仮想通貨を盗むマルウェアとは？コピーしたアドレスのすり替えに注意
公開日:
仮想通貨を狙うマルウェアの中には、パソコンでコピーした送金先のアドレスを、犯人のアドレスにこっそりすり替えるもの(クリッパー)があります。Microsoftは2026年6月、約500ミリ秒ごとにクリップボードを監視し、ウォレットのアドレスを犯人のものに置き換え、シードフレーズや秘密鍵を盗み出すWindows向けのマルウェアを公表しました。
このマルウェアは、USBメモリの中の文書ファイルに見せかけたショートカットから感染していました。JVCEA(日本暗号資産等取引業協会)も、マルウェアなどで盗まれたID・パスワードによる不正アクセスの被害が、会員の取引所でも確認されたと公表しています。送金の前には、貼り付けたアドレスの全体を、送り先の公式の画面と見比べてください。
「コピーして貼り付けたはずのアドレスに送ったのに、相手に届いていない」——送金先のアドレスを、自分では気づかないうちに書き換えられる手口があります。この記事では、Microsoftの脅威分析チームの公表資料と、JVCEA・IPAの注意喚起を当社が直接確かめて、仕組みと防ぎ方を整理します。
仮想通貨を盗むマルウェアは、何をする？
Microsoftの脅威分析チームは、2026年6月17日のセキュリティブログで、2026年2月から利用者に被害を与えているWindows向けの暗号資産「クリッパー」を公表しました。クリッパーは、クリップボード(コピーした内容を一時的に置く場所)のデータを盗み、価値のあるものを探すマルウェアだと説明しています(英語の原文を当社が要約しました)。
| 動き | 内容 | 利用者にとっての意味 |
|---|---|---|
| クリップボードの監視 | 約500ミリ秒(0.5秒)ごとに、コピーした内容を確かめる | コピーした直後に書き換えられる |
| アドレスのすり替え | コピーしたウォレットのアドレスを、犯人が管理するアドレスに置き換える | 貼り付けた先が、犯人のアドレスになる |
| シードフレーズの抜き取り | 12語・24語のシードフレーズや秘密鍵を見つけると、外部に送り出す | ウォレットごと乗っ取られる |
| 画面の撮影 | 10秒おきに5枚、画面の写真を撮って送る | ウォレットの残高などを見られる |
Microsoftは、2025年3月にも、Google Chromeの暗号資産ウォレットの拡張機能20種類の設定データを探し、クリップボードを監視してパスワードや暗号資産の鍵を探す遠隔操作型のマルウェア(StilachiRAT)を公表しています。こちらは2024年11月に見つかったものです。
どこから感染する？
2026年のクリッパーについて、Microsoftは、悪意のあるショートカット(.lnk)ファイルが入口で、分析した例ではUSBメモリで配られていたと書いています。マルウェアは、USBメモリの中のWord・Excel・PDFなどの文書ファイルを隠し、同じ名前のショートカットを作るため、利用者は、文書を開いたつもりでプログラムを実行してしまうと説明しています。感染したパソコンに、あとから差し込まれた別のUSBメモリにも広がる仕組みを持っていました。
StilachiRATについては、正規のソフトウェアや、ソフトウェアの更新を装うことがあるとして、Microsoftは「ソフトウェアは、開発元の公式サイトか、信頼できる入手先からダウンロードする」よう勧めています。
IPAも、マルウェアに感染すると、パソコンやスマートフォンに登録された情報を盗まれたり、自分のスマートフォンがフィッシングSMSの送り元になってしまうこともあると注意しています。
取引所のアカウントも狙われる？
JVCEAは、2025年5月23日の注意喚起で、実在する会社を装った偽サイト・偽アプリ、およびマルウェア(ウイルス等)で盗まれたログインIDやパスワードによる、不正アクセス・不正取引の被害が急増し、会員の取引所でも被害が確認されたと公表しています。そのうえで、次のことを求めています。
- 取引所が多要素認証を提供している場合は、多要素認証の設定を必ず行う
- パスワードは、使い回さず、推測しにくい組み合わせにする
- 取引所のサイトには、あらかじめブックマークした公式のサイトからアクセスする
取引所をかたる偽メール・偽SMSの手口は、取引所をかたる偽メールの記事で詳しく書いています。
アドレスのすり替えを防ぐには？
- シードフレーズ(リカバリーフレーズ)や秘密鍵を、コピーしたり、パソコンやスマートフォンに保存したりしない(Microsoftの分析では、クリップボードに入ったシードフレーズが盗まれていました)
- 出どころの分からないUSBメモリを差し込まない。中のファイルを開くときは、ショートカットになっていないか確かめる
- ソフトウェア、ウォレットのアプリ、ブラウザの拡張機能は、開発元の公式サイトか公式のストアから入れる
- 取引所では、送付先アドレスの事前登録と多要素認証を使い、登録したアドレスに覚えのないものがないかときどき確かめる
- 送金履歴からアドレスをコピーしない(似たアドレスを使う「アドレス汚染」についてはウォレット接続の記事)
仮想通貨を盗むマルウェアについて確認できなかった点は？
- 日本国内での、クリッパー型マルウェアによる被害の件数・金額(公表された数字は見つかりませんでした)
- Microsoftが公表したマルウェアが、日本の利用者に広がっているかどうか
- スマートフォン(iPhone・Android)で同じ動きをするマルウェアの、公的な分析(この記事では、Microsoftが公表したWindowsの事例を扱っています)
アドレスがすり替わっていた・資産が抜かれたら？
- そのパソコンで、これ以上の送金やログインをしない。ネットワークから切り離す
- 別の安全な端末から、取引所のパスワードを変え、多要素認証と登録済みの送付先アドレスを確かめる
- ウォレットのシードフレーズを、その端末に入力・コピーしたことがあるなら、そのウォレットは盗まれる前提で考え、残っている資産を、新しく作ったウォレットに移すことを検討する(手順は、ウォレットの公式の案内に沿って行う)
- 送金のTXID、送るつもりだったアドレス、実際に送られたアドレスを控える(TXIDの確認方法)
- 「取り戻せる」と後から連絡してくる相手に注意する(二次被害の記事)
送金のTXIDや送金先のアドレス、やり取りの画面があれば、お金がどこへ送られたのかを調べられるかどうか、LINEでお答えします。「何を残せばいいか分からない」「TXIDの探し方が分からない」という段階でも構いません。
LINEで無料相談友だち追加のみで、こちらから電話をかけることはありません。ご相談は無料ですが、資金の回収・返金をお約束するものではありません。
- Microsoft Security Blog「Crypto Clipper uses Tor and worm-like propagation for persistence and control」 — 2026年6月17日。クリップボードの監視、アドレスのすり替え、USBのショートカットからの感染(英語)。2026年11月3日確認
- Microsoft Security Blog「StilachiRAT analysis: From system reconnaissance to cryptocurrency theft」 — 2025年3月17日。ウォレットの拡張機能20種類を狙う遠隔操作型マルウェア(英語)。2026年11月3日確認
- JVCEA「【重要】インターネット取引サービスを利用される皆様へ〜不正アクセス・不正取引の被害急増のお知らせと大切な資産を守るためのお願いについて〜」 — 2025年5月23日(2025年12月22日更新)。2026年11月3日確認
- IPA「インターネットサービスへの不正ログインによる被害が増加中」(安心相談窓口だより) — 2025年8月28日公開。フィッシングやマルウェアへの注意。2026年11月3日確認
2026年11月3日時点の公開情報にもとづいています。英語の原文は、当社が日本語に要約しました。マルウェアの内部の技術的な詳細は、悪用を避けるため扱っていません。
仮想通貨を盗むマルウェアに関するよくある質問
コピーした仮想通貨のアドレスが、勝手に変わることはありますか？
あります。Microsoftは2026年6月、約0.5秒ごとにクリップボードを監視し、コピーしたウォレットのアドレスを犯人のアドレスに置き換えるWindows向けのマルウェアを公表しました。貼り付けたあと、アドレスの全体を送り先の公式の画面と見比べてください。
仮想通貨を盗むマルウェアは、どこから入ってきますか？
Microsoftが分析した例では、USBメモリの中の文書ファイルに見せかけたショートカットから感染していました。別のマルウェアについては、正規のソフトや更新を装うことがあるとして、ソフトは開発元の公式サイトなど信頼できる入手先から入れるよう勧めています。
シードフレーズをパソコンにメモしておくのは危険ですか？
危険です。Microsoftが公表したマルウェアは、クリップボードに入った12語・24語のシードフレーズや秘密鍵を見つけると、外部に送り出していました。シードフレーズはコピーせず、パソコンやスマートフォンに保存しないでください。
すり替えられたアドレスに送ってしまったら、取り戻せますか？
ブロックチェーンの送金は、送った側から取り消すことはできません。まずその端末での操作をやめ、別の端末からパスワードを変え、送金のTXIDと実際に送られたアドレスを控えてください。「取り戻せる」と持ちかける業者には注意してください。
送金先の追跡を相談・依頼する
トランザクションハッシュと送金先アドレスがあれば、オンラインで調査を依頼できます。1件¥9,800、最短翌日。 申し込む前に、自分のケースが調査できるかをLINEで相談することもできます(相談は無料です)。
調査の仕組みと料金は、仮想通貨詐欺の調査会社「CryptoTracer」のサービス紹介で詳しくご覧いただけます。