜入｜約1カ月間コード開発に関与

ストア削除後も止まらない仮想通貨攻撃

感染源となった「币coin」と「SOEX」の両アプリは、2025年6月のカスペルスキーによる詳細公開と通報を受けて、AppleとGoogleがすでにそれぞれのストアから削除しています。

しかし、感染アプリが削除された後も仮想通貨の利用者を狙うサイバー攻撃は続いており、公式ストア経由だけでなく、さまざまな手口による情報窃取が確認されています。

規制当局も警戒を強めており、金融庁が周知したFATF（金融活動作業部会）の暗号資産報告書では、投資詐欺や北朝鮮関連の資産窃取が暗号資産分野における主要なリスクとして取り上げられています。

Cyberintは今回の報告書で検体のハッシュ値や通信先などのIOC（侵害の痕跡情報）も公開しており、同様の手口による感染の有無を確認するための情報として活用を呼びかけています。

>>詐欺関連の最新仮想通貨ニュースはこちら

関連の注目記事はこちら

仮想通貨狙う北朝鮮の偽Zoom攻撃｜ソースコードから全貌が判明

テレグラムに仮想通貨ウォレット標準搭載へ｜チャットから即時送金

Apple新CEOに試練、仮想通貨偽ウォレットで「審査の穴」対応問われる

Source：Cyberint報告
サムネイル：AIによる生成画像