偽CAPTCHAがmacOSユーザーから暗号資産を盗む

仮想通貨ユーザーは、偽のCloudflare CAPTCHAページを介した新たなセキュリティ脅威に直面している。この攻撃により、macOSシステムから仮想通貨ウォレットのデータを盗み出すために構築された新しいインフォスティール「Infiniti Stealer」がインストールされる。 

つまり、MacBookやMacデスクトップコンピュータを持つ開発者や仮想通貨ユーザーは、このマルウェアに感染するリスクがある。

ClickFix攻撃によるmacOSシステムの感染開始

セキュリティ研究者はMalwarebytesによってこのキャンペーンが発見された。マルウェアのオペレーターパネルは後に公開され、その名が「Infinite Stealer」であることが明らかになった。

このインフォスティールはClickFix攻撃を通じて配信される。ClickFix攻撃はソーシャルエンジニアリング攻撃に分類され、ユーザー自身が悪意のあるコマンドを実行するように仕向ける。コンピュータに直接ハッキングするのではなく、ユーザーに自分たちで実行させるのだ。

攻撃はupdate-check[.]comからの偽のCAPTCHAページから始まる。このページはCloudflareの人間確認ページのように見えるが、実際にはそうではない。偽のCAPTCHAをクリックした後、ユーザーはターミナルを開きコマンドを貼り付けるよう指示される。

そのコマンドは検証ではなく、ユーザーのコンピュータにマルウェアをダウンロードして実行する隠されたインストーラスクリプトである。

攻撃が機能するのは、ユーザーがコマンドを実行するためである。これは従来の防御を回避し、エクスプロイトが存在しないためである。

コマンドが実行されると、攻撃者が制御するリモートサーバーに接続し、Infiniti StealerをダウンロードしてMacに静かにインストールする。ポップアップも警告もなく、ただ静かにインストールされる。

セキュリティ研究者によると、このマルウェアはネイティブのmacOSバイナリにコンパイルされているため、分析や検出が困難である。単に読みやすく理解しやすいPythonスクリプトというわけではない。

このマルウェアは、暗号化ウォレットのデータ、ブラウザやmacOSキーチェーンからの資格情報、開発者ファイル内のプレーンテキストの秘密鍵、さらには実行中にキャプチャされたスクリーンショットなど、Macから機密データを窃取することを目的としている。

また、検出を避けるために解析環境で実行されているかどうかを確認し、窃取したデータを攻撃者のサーバーに送信する。データ抽出が完了すると、攻撃者にTelegramで通知が送信され、キャプチャされた資格情報はサーバー側のパスワードクラッキングのためにキューに入れられる。

ClickFix攻撃はWindowsでは一般的だが、今やハッカーたちはAppleのマシン向けに適応させている。macOSシステムはもはやマルウェアから安全とは見なされていない。仮想通貨ユーザーはウェブ閲覧時に注意し、信頼できないソースからのコマンドをターミナルに貼り付けてはならない。

仮想通貨の個人ウォレット侵害が急増

これはmacOS上の仮想通貨ユーザーを対象とした洗練された攻撃が初めてではない。Cryptopolitanは3月、プライベートキー、ウォレットアクセス、およびその他の機密データを窃取する新しいmacOSマルウェア「GhostClaw」について報じた。

このマルウェアは、JavaScript用の人気パッケージマネージャーであるnpmに登録されていた。これは本物のOpenClawツールを装っていたが、実際には多段階攻撃を実行していた。レジストリから削除されるまでに、合計178人の開発者がこの悪意のあるパッケージをダウンロードした。

2025年に仮想通貨業界から窃盗された総額は34億ドルに達した。

「個人のウォレット侵害は大幅に増加しており、2022年には窃盗された総価値のわずか7.3%だったが、2024年には44%に達した」と、ブロックチェーンセキュリティ企業のChainalysisのレポートは述べている。

Bybit攻撃の異常な影響がなければ、2025年の個人ウォレットへのハッキングの規模は37%に達していたはずである。