SlowMistのCISO、FullChainのiOS攻撃で暗号資産ウォレット鍵が窃取される恐れと警告

暗号資産セキュリティ企業SlowMistの最高情報セキュリティ責任者（CISO）である23pdsは9月19日、攻撃者がiOSの"フルチェーン（FullChain）"エクスプロイトを実戦投入していることを確認したとして、iPhoneユーザーに対し直ちに端末をアップデートするよう緊急警告を出した。暗号資産ウォレットから秘密鍵やニーモニック（シードフレーズ）を気付かれないまま抜き取れる可能性があるという。研究者の投稿はXで公開され、対象はiOS 13からiOS 26.5までの端末に及ぶとされる（上限は最終確認中）。モバイルウォレットで自己管理（セルフカストディ）している資産にとって深刻なリスクとなる。 攻撃の流れは、Safariで悪意あるWebページを開くことから始まる。誘導はソーシャルエンジニアリングや、いわゆるウォータリングホール型のリンクが想定される。ページ側でWebKitとJavaScriptCoreのメモリ破損脆弱性を突き、JavaScript層で任意の読み書きを獲得。その後、Pointer Authentication Codes（PAC）を回避してネイティブコード実行に到達し、WebContentサンドボックスから脱出、さらにカーネルレベルのroot権限まで権限昇格する。結果として端末のKeychainを読み取り、ウォレットアプリのデータ（秘密鍵やリカバリーフレーズを含む）を取得できるという。 一般的なフィッシングのように利用者へシードフレーズ入力を促す手口とは異なり、リンクを開くだけで成立し得る点が警告の背景にある。23pdsは、鍵が端末から直接抜き取られるため、侵害後にパスワードを変更しても復旧にはつながらないと指摘。流出した鍵を保有する第三者は資金移動が可能になる。取引所側での回復手段がないセルフカストディ利用者ほど影響が大きい。 今回の警告は、個人投資家を狙うモバイルやアプリストア由来の脅威が強まる中で出された。直近では、87万5,000ドルの盗難が報告された後も、Appleが偽のビットコインウォレットをApp Store上で放置していたとの指摘が出た事例もある。 SlowMistは対策として、iOSを直ちに最新バージョンへ更新すること、Safariで不審なリンクを開かないことを挙げた。脆弱な端末でホットウォレットを運用していた場合は、更新済みでクリーンな端末上で新たに鍵を生成し、資金を移動するよう求めている。現時点でSlowMistは詳細な公式アドバイザリーを公表しておらず、執筆時点では研究者の投稿が主要な公開情報となっている。