Last Updated on 2026年7月18日 by Co-Founder/ Researcher
2026年1月、Kaspersky のグローバル調査分析チーム（GReAT）は、暗号資産ウォレットのウィンドウ内容を取得するマルウェアが関与する攻撃を特定した。
Okobot と名付けられたこのフレームワークは20を超えるペイロードとインプラントで構成され、TookPS を起点とする感染チェーンを通じて複数のモジュールを展開する。シードフレーズを窃取するのは SeedHunter で、新モジュール OkoSpyware は対象アプリのキー入力と画面映像を記録し、別のローダーが Rilide stealer などの悪性ブラウザー拡張を導入する。感染経路は ClickFix 攻撃と、GitHub で正規ソフトを装い配布されるマルウェアで、SQL Server Management Studio（SSMS）の偽インストーラーの事例が確認された。SeedHunter は Trezor Suite、Ledger Wallet、Ledger Live にインプラントを注入し、フィッシングページを表示する。Kaspersky は25か国以上で数百人の利用者に対する攻撃を検知しており、上位はブラジル、ベトナム、カナダ、メキシコ、トルコである。キャンペーンは Kaspersky が報告を公開した2026年7月時点でも活動中で、攻撃主体は特定されていない。
【編集部解説】
暗号資産の世界では、「ハードウェアウォレットを使えば安全だ」という助言が、ほとんど定説のように語られてきました。秘密鍵を専用デバイスの中に閉じ込め、外に出さない——復元用の言葉の列であるシードフレーズをオフラインに留めるその設計思想こそが、取引所の破綻やホットウォレットの流出から資産を守る「最後の砦」とされてきたからです。
今回 Kaspersky が明らかにした OkoBot は、その前提を静かに揺さぶります。注目すべきは、このマルウェアがハードウェアウォレットの暗号技術そのものを破ってはいない、という点です。
OkoBot に含まれる SeedHunter というモジュールは、Ledger Live、Ledger Wallet、Trezor Suite といった正規アプリの、動作中のプロセスに入り込みます。利用者がハードウェアウォレットを USB で接続したことを検知すると、本物のアプリの内側から、シードフレーズの「復元」を求める偽の画面を表示します（設定によっては、接続を待たずに表示することもあります）。
つまり、画面を出しているアプリは本物で、入力を求められている言葉だけが罠になっている。デバイスの画面側には何も表示されていないのに、見慣れたソフトが復元フレーズを尋ねてくる——ここが今回の手口の核心だと編集部は考えています。
そして、Kaspersky の公開報告では、この手口が Ledger や Trezor 製品の既知の脆弱性（CVE）を悪用したとは報告されていません。ウォレット側のバグを突いているのではなく、感染した端末の上で、正規アプリのプロセスと、利用者の「正規アプリへの信頼」そのものを乗っ取っているからです。ウォレット製品にパッチを当てるだけでは防ぎにくいのは、そのためです（もちろん、OS・セキュリティ製品・各アプリを最新に保つことは、感染そのものを防ぐうえで有効です）。だからこそ、自分で復元操作を始めていないのに、管理アプリが突然シードフレーズの入力を求めてきたら、それを疑う——という基本が、そのまま最良の防御になります。とりわけ Ledger は、復元フレーズをパソコンやスマートフォンに入力しないよう公式に案内しています。
もう一つ、Crypto Verse の読者にこそ知っておいてほしい事実があります。この攻撃の主要な標的の一つが、暗号資産の保有者であると同時に「開発者」だとみられるという点です。
初期感染の経路の一つは、GitHub 上で正規ソフトを装って配布されたマルウェアでした。Kaspersky が確認した事例では、配布物は Microsoft のデータベース管理ツール SQL Server Management Studio（SSMS）を名乗っていましたが、その実体は、正規の音声編集ソフト Audacity に悪意あるコードを埋め込んだ別物です。リポジトリは検索エンジンに上位表示され、「SSMS」で検索した開発者の信頼を、いとも簡単に勝ち取っていました。
日々コマンドを実行し、GitHub からツールを落とし、公式ドキュメント風の手順書を疑わない。そうした開発者の習慣そのものが、侵入口として設計されているわけです。テクノロジーに明るい層ほど油断しにくいはずの領域が、逆手に取られています。
技術的にもう一段深く見ると、OkoBot が単体のウイルスではなく、20 を超えるモジュールを束ねる「フレームワーク」である点が示唆に富みます。
Kaspersky は、2026 年 3 月にこのフレームワークの構成が再編された形跡を確認しています。古い実行チェーンの一部が捨てられ、その機能が新しいプラグイン基盤へと統合されていました。役目を終えたコードを整理し、機能を集約する——これは、放棄されつつあるソフトウェアのふるまいではなく、保守が続けられているプロダクトのふるまいです。
犯罪のためのツール群が、ロードマップを持つ製品のように育てられている。この「クライムウェアのプロダクト化」こそ、個別の被害額以上に長期的な脅威だと編集部は見ています。攻撃者は暗号を正面から破るのではなく、より安く確実な「人間の信頼」という層へ、戦線を静かに移しつつあるのです。
攻撃の出所について、Kaspersky は特定の犯罪グループへの断定を避けています。ただし、初期感染用のサーバーがロシア・CIS 圏の IP からのアクセスを弾く設定になっていたこと、悪用された情報窃取ツール Rilide がロシア語圏の招待制フォーラムで流通していること、そして偽のフィッシングページのソースコードにロシア語のコメントが残っていたことを、手がかりとして挙げています。いずれも攻撃者像を推測する材料であって、国籍を確定する証拠ではありません。
現時点の攻撃はブラジル、ベトナム、カナダ、メキシコ、トルコに集中し、日本は上位に含まれていません。しかし、標的にされているウォレット（Ledger、Trezor、MetaMask、Tonkeeper など）も、侵入口となった開発ツールやプラットフォームも、国境とは無関係に使われているものばかりです。Kaspersky 自身、この攻撃が近い将来さらに多くの国へ拡大しうると警告しています。上位 5 か国は「いまの分布」を示すにすぎず、安全圏の証明ではありません。
自分の資産を自分で守る「セルフカストディ（自己管理）」には、原則として、取引を取り消してくれる窓口も、不正利用を補償するデスクもありません。その自由と引き換えの責任を、攻撃者は正確に突いてきます。だからこそ、覚えておくべき原則はきわめてシンプルです。自分で始めた操作でもないのに、シードフレーズを画面に入力するよう求められたら、たとえ本物のアプリに見えても、いったん手を止めること。それが、この巧妙なフレームワークに対する、最も確実な一手になります。
【用語解説】
シードフレーズ（リカバリーフレーズ）
暗号資産ウォレットを復元するための、12〜24語程度の単語の列。ウォレットの秘密鍵を導出できる「マスターキー」であり、これを知る者は誰でも資産を移動できる。本来は紙や金属製バックアップなどでオフライン保管し、第三者に共有したり、通常のウェブサイトやアプリ画面へ不用意に入力したりしてはならない。Ledger はデバイス以外への入力を避けるよう案内しており、Trezor Model One の標準復元のようにパソコン側へ単語を入力する機種でも、必ずデバイス自身の指示と確認を伴う。
ハードウェアウォレット
秘密鍵を専用デバイスの内部に保持し、デバイスの外へ出さない設計の物理型ウォレット。オンラインに鍵を置く「ホットウォレット」より安全とされ、Ledger や Trezor が代表格。今回の攻撃は、この暗号技術そのものではなく、管理用アプリへの信頼を突いた点が特徴だ。
セルフカストディ（自己管理）
資産の鍵を第三者（取引所など）に預けず、利用者自身が管理する方式。「自分が自分の銀行になる」自由と引き換えに、原則として、紛失時の復旧窓口も不正利用の補償もない、という重い自己責任を伴う。
ClickFix
利用者を心理的に誘導し、「認証のため」などと称して、悪意あるコマンドを自らの手で実行させる攻撃手法。ソフトの脆弱性ではなく人間の操作を突く。OkoBot の主要な初期感染経路の一つである。
インフォスティーラー（情報窃取型マルウェア）/ Rilide
認証情報・Cookie・暗号資産情報などを盗み出すマルウェアの総称。今回悪用された Rilide は、Chromium 系ブラウザーを狙う窃取ツールで、2023年4月以降ロシア語圏の攻撃者が多用してきた。
ペイロード / インプラント
ペイロードは攻撃で実際に害をなす本体部分、インプラントは標的の内部に潜り込ませる小型プログラムを指す。OkoBot は20を超えるこれらを束ねて多様な機能を実現する。
CVE（脆弱性識別番号）
公開されたサイバーセキュリティ上の脆弱性を識別するための共通ID。CVE が付与された問題にはパッチや緩和策が提供されることが多いが、必ずパッチが存在するとは限らない。Kaspersky の公開報告では、今回の手口が Ledger や Trezor 製品の既知 CVE を悪用したとはされていない。
ジオブロッキング
アクセス元の地域（IPアドレス）に応じて配信を制限する仕組み。OkoBot の攻撃サーバーはロシア・CIS 圏からのアクセスに空応答を返す設定になっており、攻撃者像を推測する手がかりとなった。
CIS（独立国家共同体）
旧ソ連構成国の一部からなる地域枠組み。サイバー犯罪の文脈では、攻撃者が自国・自地域を標的から外す傾向を示す指標として言及されることが多い。
OkoBot / OkoSpyware / SeedHunter / TookPS
今回の攻撃を構成するマルウェア群。OkoBot はフレームワーク全体の呼称、TookPS は初期感染と追加スクリプトの取得を担うスクリプト、SeedHunter はハードウェアウォレットのシードフレーズを狙う窃取モジュール、OkoSpyware はキー入力と画面の映像を記録する監視モジュールである。
【参考リンク】
Securelist（Kaspersky GReAT）（外部）
Kasperskyの研究チームGReATが、マルウェアやサイバー攻撃の技術分析を公開する脅威研究の公式サイト。OkoBotの詳細レポートも掲載。
カスペルスキー（Kaspersky 日本）（外部）
1997年設立のサイバーセキュリティ企業カスペルスキーの日本公式サイト。個人・法人向けのセキュリティ製品と脅威情報を提供している。
Ledger（外部）
今回標的となったハードウェアウォレットを提供するフランス企業。シードフレーズの安全な扱い方を学べるLedger Academyも公開。
Trezor（外部）
2013年創業のハードウェアウォレットの草分けブランド。管理アプリTrezor SuiteがSeedHunterの注入先の一つとされた。
MetaMask（外部）
イーサリアム系で広く使われる代表的なソフトウェアウォレット。OkoSpywareが監視対象としたブラウザー拡張の一つとされた。
Tonkeeper（外部）
TON（The Open Network）向けの非カストディ型ウォレット。こちらもOkoSpywareの監視対象リストに含まれていた。
GitHub（外部）
開発者に不可欠な世界最大級のソースコード共有プラットフォーム。今回は正規ソフトを装うマルウェアの配布経路として悪用された。
SQL Server Management Studio（Microsoft Learn）（外部）
Microsoftのデータベース管理ツールSSMSの公式ドキュメント。攻撃者はこの正規ツールの名を騙って偽物を配布していた。
Audacity（外部）
オープンソースの定番音声編集ソフト。今回配布された偽SSMSの正体は、このAudacityに悪意あるコードを埋め込んだものだった。
【参考記事】
OkoBot: new sophisticated malware framework targets cryptocurrency users（Securelist）（外部）
本件の一次情報にあたる技術詳細レポート。20超のモジュールから成る感染連鎖や、25か国以上・数百人への攻撃検知などを分解して伝えている。
OkoBot Malware Framework Injects Seed Phrase Phishing Into Ledger and Trezor Apps（The Hacker News）（外部）
独立系メディアの報道。攻撃が2025年4月から続く点や、狙われるのが正規アプリ内に現れる偽の復元画面である点を掘り下げている。
Restore your Ledger accounts with your Secret Recovery Phrase（Ledger 公式サポート）（外部）
Ledger公式サポート記事。同社が24語の復元フレーズを尋ねることは決してない、という判断基準の根拠となる一次情報。
【編集部後記】
お使いのウォレット管理アプリを開き、Ledger Live や Trezor Suite の設定画面を確認すると、これらの正規アプリが、通常の操作でシードフレーズの入力を求めることがないとわかります。SeedHunter が突くのは、この「正規の画面」への信頼そのものでした。では、アプリ自身が通常は尋ねない情報を、感染した端末が本物そっくりに尋ねてきたとき、セキュリティ上よく言われる「デバイス画面に何も出ていなければ偽物」という一線は、正規の復元でも単語入力を伴う Trezor Model One のような旧機種で、どこまで有効なのでしょうか。
——————–
※本記事は情報提供を目的としており、投資助言ではありません。
詳細は当サイトの免責事項をご確認ください。
——————–