Trust Wallet偽サイト詐欺iOS被害―CZ警告と日本企業が今すぐ取るべき対策

CZが警告した「Trust Wallet偽サイト」の実態

2026年11月5日、Binance共同創業者のChangpeng Zhao（CZ）がX（旧Twitter）に投稿し、偽のTrust Walletサイトへの注意喚起を行った。元の発見はセキュリティ研究者Anurag（Xアカウント: Malwarehunter）によるもので、CZが同投稿をリポストする形で広く拡散した（crypto.news、chaincatcher.com）。

問題のドメインは trastwallet[.]cam。正規サービスのドメインから「u」を1文字除き、トップレベルドメインも .com から .cam へ変更した典型的なタイポスクワッティング手法だ。視覚的な差異が極めて小さく、URLを慎重に確認しなければ本物と区別がつかない（crypto.news、coinotag.com）。

さらに同日、iOS 18.5環境のTrust Walletユーザーを狙ったとされる攻撃で約110万ドル（2026年11月時点の為替レートで約1億6,000万円相当）の被害が生じたという報告も浮上した（crypto.news、coinspectator.com）。ただしこの報告と上記の偽サイト案件が同一インシデントであるかどうかは現時点で確認されていない。iOS更新が推奨されているが、被害規模・経路の詳細は依然として限定的な情報にとどまる。

ほかにも同じような被害が出ていないかは、日本・世界の主なAIハッキング被害一覧で解説しています。

関連記事AIハッキングによる情報漏洩の被害事例まとめ

偽サイトの技術的手口―なぜ被害が生まれるか

今回確認された偽サイトは、単なる見た目の模倣にとどまらず、実際の資産奪取に向けた機能を内包していた点が深刻だ。

crypto.newsおよびtechflowpost.comの報告によれば、同偽サイトのコードはTrust Wallet・Phantom・OKX Walletの3種のウォレットへの接続に対応していた。「送金レビュー」と称してウォレット接続を誘導し、ウォレット残高のスキャンと攻撃者が管理するアドレスへの送金準備が機能として組み込まれていた。発見時点ではトランザクション署名が無効化されており、即時の資産流出は確認されていない。しかしコードが既に存在する以上、将来的な有効化の可能性は排除できない。

以下の図は、今回の攻撃フローを構造的に示したものだ。

この構造が示すのは、「まだ実害が出ていないから安全」という判断が危険だという事実だ。インフラはすでに整備されており、攻撃者が任意のタイミングで署名機能を有効化できる状態に置かれていた。なお、フィッシングサイトの検出にはURLやページ構造の異常パターンを識別する機械学習の応用が進んでいる。

日本の企業・担当者にとっての意味とリスク

国内でも暗号資産を事業目的で保有・運用する企業は増加傾向にある。Web3事業への参入、NFT・トークンを活用したマーケティング施策、あるいは従業員が業務上ウォレットを操作する場面も生じている。こうした環境において、今回の事案は対岸の火事ではない。

特に注意すべき点を以下の比較表で整理する。

確認項目	偽サイト（trastwallet[.]cam）	正規サイト（Trust Wallet）
ドメイン	trastwallet[.]cam（「u」欠落・拡張子.cam）	trustwallet.com
ウォレット接続要求	「送金レビュー」名目で誘導	公式アプリ内のみで実施
対応ウォレット（コード上）	Trust Wallet・Phantom・OKX Walletを内包	該当なし
残高操作機能	スキャン＋攻撃者アドレスへの送金準備あり	該当なし
トランザクション署名	発見時は無効化済み（有効化の可能性排除できず）	ユーザーの明示的操作のみ

日本企業にとってのリスクは主に3点ある。第一に、URLの1文字違いを見落とすリスクは英語ネイティブではない環境でいっそう高まる可能性がある。日本語UIに慣れたユーザーがドメインを注意深く読み取る習慣を持っていない場合、誘導成功率は上がると考えられる。第二に、企業が業務で使用するウォレットに複数名がアクセスする運用体制では、一人のアクセスミスが組織全体の資産に影響しうる。第三に、iOSを業務端末として使用している企業においては、iOS 18.5環境での攻撃被害が報告されているという事実を受け、OS更新の確認が求められる状況にある。

一方で過度な懸念も不要だ。今回の偽サイトはすでに発見・公開されており、セキュリティコミュニティによって監視下に置かれている。近年はディープラーニングを用いたフィッシングサイト検出技術の研究も進んでおり、その仕組みについてはディープラーニングの応用で概観できる。冷静な判断に基づく運用見直しが実質的な対策となる。

今すぐ実施すべき確認と対策

経営・IT責任者が今週中に確認すべき事項を具体的に示す。

ブックマークと公式アプリの一元管理。業務でTrust Walletや類似ウォレットを使用している場合、URLは毎回入力するのではなく公式アプリまたは事前に正規URLを確認してブックマーク登録したものを使用する。検索エンジン経由でのアクセスは広告枠に偽サイトが表示されるリスクがあるため推奨しない。

iOSバージョンの即時確認。iOS 18.5環境での攻撃被害が報告されている以上（crypto.news）、業務端末のiOSバージョンを確認し、最新アップデートを適用することが当面の優先事項となる。MDM（モバイルデバイス管理）を導入している組織では一括確認が可能だ。

ウォレット接続要求への組織ルール策定。「送金レビュー」「本人確認」「セキュリティ更新」を名目としたウォレット接続要求は詐欺の典型的な文言だ。これらの要求を受けた場合は必ずセキュリティ担当者に確認してから応じる、という社内ルールを明文化する。

シードフレーズ・秘密鍵の管理見直し。フィッシング被害の多くはシードフレーズの入力誘導によって完結する。フィッシングサイトを含む第三者プラットフォームに対してシードフレーズを入力・貼り付けしないというルールは、業務上ウォレットを扱うすべての担当者に周知する。

複数ウォレットへの波及リスクの認識。今回の偽サイトはTrust Walletだけでなく、PhantomおよびOKX Walletへの接続コードも内包していた（crypto.news、techflowpost.com）。同様の手口が他のウォレットサービスにも転用されうるという前提で、使用中のすべてのウォレットの接続先URLを再確認することを推奨する。

---

今回の事案が示す本質的な教訓は、暗号資産セキュリティの脅威が「大口投資家向け」の問題ではなくなっているという点にある。タイポスクワッティングと機能的なフィッシングコードを組み合わせた手口は、技術的に高度でなくとも効果的に機能しうる。日本企業における暗号資産・Web3の業務活用が広がるにつれ、URLの1文字、OSのバージョン、接続先の確認という基本的なチェックが資産保全の最初の防衛線となる。

参考文献

• crypto.news — CZ warns of fake Trust Wallet site, $1.1M iOS exploit claim surfaces（https://crypto.news）
• chaincatcher.com — CZ警告関連報道（https://chaincatcher.com）
• coinotag.com — trastwallet[.]cam ドメイン分析（https://coinotag.com）
• techflowpost.com — 偽サイトのコード内包ウォレット一覧（https://techflowpost.com）
• coinspectator.com — iOS 18.5攻撃被害報告（https://coinspectator.com）