本物のウォレットアプリを終了させて偽物に差し替える｜Rapid7が公開した暗号資産詐欺の全工程と見分け方【2026年8月】

セキュリティ企業の Rapid7 が2026年8月17日、暗号資産をねらう詐欺グループのサーバの中身を公開しました。設定のミスで、道具も名簿もそのまま外から見える状態になっていたためです。

見つかったのは、約88万5,000件の電話番号と、そのうち「本当に暗号資産の口座を持っている人」だけを機械的にえり分ける道具でした。えり分けた相手に、まずサポートを装ったメールを送り、続けて電話をかけます。

最後に案内されるのが偽のウォレットアプリです。これがパソコンに居座り、利用者が本物のアプリを開いた瞬間に本物を強制終了させ、そっくりの偽画面を代わりに出します。そこで入力させた復元用の単語（シードフレーズ）が、そのまま外へ送られる仕組みでした。

報告書に日本の電話番号のリストは出てきません。ただし、アプリの側の仕組みは国を選びません。

この記事で分かること

• どういう順番で標的が絞り込まれていたのか
• 偽のウォレットアプリが何をしていたのか（本物を終了させる動作）
• 偽の Ledger Live に入っていた、送金先を書き換える機能
• Claude Code のインストール手順を装った配布経路
• 暗号資産 詐欺の見分け方として、報告書から読み取れる点
• 国内で公表されている相談事例と相談窓口
• 現時点で未確定の事項

本記事は公表資料の整理です。特定の製品の購入・買い替えを推奨するものではありません。

Rapid7 が公開した内容と、その経緯

Rapid7 Labs は2026年8月17日、調査レポート「Operation ASTERIX: Anatomy of a Crypto Fraud Pipeline」（8月18日に更新）を公開しました。

きっかけは、詐欺グループが使っていたサーバに設定の不備があったことです。ウェブの一部が誰でも一覧できる状態になっており、電話番号のデータ、口座の確認ツール、フィッシング用の管理画面、自動発信のスクリプト、偽のウォレットアプリ、そして開発中のやり取りの記録までが、そのまま見えていました。

Rapid7 は、この設備の多くが稼働中または開発中だったと記載しています。そのため、活動が続いている段階で関係する事業者と当局（Apple のセキュリティチームを含む）へ通知できた、としています。

呼び名の「ASTERIX」は、サーバから見つかった電話システム「Asterisk」に由来します。

🔴 レポートの結論には「サーバから回収された個々の技術に新しいものはない」と明記されています。新しいのは技術そのものではなく、入口から出口までの全工程が、ひとつのサーバの中でまとめて確認できたという点です。

どういう順番で標的が絞り込まれていたのか

無差別に電話をかけていたわけではありません。段階を追って対象を狭めていく作りになっていました。

1. 電話番号を集める（約88万5,000件）

サーバには およそ885,000件の電話番号が、地域や入手元ごとにファイル分けされていました。

ファイル	内容
最大のもの	ドイツの携帯番号 316,002件
その他	香港、ブルガリア
参照されていたもの	イギリス、アメリカ、カナダのフィンテック関連
別枠	Ledger 関連のリストが54か国分
別ファイル	ポーランドの番号 103,000件超

🔴 報告書に日本の電話番号リストは出てきません。同時に、日本を対象から外すという記載もありません。

2. 「口座を持っている人」だけを機械的にえり分ける

集めた番号を、そのまま使うわけではありません。確認用のツールが、暗号資産サービスの「その電話番号でアカウントが存在するか」を返す仕組みへ番号を送り、口座がある番号だけを残していました。

• 同時に 300本の並列で照会し、失敗したら再試行する
• 一般家庭の回線を経由するプロキシを入れ替えながら使い、ブロックを避ける

結果として、ドイツの316,002件から43,066件が「口座あり」と確認されています。ヒット率にして 約13.6%。一方、香港のデータでは相手側のレート制限（一定時間あたりの回数制限）にかかり、成功率が下がったと記載されています。

Kraken 向けの確認ツールも別に保持されていました。Ledger 関連のデータセットも扱っており、Rapid7 は「ハードウェアウォレット事業者との関わりと、取引所の口座の両方を持つ利用者を探していたようだ」と書いています。

なお、確認先として挙がっているサービス名について、報告書は「Crypto.com を指すと思われる」という書き方をしており、断定はしていません。

3. 個人情報を足して「名簿」に仕上げる

残った番号に情報を足していきます。仕上がった名簿には、氏名、電話番号、メールアドレス、地理情報、口座の情報、そして場合によっては決済カードに関する情報まで含まれていました。

報告書には、Binance 向けの管理画面に 5,576件の検証済みの標的が待機列として表示されている画面が掲載されています。

4. メールと電話で、互いを裏書きさせる

まずメールが届きます。Crypto.com や Binance、その他の大手金融機関を装ったもので、偽のサポート受付番号と確認コードが書かれています。

そのあと電話がかかってきます。かけてきた相手は、メールに書かれていた受付番号と確認コードを知っています。

Rapid7 はこの構造をこう説明しています。メールがあるから電話が「予定されていたもの」に見え、電話の相手がコードを知っているからメールが「本物」に見える。どちらか片方だけでは成立しない組み合わせです。

電話をかける側は、事前に相手の氏名・電話番号・所在地・使っている取引所・口座の情報を手元に持っています。

🔴 規模については注意が要ります。ある管理画面の記録は 約2週間で、名簿の照会20件・フィッシングメール6件でした。Rapid7 はこれを「自動化された大量送信というより、通話を1件ずつ個別に扱う運用に近い」と評価しています。

偽のウォレットアプリが何をしていたのか

電話の最後に案内されるのが、偽のウォレットアプリです。Trezor Suite・Ledger Live・Exodus の偽物が見つかっています。

このうち Trezor Suite の偽物が最も作り込まれていました。macOS（Intel）・macOS（Arm）・Windows の3種類がありますが、中身は同じものを OS ごとに包み直しただけです。

起動しても、すぐには何も出さない

インストールしても、偽の入力画面はすぐには現れません。

代わりに、縦横1ピクセル・完全に透明・枠なし・タスクバーに出さないという設定のウィンドウで、目に見えない状態のまま常駐します。閉じる操作や終了の操作を受け取っても、終了せずに隠れるだけです。

本物を開いた瞬間に、本物を終了させる

常駐したアプリは、5秒ごとにパソコン内で動いているプログラムの一覧を調べ、正規の Trezor Suite が起動されるのを待ちます。

見つけると、次の3つを続けて実行します。

1. 正規のアプリを強制終了させる
2. 隠していた自分のウィンドウを前面に出す
3. アプリ名を使って、自分を「Trezor Suite」としてアクティブにする

利用者の側から見ると、自分で開いた本物が、もう一度 Trezor の画面として立ち上がってくるように見えます。自分の操作で開いているため、入れ替わったことに気づきにくい、と報告書は説明しています。

なお、この巡回は「アプリの場所を示す2つの条件を両方満たすものだけ」を対象にしています。自分自身を終了させてしまわないための判定です。

1回目はわざと失敗させる

出てくる画面は、シードフレーズの入力欄です。12語・18語・20語・24語のいずれにも対応し、任意のパスフレーズも受け付けます。貼り付けると、自動で単語ごとの欄に振り分けられます。

🔴 注目すべきは、1回目の送信の扱いです。

偽アプリは、いったん確認中のような表示を出したあと、理由の書かれていないエラーを返します。打ち間違えたように見えるため、利用者はもう一度、今度は慎重に入力し直すことになります。

Rapid7 は、これを「完全で正確なフレーズを受け取る確率を上げるための設計」と説明しています。

送ったあとは、本物のサイトへ戻される

入力されたシードフレーズ、パスフレーズ、そして利用者の公開IPアドレスは、まとめて Telegram のボット宛に1通のメッセージとして送信されます。

送信が終わると、利用者は本物の Trezor のサイトへ移されます。その場では何も起きていないように見えるため、被害に気づくのが遅れる作りです。

macOS では、ログイン時に自動で起動し、終了させても再び立ち上がる仕組みが2つ仕込まれていました。

Windows 版は、不具合で常駐しなかった

🔴 一方、Windows 版には作り手側の不具合がありました。

設定を読み込む部分が macOS 向けの内容しか持っておらず、Windows の分岐が空を返します。そのため監視の処理が始まらず、常駐も、本物の差し替えも、追加のプログラムの取得も動作しませんでした。

報告書は、Windows 版は結果的に「常駐しない、静的なシードフレーズの入力フォーム」として機能しただけだと記載しています。

また、このアプリには正規の署名がありません。そのため利用者には、macOS の保護（Gatekeeper）を迂回する開き方をするよう案内されていました。

偽の Ledger Live には、送金先を書き換える機能があった

Ledger Live の偽物は、別の方向で作られていました。

Windows 版にはクリップボードを乗っ取る機能が入っています。利用者が暗号資産の送金先アドレスをコピーすると、貼り付け先に届く前に、攻撃者のアドレスへ黙って置き換わります。

Rapid7 は「画面上には何もおかしなところが表示されないまま、資金が攻撃者に流れる」と記載しています。シードフレーズを一度も入力しなくても成立する経路です。

Mac 版は、Dock に一切表示されない設定になっていました。閉じる対象が見えないため、利用者が気づいて終了させることができません。

Exodus の偽物はさらに別の作りで、インストーラ自体には悪意のあるコードが入っていません。同梱された JavaScript の部品が改ざんされており、インストールが終わったあとに、遠隔のサーバから本体を取りに行きます。

Rapid7 は、この2つについてはブログの分量を理由に、完全な技術分析は掲載していないと明記しています。

Claude Code のインストール手順を装った配布経路

もうひとつの配布経路として、Claude Code のインストール手順のページを複製したサイトが使われていました。

複製の精度について、報告書は「ほぼピクセル単位で同じ」と記載しています。公式で使われている書体を取得し、公式のスタイルシートをそのまま読み込み、Anthropic の公式サイトへのリンクも本物のまま残していました。

書き換えられていたのは、macOS 向けのインストールコマンド1行だけです。Windows 向けと Homebrew 向けのタブは手を付けずに残されていました。正規のドキュメントらしく見せるためです。

そのコマンドを実行すると、次のことが起こります。

1. 実行環境の種類（Arm か Intel か）を判定する
2. それに合った偽の Ledger Live をダウンロードする
3. ユーザーのフォルダ内に、隠し属性を付けた場所へ展開する
4. ログイン時に自動起動する設定を追加する
5. 🔴 そのうえで、正規の Claude Code のインストーラも実行する

最後の1つが重要です。Claude Code は普通にインストールされ、正常に動きます。そのため利用者は、インストールに失敗した様子も、余計なものが入った様子も見ることがありません。偽の Ledger Live だけが、隠れたまま残ります。

🔴 これは複製されたサイトからの配布であり、Anthropic 側のシステムが侵害されたという話ではありません。

暗号資産 詐欺の見分け方として、報告書から読み取れる点

Rapid7 は、この工程には「シードフレーズが盗まれる前に、検知したり中断したりできる地点がいくつもある」と記載しています。報告書の内容から読み取れる分岐点を整理します。

段階	報告書に書かれている内容	確認材料になる点
メール	偽のサポート受付番号と確認コードを発行	心当たりのない受付番号が発行されている
電話	事前に氏名・所在地・利用取引所を把握している	相手が個人情報を知っていること自体は、本物である根拠にならない
アプリ	署名がなく、保護を迂回する開き方を案内	「右クリックで開く」型の手順が付いている
入力画面	12〜24語のシードフレーズを求める	正規のソフトが復元以外の場面でフレーズ全体を求めるか
1回目の送信	わざとエラーを返して再入力させる	1回目が理由なく失敗し、もう一度求められる
送金時	コピーしたアドレスが置き換わる	貼り付けたアドレスが、コピー元と一致しているか

シードフレーズを入力する場面と、アドレスを貼り付ける場面の2つが、この工程の要になっています。どちらも画面の見た目からは判断しにくいという点が、今回の報告書の特徴です。

なお、暗号資産に関わるマルウェアや脆弱性については、2026年8月に悪用が確認された脆弱性2件 も別途公表されています。

名簿が先に出回っていた事例との関係

今回の報告書で使われていたのは、電話番号を機械的に突き合わせて作った名簿でした。一方、購入者の名簿そのものが流出する事案も、2026年8月に相次いで公表されています。

• Trezor の配送代行業者から顧客情報が流出した件（8月13日発表・約13,689人）
• SafePal の顧客注文情報が外部から閲覧できた件（8月16日発表・約39,798人）

どちらも氏名・住所・電話番号・購入内容が対象で、両社ともその情報を使った標的型のフィッシングに注意するよう記載しています。

Rapid7 の報告書に出てくる「Ledger 関連のリストが54か国分」という記述は、名簿と電話番号の突合が、同じ工程の入口として使われうることを示しています。ただし、これらの流出事案と Operation ASTERIX を結びつける記載は、Rapid7 の報告書にはありません。

機器そのものの問題としては Coldcard のシード生成に関する件 も8月に公表されていますが、こちらは別の系統の話です。

国内で公表されている相談事例と相談窓口

Rapid7 の報告書に日本の名簿は出てきませんが、国内でも似た構造の相談は公表されています。

ビットバンクは2026年8月19日、警視庁の注意喚起を受けて「特殊詐欺や不正アクセス等にご注意ください」を掲載しました。同社に報告されている事例として、次の4つが挙げられています。

1. 海外取引所を装った出金詐欺 — 利益が出たとして出金しようとすると、「税金」や「保証金」の支払いを求められる。支払いを繰り返すうちに連絡が取れなくなる
2. 警察を名乗る人物による資金移動詐欺 — 「詐欺に使われたカードにあなた名義のものがある」と告げ、確認のためとして資金の移動を指示する
3. 副業・ポイ活・投資を装った詐欺 — 画面共有を通じて暗号資産の口座を開設させ、指示どおり送金させる
4. SNS で知り合った人物による詐欺 — 投資や副業を名目に暗号資産の送金を求める

同社は、出金にあたって「税金」や「保証金」の支払いを求められることは通常ないこと、また同社から LINE でのサポートや個別の購入案内をすることはないことを記載しています。

GMOコインも2026年8月20日、「【重要】セキュリティ強化と不正被害防止のためのお願い」を掲載しました。同社は、フィッシング詐欺やマルウェアの手口が巧妙化しており、2段階認証を設定していても被害に遭う可能性が高くなっていると記載しています。

同社が「やらない」ことの例として挙げているのは次の3つです。

• 検索結果やSNS・メールのリンクから直接開くこと（偽サイトが紛れ込んでいるとして、公式アプリまたはブックマークからの接続を案内）
• 勧誘を受けたうえで、画面共有やショートカットキー（Ctrl＋V など）の操作に応じること
• ログイン中に「追加の2段階認証」や通常とは異なるポップアップが表示された状態で、そのまま入力を続けること

🔴 2つ目は、ビットバンクが挙げている「画面共有を通じて口座を開設させる」事例と同じ場面を指しています。3つ目は、Rapid7 の報告書にある正規の画面と見分けがつかない入力画面と重なります。国内の登録業者2社が、8月19日と8月20日に相次いで同じ趣旨の注意喚起を出した形です。

なお、GMOコインの掲載内容は同社の利用者に向けたもので、各社で対応や設定の名称は異なります。

公的な相談先としては次が案内されています。

窓口	内容
警察庁 サイバー犯罪対策	不正アクセス・マルウェアなどに関する情報と相談先の案内
消費者ホットライン 188	最寄りの消費生活センター等へつながる番号
金融庁 金融サービス利用者相談室	金融サービス全般に関する相談・情報提供の受付

被害の届出については警察が窓口になります。どの窓口が適切かは事案の性質によって変わるため、複数の入口が用意されているという位置づけです。

AI の開発ツールが使われていたことについて

報告書はもうひとつ、開発の過程についても記録を残しています。

サーバに残っていたやり取りから、攻撃者が開発の全体を通じて AI のコーディング支援ツールに頼っていたことが確認されています。バックエンドの開発には GitHub Copilot が、運用スクリプトと電話番号リストの整形などのデータ処理には Claude Code が使われていました。

ただし、偽の Ledger Live のコードを読みにくく加工するよう求めた段階で、Claude はその依頼を断っています。

攻撃者はそこで別の事業者のモデル（Kimi）へ切り替え、安全機能を迂回させるための長い指示文を投入しました。

🔴 この指示文が実際に通ったかどうかは、確認されていません。Rapid7 は「回収された証拠からは、Kimi が応じたかどうかは確認できない」と明記しています。

Rapid7 が指摘しているのは、応じたかどうかよりも攻撃者の姿勢です。モデルが断ったときに依頼の内容を変えるのではなく、断る仕組みのほうを迂回すべき技術的な課題として扱ったという点で、報告書は「今後こうした迂回の試み自体が、マルウェア開発の工程に日常的に含まれるようになるだろう」と結んでいます。

なお、この指示文には特定のモデル向けに書かれた記法がそのまま含まれており、別のモデルに投入した際にはその記法が特別な意味を持たなかった、という指摘も付いています。

現時点で未確定の事項

• 日本の利用者が対象に含まれていたかどうか（報告書に日本の電話番号リストの記載はありませんが、除外する記載もありません）
• 被害の件数と金額（報告書に記載がありません）
• 攻撃者の所在・人数・所属（報告書は「operator」としており、特定していません）
• 偽アプリの配布が、どの範囲まで実際に届いたのか（インストール状況を集める仕組みの存在は確認されていますが、件数は公表されていません）
• 切り替え先のモデルが実際に依頼に応じたかどうか（確認されていないと明記されています）
• 開示を受けた事業者・当局がその後どのような対応をとったか（報告書は開示した事実までの記載です）
• 名簿の流出事案（Trezor・SafePal）とこの活動との関係（報告書に記載がありません）

この記事のまとめ

• セキュリティ企業Rapid7が2026年8月17日、暗号資産詐欺グループのサーバの設定ミスにより約88万5,000件の電話番号と、暗号資産口座の有無を機械的に判定するツール一式が外部から見える状態だったと公表しました
• 口座ありと確認された相手にはサポートを装ったメールと電話をかけ、最後に偽のウォレットアプリ（Trezor Suite・Ledger Live・Exodusの偽物）を案内していました。Trezor Suiteの偽物は本物のアプリが起動された瞬間に本物を強制終了させ、偽の入力画面に差し替える動作をしていたと記載されています
• Ledger Liveの偽物には、コピーした送金先アドレスを攻撃者のアドレスへ黙って置き換えるクリップボード乗っ取り機能がWindows版に入っていました
• 配布経路のひとつとして、Claude Codeのインストール手順ページを複製したサイトが使われ、macOS向けコマンドのみが偽のLedger Liveを仕込むよう書き換えられていました。正規のClaude Codeも同時にインストールされる作りだったとされています
• 攻撃者が開発にAIコーディング支援ツールを使っていたことも確認されており、Claudeは偽Ledger Liveのコード難読化の依頼を断った一方、攻撃者は別のモデル（Kimi）に切り替えたと記載されています。ただしKimiが依頼に応じたかどうかは「確認できない」とされています
• 報告書に日本の電話番号リストの記載はありませんが、除外する記載もありません

この記事に出てくる言葉

---

出典・確認日: 本記事は2026年8月21日（日本時間）に、Rapid7 Labs の調査レポートおよび各機関の公表ページを取得して作成しました。2026年8月22日に、GMOコインが8月20日に掲載した注意喚起を追記しています。掲載内容はその後変更される場合があります。IOC（痕跡情報）は Rapid7 の GitHub で公開されていると記載されています。

運営: 株式会社シンセイサービス

あわせて読みたい

• 口座と個人情報を守る ── フィッシング・出金トラブルから資産を守る基本
• 怪しい勧誘の断り方と、被害に遭わないための習慣
• Firefoxの拡張機能40件がウォレットの秘密情報を盗んでいた｜Socketが公表した4つの型と確認項目【2026年8月】
• 金融庁が2026事務年度の金融行政方針を公表｜口座開設の直後に暗号資産をアンホステッド・ウォレットへ移せない「熟慮期間」の制度的対応を進めると明記【2026年9月】

まずは、投資の基礎を無料で学ぶ

AGITOアプリで、解説記事・用語集・市場情報を確認できます。学習コンテンツと市場情報は無料です。

iPhoneで使う Androidで使う

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。