仮想通貨開発者がLinkedInの偽電話に騙され、コードパイプラインの制御を失う

による

ランダ・モーゼス

3分で読めます 3分前

仮想通貨開発者がLinkedInの偽電話に騙され、コードパイプラインの制御を失う。.

ハッカーたちはLinkedIn上でビジネス上のつながりを装い、独自のmacOSマルウェアを展開して暗号通貨開発者を標的にしている。.
このグループはdent情報を盗み、CI/CDパイプラインを侵害する。.
JINX-0164は、トロイの木馬化されたnpmパッケージを介して、少なくとも1件のサプライチェーン攻撃を実行したことが確認されている。.

JINX-0164として知られるハッカー集団が、LinkedInを通じて暗号通貨開発者に接触し、偽の会議に招待して、彼らのマシンを独自開発のmacOSマルウェアに感染させている。.

このマルウェアはログインdent情報を盗み出し、開発者がソフトウェアの構築とデプロイに使用するパイプラインを乗っ取ります。クラウドセキュリティ企業のWizは、2026年5月27日に調査結果を発表しました。.

偽の会議リンクが開発者のマシンにAUDIOFIXマルウェアをドロップする

Wizのdent 対応チームは、このグループが少なくとも2025年半ばまで遡る攻撃に関与していると断定した。.

攻撃者は、正規のプロフィールに見せかけたLinkedInのプロフィールを使って開発者に接触し、ビジネス上の電話を提案し、Microsoft Teamsや同様のビデオ会議ツールに似せた偽のウェブサイトへのリンクを送信する。.

AUDIOFIXはmacOSウイルスで、被害者が会議のURLだと思ってクリックした際に、密かにインストールを開始します。IntelおよびApple Silicon搭載Macで動作し、偽のAppleサイトに保存されたスクリプトを介して配信されます。このウイルスは再起動後も動作を継続するように設定され、システムオーディオコンポーネントを装い、HTTPS経由で攻撃者と通信します。.

いったんマシンに侵入すると、macOSキーチェーンに保存されているパスワード、ブラウザのdent情報、SSHキー、AWS、GCP、Azureのクラウドアクセストークン、暗号通貨ウォレットのデータが収集されます。さらに、Wizは攻撃者が直接パスワードをフィッシングで入手し、暗号化されたファイルに保存していたことを発見しました。.

JINX-0164は、内部コードリポジトリや開発インフラストラクチャを標的とするという点で、他の情報窃盗マルウェアとは異なります。.

2026年初頭の事例研究で、Wizは攻撃者が盗んだGitHubトークンを使って、tracというオープンソースツールでCI/CDパイプラインから機密情報を nord-stream。その後、攻撃者はAUDIOFIXマルウェアを内部リポジトリに注入し、Gitコミットメタデータを偽造して正規の開発者になりすまし、悪意のあるコードをメインブランチにプッシュしたり、既存のブランチを乗っ取ったりした。

汚染されたリポジトリからプルしてビルドした他の開発者も、maticに感染してしまった。組織自身の開発ワークフローが感染経路となってしまったのだ。検証済みのGPG署名がないコミットに警告を発するGitHubのVigilant Modeが、少なくとも1件のケースでこのなりすましを検知した。.

このグループは、公開されているnpmパッケージに対するサプライチェーン攻撃も実行したことが確認されています。2026年4月7日、JINX-0164は@velora-dex/sdkのバージョン4.9.1をトロイの木馬化し、base64エンコードされたコマンドを注入して、MINIRATをデプロイするリモートスクリプトを取得および実行しました。MINIRATは、永続性とリモートコマンド実行に特化した軽量なGoベースのバックドアです。.

攻撃者は仮想通貨開発者の cash とコードを標的にしている

AUDIOFIXとMINIRATは、datahub[.]ink、cloud-sync[.]online、byte-io[.]usといったコマンド＆コントロールドメインを共有している。攻撃者は、自身の実際の所在地を隠すために、Mullvad VPN、Astrill VPN、ExpressVPNを経由して活動を行っている。

Wizは、北朝鮮の脅威クラスターであるUNC1069とSapphire Sleetとの戦術的な類似点を発見したが、インフラ面での直接的な重複は見つからなかった。彼らはJINX-0164を、金銭目的の独自の脅威アクターと呼んでいる。.

5月、ハッカーは公式のMistral AI Pythonライブラリを含む170以上のnpmおよびPyPIパッケージを侵害した。この攻撃により、暗号通貨およびAI開発者が所有するGitHubトークンとクラウドdent情報が漏洩した。また、これは有効なSLSAビルドレベル3の出所証明を持つ悪意のあるパッケージが発見された最初の事例であり、ビルドの整合性を検証するための暗号学的信頼モデルを破る結果となった。.

暗号通貨やAI開発者へのハッキングは、通常 cash や貴重なコードの入手につながります。暗号通貨関連ラボや企業は、サイバーセキュリティ対策を強化し、CI/CDパイプラインにおける不正アクセスや悪意のある活動がないかを確認する必要があります。GitHubでの不正な操作、署名が検証されていないコミット、不審なVPN接続はすべて警告サインです。LinkedIn経由で送られてきた会議に参加した開発者は、コンピュータをウイルススキャンする必要があります。.

この記事を読んでいるあなたは、既に一歩先を行っています。ニュースレターを購読して、その優位性を維持しましょう。

よくある質問

JINX-0164とは何ですか？

JINX-0164は、Wizによって特定さdentた金銭目的の脅威アクターであり、少なくとも2025年半ばから活動している。.

JINX-0164攻撃はどのように始まるのか？

攻撃者は、信頼できるプロフィールを使ってLinkedIn上で開発者に接触し、オンライン会議を提案して、悪意のあるドメインへのリンクを送信します。被害者が偽の会議クライアントを実行すると、AUDIOFIXと呼ばれるmacOSマルウェアが感染します。.

暗号通貨開発者は、侵害の疑いがある場合、どうすべきでしょうか？

開発者は、GitHubトークン、SSHキー、クラウドdent情報、およびあらゆる暗号通貨ウォレットキーを定期的にローテーションする必要があります。また、CI/CDパイプラインにおける不正なアクティビティを監査し、リポジトリに未検証のコミットがないかを確認する必要があります。.

この記事を共有する

免責事項。 提供される情報は取引アドバイスではありません。Cryptopolitan.com Cryptopolitan、このページで提供される情報に基づいて行われた投資について一切の責任を負いません。tronお勧めしますdent 調査や資格のある専門家への相談を

ランダ・モーゼス

ランダ・モーゼスは、 Cryptopolitan の編集者兼記者として、テクノロジー、AI、ロボット工学、暗号通貨、詐欺、ハッキングなどを取材しています。彼女は2017年から暗号通貨業界で活動しており、Forward Protocol、AmaZix、Cryptosomniacなどで勤務経験があります。ランダはブラッドフォード大学で電気tron工学の学位を取得しています。.