偽の Claude デスクトップアプリが RevStealer マルウェアを拡散、50以上の暗号資産ウォレットが危険にさらされる

暗号資産ユーザーを狙う Windows マルウェアの最新の波は、見慣れた構図をしています。信頼されているブランド、つい開きたくなるダウンロード、そして被害者がブラウザに保存している情報を盗むために仕込まれた隠しペイロードです。今回、攻撃者は偽の Claude デスクトップインストーラーを使って、RevStealer というデータ窃取型マルウェアを配布しています。これは、認証情報、セッションデータ、ウォレット関連情報を大規模に収集するために作られたと思われるマルウェアファミリーです。

暗号資産に関わる人にとって、これは単なる一般的なフィッシングの話ではありません。最も危険なのは、ブロックチェーンそのものへの直接攻撃ではなく、ブラウジング、承認、署名、資産管理を行う端末への攻撃であることが多い、ということを改めて思い起こさせる事例です。

偽の AI アプリが暗号資産ユーザーを引き込むのに有効な理由

AI ツールは、トレーダー、創業者、アナリスト、開発者の日常業務にすっかり溶け込んでいます。だからこそ、格好の誘い餌になるのです。人気アシスタントの「無料」デスクトップ版を装えば、被害者は生産性向上ツールを入れているつもりになり、認証情報を盗む仕掛けが潜んでいるとは疑いにくくなります。

この手口は、サイバー犯罪におけるより広い傾向とも一致しています。つまり、攻撃者はますます「便利そう」「今っぽい」「限定感がある」ソフトウェアの中にマルウェアを梱包するようになっているのです。「Free Pro」「cracked」「desktop mod」といったインストーラーが今もよく使われるのは、好奇心と緊急性の両方につけ込めるからです。

本物の製品を入手したいなら、必ず claude.ai の公式サイトから始めてください。第三者のミラー、転載サイト、ダウンロードまとめページは避けるべきです。

RevStealer が狙っているもの

セキュリティ研究者によると、このマルウェアは次のような幅広い機微情報を収集するよう設計されています。

• ブラウザのユーザー名とパスワード
• Cookie とセッショントークン
• パスワードマネージャーのデータ
• VPN とリモートアクセスの設定
• メッセージングアプリのデータ
• スクリーンショット
• 選択された文書
• 50以上の暗号資産ウォレットに関連する情報

この組み合わせは、暗号資産ユーザーにとって特に危険です。というのも、侵害は多くの場合、秘密鍵の漏えいから始まるわけではないからです。むしろ、攻撃者はまずブラウザのセッション、ウォレット拡張機能のデータ、クラウドログイン、あるいは復旧用の情報を盗み出します。そこから取引所アカウント、トレーディングダッシュボード、メール、パスワードマネージャーへと攻撃対象を広げていくのです。

この脅威モデルを理解するうえで役立つ基礎資料として、Microsoft のマルウェア概要があります。現代の悪意あるソフトウェアが、目立つ破壊ではなく、窃取、永続化、秘匿を重視することが多いと説明しています。

暗号資産ウォレットがこれほど価値ある標的である理由

暗号資産ユーザーは、価値の高い操作を 1 つの端末に集約しがちです。たとえば、同じノートPCに取引所のログイン情報、チェーンのダッシュボード、ウォレット拡張機能、シードバックアップ、さらには取引やコミュニティ活動で使うメッセージングアプリまで入っていることがあります。この集中が、Windows の侵害を非常に大きな損害につなげやすくしています。

たとえ秘密鍵が直接盗まれなくても、攻撃者は次のようなものを悪用できます。

1. ブラウザの Cookie とセッション を使って、パスワードを再入力させずにアカウントを乗っ取る。
2. 保存済みの認証情報 を使って、メール、クラウドストレージ、取引所にアクセスする。
3. パスワードマネージャーのデータ を使って、さらに多くのサービスを解錠する。
4. スクリーンショットや文書 から、復旧フレーズ、API キー、資産状況などを把握する。

暗号資産保有者にとって重要なのは、エンドポイントのセキュリティがオンチェーンのセキュリティと同じくらい重要だという点です。ウォレットの安全性は、ウォレットアプリだけで決まるのではありません。そのウォレットを使う環境そのものが重要なのです。

RevStealer は解析者の目を逃れようとする

調査によれば、このマルウェアはメモリ、CPU コア数、ユーザー名、ホスト名、グラフィックハードウェアなどを確認し、実在するユーザー端末で動作しているかどうかを判断します。デバッグや仮想化の兆候を検知すると、動作を停止したり、悪意ある挙動を抑えたりすることがあります。

これは、サンドボックスや解析環境での早期検出を避けるのに役立つからです。実際には、調査中は無害に見えても、本物の被害者端末上でのみ完全に作動するサンプルになり得る、ということです。

これも、偽インストーラーが非常に効果的な理由のひとつです。ランサムウェアのように派手に騒がれることはありません。静かに認証情報を収集し、攻撃者にとって十分なデータが集まるまで待つのです。

暗号資産のセキュリティにおける教訓: 約束ではなく、入手元を信じること

「無料でプレミアム」の AI アプリという甘い話は、ほぼ例外なく罠です。暗号資産の世界でも同じで、ウォレットツール、トレーディングボット、エアドロップ用ダッシュボード、「特別な」ブラウザ拡張機能についても同様です。ダウンロード経路が非公式であれば、リスクは決して机上の空論ではありません。

次のようなものは警戒すべきサインです。

• 公式ベンダーのサイト以外から提供されるダウンロード
• 「free Pro」「cracked」「unlocked」といった文言
• ランダムなリポジトリやフォーラムで共有されるインストーラー
• 付属アドオン、スクリプト、署名なし実行ファイル
• インストール時にセキュリティツールを無効化するよう求める指示

フィッシングやソーシャルエンジニアリング全般への対策としては、CISA のフィッシング対策ガイド と Secure Our World イニシアチブ が、一般ユーザーや組織向けの実践的なチェックリストとして非常に参考になります。

暗号資産ユーザーが今すぐ被害を減らす方法

Windows をデジタル資産に関わる用途で使っているなら、いくつかの習慣だけでもリスクを大きく下げられます。

1. AI とウォレット関連ソフトは公式ソースのみに限定する

公式サイト、または認証済みのアプリストアからのみダウンロードしてください。ミラーサイト、「ポータブル」版、SNS のリンクは避けましょう。

2. 暗号資産の作業と日常のブラウジングを分ける

取引所へのアクセス、DeFi、ウォレット管理には、専用のブラウザプロファイル、できれば専用端末を使いましょう。拡張機能が少ないほど、トークン窃取の機会も減ります。

3. パスワードマネージャーの運用を見直す

パスワードマネージャーは依然として有用ですが、端末が侵害されると中のデータは非常に機微なものになります。マスターパスワードを厳重に守り、強力な MFA を有効にし、感染が疑われる場合は重要なパスワードの更新をクリーンな端末から行ってください。

4. 復旧用データはオフラインで保管する

シードフレーズ、リカバリーシェア、バックアップメモを、スクリーンショット、クラウドメモ、デスクトップフォルダに置いてはいけません。

5. 緊急性を煽る文言を疑う

マルウェアキャンペーンはしばしば時間制限を強調します。限定オファー、限定ベータ、限定招待、限定解除といったものです。その圧力自体が攻撃の一部です。

6. 重要な残高にはハードウェア署名を使う

ウォレットの侵害がデスクトップ上から始まるなら、秘密鍵をその端末から切り離しておくことで、攻撃者による直接的な抜き取りを防げる可能性があります。

ハードウェアウォレットはどこで役立つのか

ハードウェアウォレットを使ってもフィッシングが消えるわけではありませんが、失敗したときの被害の大きさは変わります。もし RevStealer のような情報窃取型マルウェアに感染したとしても、秘密鍵をオフラインに保っていれば、ブラウザレベルの侵害がそのまま全資産の喪失に直結するのを防ぎやすくなります。

そのため、長期保有者やオンチェーンで活発に活動するユーザーの多くは、高額資産についてハードウェアウォレット中心の運用を選んでいます。OneKey のようなデバイスは、秘密鍵を感染した PC から切り離し、取引承認をより慎重に行うのに役立ちます。デスクトップ環境をもはや信頼できない場合には、とくに重要です。

要点はシンプルです。ノートPCが閲覧や取引を行う場所であるなら、最も機微な鍵までそこに置くべきではない、ということです。

まとめ

今回の偽 Claude デスクトップキャンペーンは、暗号資産の窃取がどう進化してきたかを示す格好の事例です。攻撃者はもはやブロックチェーンを破る必要はありません。ユーザーがログインし、署名し、復旧データを保存している端末を侵害すればよいのです。

暗号資産保有者にとって最善の防御は、多層防御です。信頼できるソースからのみインストールする、ブラウザの露出を減らす、復旧データをオフラインで保管する、そして本格的な資産はハードウェアベースの保管に移すことです。複数のウォレットを一度に狙える情報窃取型マルウェアが存在する脅威環境では、その規律はもはや任意ではありません。