米司法省、暗号資産を盗むマルウェア「Sality」を摘発 20年以上暗躍、被害約2400万円

米連邦捜査当局が、暗号資産を盗み出すマルウェアの摘発に乗り出した。サイバーセキュリティ大手クラウドストライクと連携し、少なくとも15万ドル（約2400万円）相当の暗号資産窃盗に使われていたマルウェアの背後組織に対する措置を発表した。

米司法省は1日、ブルガリア、ハンガリー、ルーマニアの当局、さらにクラウドストライクやシャドウサーバー財団などの民間組織と協力し、ボットネット「Sality（サリティ）」と関連マルウェアのネットワークを遮断したと発表した。

米当局によれば、サリティは2003年から侵害された端末にマルウェアをインストールし、暗号資産の窃盗やサイバー攻撃に利用されてきた。暗号資産を狙うマルウェアをめぐっては、偽のClaudeデスクトップアプリを使った攻撃も確認されている。

犯行の手口は、気づきにくいが極めて巧妙だ。

クラウドストライクの報告によると、サリティの背後にいる犯罪者らは過去8年間、「EggJagger（エッグジャガー）」と呼ばれるクリップジャッキングツールを使用していた。

このツールは、パソコンのクリップボードを監視し、暗号資産ウォレットのアドレスを検知すると、それを犯人側が管理するアドレスへと密かに差し替える。

つまり、利用者が正しい送金先をコピーしたつもりでも、貼り付けた瞬間には別のアドレスに変わっているというわけだ。

「被害者が支払いのためにビットコインやイーサリアムのアドレスをコピーすると、資金は別の送金先へと誘導される」

クラウドストライクはこう説明している。

エッグジャガーによって盗まれた暗号資産は、少なくとも1210万ルーブル、約15万ドル（約2400万円）に上るという。

さらに、盗まれた後に一度も使用されていない暗号資産の評価額は、暗号資産市場が上昇していた2025年1月、一時約150万ドル（約2億4000万円）に達していた。

今回の国際共同作戦によって、サリティを操っていた犯罪者らは「感染端末と通信する能力を失った」とクラウドストライクは説明している。

サリティのネットワークには約1万5000台の感染コンピューターが組み込まれ、P2P型のボットネットを形成していた。各端末は40分ごとにシステムがオンラインかどうかを確認していたという。

20年以上にわたりネットの裏側に潜み続け、利用者がコピー＆ペーストするわずかな隙を突いて暗号資産をかすめ取ってきたサリティ。その通信網は、米国と欧州当局による共同作戦によってひとまず寸断されたことになる。