AI 購物代理商 ORO は 7 月 21 日に X プラットフォームで公表し、同社が疑似的に朝鮮のハッカーから攻撃を受けた疑いがあると伝えました。7 月 13 日に 14.7 万枚の Alpha トークンを損失し、その価値は約 63 万ドルでした。攻撃者は ORO の従業員の正規の連絡先である Telegram のアカウントを侵害し、偽の会議リンクを送って従業員をだまし、悪意のある拡張プログラムをインストールさせました。データを約 1 か月間収集した後に盗み出したとのことです。
攻撃手法：偽の Microsoft Teams リンク、悪意のある拡張プログラム、そして約 1 か月間のデータ収集
ORO が公表した事後分析報告によると、今回の攻撃の完全な流れは次のとおりです：
2025 年 2 月：ORO の従業員が業界の会議である人物と知り合い、両者は Telegram 上で正常なコミュニケーション関係を構築した
2026 年 5 月：疑いのあるハッカーに侵害された Telegram アカウントが ORO の従業員に対して自ら連絡し、ビデオ通話を誘った
2026 年 5 月から 7 月まで：ORO の従業員は、Microsoft Teams を装ったリンクを通じて通話に参加しようとしたが、音声が出なかった。通話後、コンピューターには「Microsoft Teams を更新」と表示され、従業員が受け入れた後、悪意のある拡張プログラムをインストールした。同拡張プログラムはキーボード入力、クリップボード履歴、画面スクリーンショットを取得し、さらに暗号ウォレットのアドレスを改ざんできる。攻撃者は静かに約 1 か月間データを収集した
2026 年 7 月 13 日：攻撃者が ORO の暗号ウォレットから 14.7 万枚の Alpha トークン（約 63 万ドル）を盗み取った
ORO が安全上の不備を認める：Bittensor のハードウェアウォレット対応不足によりソフトウェアウォレットの鍵が盗まれた
ORO は声明で、同社が Bittensor プロトコルに対するハードウェアウォレットの幅広い対応不足という問題に適応するため、「一時的に」所有者の鍵をハードウェアウォレットではなくソフトウェアウォレットに設定し、会社のハードウェアウォレット優先の社内安全原則に従わなかったことを認めました。
声明の原文は次のとおりです：「まさにこの理由で、侵害された 1 台の機器からデータが盗み出されました。これは許しがたいことであり、私たちの過ちです。」ORO は、ハードウェアウォレット上の検証者署名鍵は「一度も漏えいしていない」、サブネットは完全に正常に稼働しており、ほかのウォレットやユーザーデータには影響がなかったと強調しています。
Sapphire Sleet の攻撃者帰属：IP アドレス、有効なペイロード、そして Microsoft の脅威インテリジェンスの裏付け
ORO は、3 つの技術指標により「非常に高い確信」をもって今回の攻撃が朝鮮国家の支援を受けるハッカー組織 Sapphire Sleet によるものだと述べています。侵害された端末が送信したビーコンが指し示す IP アドレス、照合された悪意のあるペイロード、そして Microsoft の脅威インテリジェンス部門がこれまで記録していたインフラの重複です。
Microsoft の脅威インテリジェンス報告では、Sapphire Sleet は Teams テーマを使ったソーシャルエンジニアリング攻撃が得意で、macOS を標的としていること、さらに偽のソフトウェア更新を装ってユーザーに悪意のあるファイルを手動で実行させ、macOS に内蔵されたセキュリティ機構を回避していることが示されています。
よくある質問
ORO の Alpha トークンが盗まれた件は、他のユーザーの資産に影響しましたか？
ORO の公式声明によると、今回の攻撃は会社の特定のソフトウェアウォレットのみに影響した（臨時設定によりハードウェアウォレットを使用していなかったため）とのことです。その他のウォレット、ユーザーデータ、サブネットのデータ、ならびにハードウェアウォレット上の検証者署名鍵は影響を受けていません。ORO は、自社のサブネットは現在完全に正常に稼働していると述べています。
ORO はなぜ今回の攻撃が Sapphire Sleet だと考えたのですか？
ORO は事後分析報告の中で、侵害された端末が発出したビーコンの IP アドレス、照合された悪意のあるペイロード、ならびに Microsoft の脅威インテリジェンス部門がこれまで記録していたインフラの重複に基づき、攻撃者が Sapphire Sleet のメンバーであることに「非常に高い確信」を持っていると述べています。Sapphire Sleet は朝鮮国家の支援を受けるハッカー組織です。
今回の ORO 攻撃事案における、ORO 自身のセキュリティ上の責任は何ですか？
ORO は、Bittensor プロトコルがハードウェアウォレットを十分にサポートしていないため、同社は「一時的に」社内の安全原則に違反し、所有者の鍵をハードウェアウォレットではなくソフトウェアウォレットに設定したことで、鍵がコンピューターに侵入された後に盗まれたことを認めました。ORO は声明の中でこれを「許しがたい誤り」とし、正式に謝罪したとしています。
