ゼロクリックiPhoneの脆弱性が暗号資産の保有を高度な攻撃者にさらす – 知っておくべきこと

2025年8月中旬、Appleは、巧妙な脅威アクターが標的とした個人に対して積極的に悪用していた重大な脆弱性に対処する緊急のセキュリティパッチをリリースしました。この欠陥はCVE-2025-43300と命名され、iPhone、iPad、Macシステムに世界的に影響を及ぼし、デジタル資産をデバイスに保存している暗号通貨ユーザーにとって特に重要です。これは2025年以降、Appleが修正した7つ目の武器化されたゼロデイ脆弱性であり、モバイルデバイスのセキュリティに対する脅威の高まりを示しています。

攻撃の仕組み：ゼロクリックエクスプロイト

この脆弱性は、AppleのImage I/O処理システム内に存在します。これは、すべてのAppleデバイスで画像をレンダリングするためのフレームワークです。攻撃者は、このフレームワーク内の範囲外書き込み条件を悪用し、不正なメモリ操作を可能にします。この攻撃はユーザーの操作を全く必要とせず、iMessageやメールを通じて送信された悪意のある画像1つだけで自動的に処理が開始され、デバイスが即座に危険にさらされます。

サイバーセキュリティの専門家によると、このシームレスな配信メカニズムがこの攻撃を非常に危険にしています。「受信者は自分が標的にされていることに全く気付かない」と、事件を分析しているセキュリティ研究者は説明します。デバイスが侵害されると、攻撃者は保存された資格情報、秘密鍵、交換認証トークンに完全にアクセスできるようになります。暗号通貨ユーザーにとっては、マルチシグウォレットの設定、スクリーンショットでキャプチャされたリカバリーフレーズ、取引活動のリアルタイム監視などの情報が漏洩する可能性があります。

暗号通貨保有が不釣り合いにリスクにさらされる理由

2025年前半、暗号通貨セクターは大きなセキュリティ危機を経験し、脅威アクターや詐欺的運営者がユーザーアカウントから22億ドル以上を不正に引き出しました。これは、デジタル資産の盗難が取り返しのつかない結果をもたらす厳しい現実を再認識させるものです。従来の金融機関では不正取引を取り消し、資金を回復できますが、ブロックチェーンの取引は一度確定すると永久的で回復不能です。

暗号通貨の保有は、特に高度な脅威アクターにとって魅力的なターゲットとなっています。ユーザーは通常、モバイルウォレットや取引所アプリに大量の残高を保持しており、経済的なインセンティブが高度な攻撃技術を正当化します。また、分散型資産は、従来の銀行システムで利用可能なアカウント回復メカニズムを欠いています。

影響を受けるデバイスとパッチ適用のタイムライン

この脆弱性は、多くのインストール済みデバイスに影響します：

• XSモデル以降のiPhone（2018年リリース以降のモデル）
• iPad Pro、iPad Air、最新世代の標準iPad
• macOS Sequoia、Sonoma、Venturaを搭載したMacコンピュータ

Appleは、iOS 18.6.2、iPadOS 18.6.2、および対応するmacOSリリースを通じて修正を配布しました。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、2025年9月11日までにすべての連邦機関に対してパッチの展開を義務付けており、政府のセキュリティ評価によると、この脅威の深刻さが示されています。

暗号通貨ユーザー向けの即時セキュリティ対策

セキュリティの専門家は、優先的な対応フレームワークを推奨します：

緊急優先事項： 自動インストールを待たずに、直ちにパッチを適用してください。iOSの場合は設定 > 一般 > ソフトウェアアップデート、またはmacOSの場合はシステム設定に進み、手動でインストールを開始します。

検証と評価： パフォーマンス低下、予期しないネットワーク接続、ローカル取引記録と比較したウォレット残高の不一致など、侵害の兆候を監視します。非技術的なユーザーにとって完全な評価は難しいため、行動の異常はさらなる調査を必要とします。

資産の移動： デバイスの侵害を疑うユーザーは、別の未侵害のハードウェアを使用して新たに生成したウォレットに暗号通貨を移動すべきです。これは、潜在的に侵害されたシステムに接続されていない隔離されたデバイス上で新しい鍵を生成する必要があります。

アカウントの強化： メールやクラウドストレージアカウントのパスワードをリセットしてください。これらは、取引所のパスワードリセットやアカウント乗っ取りのリカバリーベクターとなる可能性があります。サービス提供者がサポートする場合は、ハードウェアセキュリティキーを有効にしてください。

現在のOSバージョンに対応できないデバイスは脆弱なままであり、暗号通貨の保管から退避させるべきです。

歴史的背景：ImageIOの繰り返される脆弱性

この事件は、2023年の攻撃パターンを彷彿とさせます。NSOグループは、ImageIOフレームワークの脆弱性を悪用し、BLASTPASSと呼ばれるキャンペーンでPegasus監視ソフトウェアをiMessage経由の悪意のある画像を通じて配信しました。この攻撃もユーザーの操作を全く必要とせず、高価値の個人を対象に国家レベルのリソースを投入して行われました。同じシステムコンポーネントの繰り返しの悪用は、Appleの画像処理セキュリティモデルに継続的な設計上の弱点が存在することを示唆しています。

脅威の進化する状況

CVE-2025-43300は、セキュリティ意識の高いユーザーであっても、ソーシャルエンジニアリングやユーザーミスを必要としないゼロクリックエクスプロイトの脅威にさらされることを示しています。この事件は、多層的な資産セキュリティ戦略の必要性を強調しています：定期的なデバイスのアップデート、大きな保有資産に対するハードウェアウォレットの導入、資金の地理的分散、そして単一のデバイスやプラットフォームだけでは完全なセキュリティ保証は得られないことの認識です。

今後も、暗号通貨ユーザーは類似のゼロデイ脆弱性の発見と悪用が続くことを予期し、デバイスのアップデートサイクルや多様なストレージアーキテクチャに対して警戒を怠らない必要があります。