ESET、ウォレットアドレス詐欺の横行懸念し注意を呼びかけ

Google Play上で配信されていたTrezorを偽装したアプリ（WeLiveSecurityより引用）

セキュリティソリューションを提供するESET社（イーセット）は5月23日、同社のセキュリティ情報メディアWeLiveSecurityにて、偽の暗号通貨ウォレットに関する分析を発表した。2019年5月初頭、ハードウェアウォレット「Trezor」の連携アプリを装った偽のウォレットアプリが、Google Play上に公開されていたという。本稿執筆時点で偽アプリはGoogle Play上から排除されている。

偽アプリがGoogle Play上に掲出したアイコンは、Trezorのロゴを盗用したものだったが、インストール後のアイコンは異なるアプリのものであったという。Trezorの公式アプリ「TREZOR Manager」の場合、起動時にハードウェアウォレットの連携を行うが、偽アプリは偽のログインフォームを表示する。偽のフォームに入力された情報は攻撃者のサーバーに送られるとのことだ。

インストールした偽アプリは、Google Play上と異なるアイコンを表示した

偽アプリは、Trezorのユーザーが同社のハードウェアウォレットを利用して保管している仮想通貨に対して、直接的な被害をもたらす可能性はないことが判明している。しかし、偽アプリによって収集されたTrezorユーザーのメールアドレスが、今後のフィッシング攻撃等で標的として利用される可能性もあり、注意が必要であるという。

今回報告された偽のTrezorアプリと類似のアプリCoinWalletの存在を、ESETは報告した。これらは同じアプリアイコンを使用しており、使用するサーバーやコードの書き方、インターフェースのデザインに至るまでほとんど同じものだったという。

CoinWalletは、複数の仮想通貨のウォレットを生成するというアプリだが、実際には虚偽のウォレットアドレスを生成する。ユーザーが仮想通貨交換所などから出金先のアドレスとしてCoinWalletのアドレスを指定すると、その仮想通貨は攻撃者のアドレスに送金されることとなる。

このCoinWalletのソースコードは、ウォレットアプリのテンプレートとして40米ドルで販売されているという。偽アプリ一つ一つは大きな脅威とはならないが、短い時間で安価に作れてしまうため、今後同様の偽アプリが量産されることを懸念した。同社は、新しいウォレットアプリをインストールする際には、その正当性について確認してから利用することを推奨している。