Binance共同創業者の趙長鵬（CZ）は、11月5日に自身のXアカウントで、Trust Walletを装ったフィッシングサイトについて警告した。サイトは trastwallet.cam で運営されており、訪問者に「送金を確認する」名目でウォレット接続を促す。セキュリティ研究者Anurag（Malwarehunter X）が技術的詳細を公開し、同ページがTrust Wallet、Phantom、OKX Walletと連携し、バックエンドAPIで残高を取得し、ハードコードされたアドレスへ送金データを作成できることを示した。

偽サイトの動作概要

Anuragの分析によると、ページは「ウォレットの送金を確認してください」というバナーと接続ボタンを表示する。接続が完了すると、JavaScriptがスキャン用エンドポイントに問い合わせ、ウォレットのトークン保有情報を取得する。続いて別のスクリプトが攻撃者が管理するアドレス向けに送金ペイロードを生成し、資産ごとの上限は$1から$5,000となっている。コードには署名ロジックも含まれるが、Anuragが確認したバージョンでは署名が無効化されており、即時の脅威は送金準備に留まる。

Trust Walletユーザーを狙った大規模フィッシングキャンペーン

このTrust Walletフィッシングは、より大きな攻撃波の一部と見られる。Bitdefenderは11月3日に、最近のBinanceセキュリティ侵害を利用し、米国・英国・オーストラリア・アイルランド・南アフリカのユーザーに対し、Trust Walletアカウント確認を求める偽の認証メールを送信したと報告した。メールは偽認証サイトへ誘導し、認証情報を収集する仕組みだった。年初にはCYFIRMAが、Telegram上で悪意あるQRコードを用いたTrust Wallet保有者へのフィッシング試行を記録している。

別件のiOS脆弱性報告

同時期に、X上で未確認情報が拡散し、攻撃者がiOS 18.5の脆弱性を突いてTrust Walletユーザーから約$1.1 百万を盗んだと主張された。Emperor.SOLアカウントが投稿した内容では、脆弱性により対象iPhoneからシードフレーズが抽出でき、直ちにOSのアップデートを推奨している。Trust Walletのサポートも同様のアップデート勧告を行ったが、損失額を公式に確認した声明は出ていない。

今後の注目点

投資家やウォレット利用者は、Trust WalletとAppleからのiOS脆弱性に関する追加情報に注意を払うべきだ。研究者はtrastwallet.camサイトのコード解析を進めており、将来的に署名機能が再有効化されるかどうかが焦点になる。また、最近の大規模侵害を利用した新たなフィッシングキャンペーンにも警戒が必要だ。