「24時間自動売買」を謳うAIエージェント広告の正体は、ウォレット拡張機能を乗っ取るマルウェアだった

この攻撃は、一般的なフィッシングサイトでパスワードを騙し取る手口と、本質的に何が違うのか？

一般的なフィッシングサイトは通常、偽のログインページを作り、ユーザーを誘導して自ら認証情報を入力させる。この攻撃はさらに一歩進んでいる:ブラウザにインストールされている「本物」のウォレット拡張機能を直接置き換え、ユーザーが普段から信頼し毎日使っているその拡張機能のインターフェースの中でパスワードを入力させる——怪しい新しいサイトを訪れるのではなく、自分のブラウザにずっとあったアイコンを開くだけだ。つまり「アドレスバーを確認し、公式サイトかどうか見極める」という従来の警戒心はここでは完全に無力だ。ユーザーは自分のブラウザ環境から一歩も出ていないからだ。

なぜ攻撃者はわざわざマイクロソフトが署名した正規ツール(OLEView.exe)を使って悪意あるDLLを読み込ませたのか、単純に悪意ある実行ファイルを作るのではなく？

全く新しい悪意ある実行ファイルを作ると、アンチウイルスソフトやWindows SmartScreenがデジタル署名チェックや評判スコアリングを使って簡単にフラグを立ててしまう——署名のない、あるいは見慣れない出所の実行ファイルは、デフォルトで疑わしいとマークされる。しかし起動されるのがマイクロソフト公式に署名された、完全に正規のOLEView.exeであれば、システムが見るのは「信頼されたマイクロソフトのツールが実行されている」という状態であり、保護機構が適用する審査基準は大幅に下がる。実際の悪意あるロジックは、隣に置かれた一見無害なDLLファイルに隠されており、正規のプログラムがそれを読み込んだ時点で初めて実行される。この手口全体の目的は、他者の信頼性を借りて自分自身を覆い隠すことにある。

もし既にこの種の置き換えられた偽ウォレット拡張機能をインストールしてしまっていた場合、実際に自分で気づく方法はあるのか？

インターフェースはオリジナルと見分けがつかないように作られているため、目視だけで判別するのはほぼ不可能だ。より実践的な確認方法は、ブラウザの拡張機能管理ページに行き、各ウォレット拡張機能の開発者情報、インストール元、拡張機能IDが公式発表と一致しているか照合することだ(公式サイトは通常、正しいストアリンクとIDを掲載している)。また、拡張機能がブラウザの公式ストア(Chromeウェブストアなど)経由でインストールされたものか、手動でセットアップファイルをインストールしたものではないかも確認すべきだ——正規のウォレット拡張機能が、ユーザーにDLLや実行ファイルを手動でインストールさせることはまずない。さらに、もしパソコンで出所不明の「取引ソフト」を実行したことがあるなら、安全のためブラウザ環境が既に改ざんされていると仮定し、すべてのウォレット拡張機能を削除して公式ストアから再インストールし、露出した可能性のあるシードフレーズに紐づくすべてのウォレットのパスワードと資産を移すべきだ。

この事件は、「AI取引エージェント」のような製品を使うべきか検討しているDeFAIユーザーにとって、実際にどのような参考になるのか？

この事件自体が標的としたのは偽物のAI取引ツールであり、実際に存在しオンチェーンで検証可能な実行記録を持つ本物のDeFAI製品ではない。しかしこれは覚えておく価値のある選別原則を浮き彫りにしている:「AI取引」機能を使う前にまずデスクトップ実行ファイルをダウンロードさせる製品は、その実行ファイル自体が改ざんされているかどうかという、一般的なデスクトップソフトウェアと同じカテゴリのリスクを抱えている——これは基盤となるAI技術自体が安全かどうかとは、まったく別の問題だ。オンチェーンで検証可能な実行記録を持つ本物のDeFAI製品は、通常デスクトッププログラムのインストールを要求せず、ウォレットのシードフレーズを第三者のソフトウェアに渡すことも求めない。この違いを見分けることが、この種の攻撃全体を回避する最も直接的な方法だ。