ビデオゲーム向けマルウェアにより、8,000台のデバイスが感染し、80の暗号資産ウォレットにアクセスされました。

仮想通貨ウォレットを狙ったマルウェア攻撃

ダウンロード可能なゲーム内に隠されたマルウェアは、攻撃者が仮想通貨アカウントに侵入し、被害者のデジタル資産を奪うために使用した認証情報を収集したとされる。Local 10 Newsは7月15日、このマルウェアによる詐欺の手口を詳述した15ページにわたる連邦刑事告訴状を引用し、この事件を最初に報じた。

訴状によると、この作戦は2024年5月から2026年2月にかけて行われ、8つの感染したゲームを通じて約8,000台のデバイスが侵害されたとされています。 連邦捜査当局は、フロリダ州ノース・ローダーデール在住のザイア・ドンタエヴィアス・ザマリオン・ウィルキンス（21歳）が、このマルウェア作戦に資金を提供し、キャンペーンの宣伝を支援したとして告発しています。

ビデオゲームを通じて拡散した隠しマルウェア

裁判文書によると、8つのゲーム内に埋め込まれたソフトウェアは、被害者がゲームをインストールした後にパスワード、ウォレットの認証情報、ブラウザデータ、その他の機密情報を収集していたとされる。当局の推定では、盗まれた情報により、最終的に約80の仮想通貨ウォレットへの不正アクセスが可能になったとされる。捜査当局は配布プラットフォームの名称を特定しなかったものの、訴状の詳細からはSteamが示唆されている。 FBIはSteamマルウェア事件の潜在的被害者から情報を収集しており、その対象には『BlockBlasters』、『Chemia』、『Dashverse/DashFPS』、『Lampy』、『Lunara』、『PirateFi』、『Tokenova』、または本件に関連するその他のゲームをダウンロードした人々も含まれます。

セキュリティ研究者は以前、Steamが『PirateFi』を削除する前に、同ゲーム内にウォレット情報を盗むマルウェアを特定しており、サイバー犯罪者が正規のゲームマーケットプレイスを悪用して悪意のあるソフトウェアを大規模に配布し得ることを示していた。『PirateFi』のSteamからの削除は、ゲームのダウンロードファイル内に隠されたマルウェアの脅威が高まっていることを浮き彫りにした。

自動ボットが仮想通貨保有者の特定を支援

Discord、Telegram、X、LinkedInが感染ゲームのマーケティングチャネルとして利用されたとされ、一方、自動化されたボットがオンラインコミュニティ内で多額の暗号資産を保有するユーザーを検索していたと報告されています。標的とされたアカウント保有者には、ソフトウェアのインストールを促すカスタマイズされたメッセージが送信されました。

感染したデバイスでは、マルウェアがログイン認証情報、暗号資産ウォレット情報、認証データを検索したとされています。捜査当局は、共謀グループのメンバーが盗んだファイルを精査し、アクセスして資金を抜き取れるウォレットを特定していたと主張しています。

ビットコインとギフトカードがデジタル上の痕跡を残した

暗号化されたSignalの会話記録によると、ウィルキンス容疑者はマルウェアの主要開発者とみられる人物とのやり取りで「Sibel.eth」というハンドルネームを使用していたとされる。訴状には、1万ドル相当のリモートアクセストロイの木馬を購入し、被害者の仮想通貨ウォレットを空にすることを目的としたキャンペーンを実施する計画が記載されていた。

この容疑に関連するビットコイン取引を追跡した結果、捜査当局は最終的に「Bitrefill」にたどり着きました。そこでは、この計画に関連する仮想通貨を使用して150枚以上のデジタルギフトカードが購入されたとされています。その大半はUber Eatsの注文に利用され、召喚状に基づいて入手した記録からは、配達先がウィルキンスの大学の住所および南フロリダの自宅であることが判明しました。

捜索令状を執行した捜査官らは、電子機器と3つの仮想通貨ウォレットのシードフレーズを押収した。その中には、モネロ（Monero）のウォレットに関連しているとされるものも含まれていた。

当局が精査した取引記録によると、ウィルキンスはおよそ38万2,000ドル相当の仮想通貨を送金または受け取っていたとされる。彼は現在、私的な金銭的利益を得る目的でコンピュータ情報を取得した共謀罪1件で起訴されており、この罪には最高10年の懲役が科される可能性がある。