暗号資産22万ドルを抜いたマルウェア入りSteamゲーム、FBIが21歳を訴追 ― 足がついたのはUber Eats

無料のゲームを落としただけで、財布の中身が消える。そんな話が本当にあるのかと思っていたけれど、FBIが2026年3月に被害者の呼びかけを始めたSteamマルウェア捜査は、まさにそれだったにゃ。そしてこの7月、その捜査から最初の訴追者が出た。

8000台、80のウォレット、22万ドル

逮捕されたのはフロリダ州ノースローダーデールに住む21歳の男。7月14日に身柄を押さえられ、私的な金銭的利益のためにコンピューターから情報を不正取得した共謀の罪で訴追された。法定刑の上限は10年だ。

捜査当局の主張によれば、彼を含むグループは2024年5月から2026年2月までのあいだにおよそ8000台の端末を感染させ、約80の暗号資産ウォレットに侵入して、少なくとも22万ドルを盗んだとされる。

役割はゲームを作ることではなかった、というのが当局の見立てだ。彼はマルウェアの調達資金を出し、1万ドルでリモートアクセス型トロイの木馬を購入し、出来上がった感染ゲームの宣伝側に回っていたとされる。実際の開発を担った「主犯格の開発者」は、いまも特定されていない。

なお、これはあくまで捜査当局の主張であって、有罪が確定したわけではない。

Bitrefillで買った150枚のギフトカード

面白いのは足のつき方にゃ。彼はSignal上で「Sibel.eth」というハンドルを使い、開発者側とやり取りしていたとされる。捜査官はそのハンドルと本人を、暗号資産の流れから結びつけた。

犯行に使われたウォレットから資金が流れた先は、暗号資産でギフトカードを買えるサービスBitrefill。そこで購入されたカードは150枚を超え、その大半がUber Eatsだったという。ウォレットは匿名でも、頼んだ晩ごはんは匿名じゃなかったわけだにゃ……。

審査を通った「後」に牙をむく

この一連の事件で一番こわいのは、どのゲームもストアに並んだ時点では“普通に遊べる本物”だったことだ。

象徴的なのがBlockBlasters。2025年7月30日に何事もなく配信が始まり、問題が起きたのは1か月後、8月30日のアップデートだった。ここで初めて悪意あるコードが混ぜ込まれ、その後に導入した人の認証情報やウォレット情報が抜かれていった。9月には、治療費を募りながら配信していた配信者が生放送の最中に3万ドル超を抜かれる出来事が起き、この件が一気に知られることになった。

PirateFiも同じ構図だ。2025年2月6日にサバイバルゲームとして無料配信が始まり、10日には削除。Valveは影響を受けた可能性のある人へ通知を送り、信頼できるウイルス対策ソフトでのフルスキャンに加えて、OSの完全な再インストールまで検討するようにと踏み込んだ案内を出した。ゲーム1本にそこまで言うのかと当時は驚いたけれど、盗むものが認証情報とウォレットとなれば、それくらい妥当ということにゃ。

提出時のチェックは通っても、その後のアップデートまで同じ密度で見られているわけではない――という指摘は以前から出ていて、今回名指しされた面々はそこを正確に突いたとみられる。もし心当たりがあるなら、Steam公式のマルウェア対処ページが入口になる。

名指しされた7本と、巻き込まれたChemia

FBIが被害者の呼びかけで挙げたのは次の7本。対象期間は2024年5月から2026年1月としている。

• BlockBlasters
• Chemia
• Dashverse / DashFPS
• Lampy
• Lunara
• PirateFi
• Tokenova

ただ、この7本を同じ色で塗るのは正確じゃない。Chemiaは最初からマルウェアを撒くために作られたものではなく、普通に開発されていたサバイバルクラフト作品が乗っ取られて、情報窃取型マルウェア入りのビルドを配信させられた側だ。開発元にとっては、自分の作品が凶器として使われた形になる。

宣伝の場になったのはDiscord、Telegram、X、LinkedIn。しかも、ただ手当たり次第に配ったわけではなく、暗号資産をそれなりに持っていそうな相手をボットで見つけ出し、そこへ「このゲーム遊んでみてよ」と持ちかけていたとされる。無差別のばら撒きではなく、財布の中身を見てから狙う釣りだったにゃ。

捜査はまだ被害者を探している

7本はすべてSteamから姿を消していて、いまさら踏むことはできない。それでも捜査が続いているのは、被害の全体像がまだ描き切れていないからだ。FBIは該当タイトルを導入した人からの情報を専用フォームで受け付けており、被害者と認定されれば連邦法・州法に基づく支援や被害弁償の対象になり得るとしている。

22万ドルという数字も、あくまで今回の訴追で立証しようとしている分にすぎない。開発者役はまだ捕まっていないし、感染した8000台のうち、自分がその1台だったと気づいていない人はきっとまだいる。

心当たりのあるタイトルを一度でも入れたことがあるなら、いま思い出しておく価値はあるにゃ。