JINX-0164は偽の会議リンクを介して暗号通貨開発者のマシンを乗っ取る

JINX-0164として知られるハッカー集団が、LinkedInを通じて暗号通貨開発者に接触し、偽の会議に招待して、彼らのマシンを独自開発のmacOSマルウェアに感染させている。.

このマルウェアはログインdent情報を盗み出し、開発者がソフトウェアの構築とデプロイに使用するパイプラインを乗っ取ります。クラウドセキュリティ企業のWizは、2026年5月27日に調査結果を発表しました。.

偽の会議リンクが開発者のマシンにAUDIOFIXマルウェアをドロップする

Wizのdent 対応チームは、このグループが少なくとも2025年半ばまで遡る攻撃に関与していると断定した。.

攻撃者は、正規のプロフィールに見せかけたLinkedInのプロフィールを使って開発者に接触し、ビジネス上の電話を提案し、Microsoft Teamsや同様のビデオ会議ツールに似せた偽のウェブサイトへのリンクを送信する。.

AUDIOFIXはmacOSウイルスで、被害者が会議のURLだと思ってクリックした際に、密かにインストールを開始します。IntelおよびApple Silicon搭載Macで動作し、偽のAppleサイトに保存されたスクリプトを介して配信されます。このウイルスは再起動後も動作を継続するように設定され、システムオーディオコンポーネントを装い、HTTPS経由で攻撃者と通信します。.

いったんマシンに侵入すると、macOSキーチェーンに保存されているパスワード、ブラウザのdent情報、SSHキー、AWS、GCP、Azureのクラウドアクセストークン、暗号通貨ウォレットのデータが収集されます。さらに、Wizは攻撃者が直接パスワードをフィッシングで入手し、暗号化されたファイルに保存していたことを発見しました。.

JINX-0164は、内部コードリポジトリや開発インフラストラクチャを標的とするという点で、他の情報窃盗マルウェアとは異なります。.

2026年初頭の事例研究で、Wizは攻撃者が盗んだGitHubトークンを使って、tracというオープンソースツールでCI/CDパイプラインから機密情報を nord-stream。その後、攻撃者はAUDIOFIXマルウェアを内部リポジトリに注入し、Gitコミットメタデータを偽造して正規の開発者になりすまし、悪意のあるコードをメインブランチにプッシュしたり、既存のブランチを乗っ取ったりした。

汚染されたリポジトリからプルしてビルドした他の開発者も、maticに感染してしまった。組織自身の開発ワークフローが感染経路となってしまったのだ。検証済みのGPG署名がないコミットに警告を発するGitHubのVigilant Modeが、少なくとも1件のケースでこのなりすましを検知した。.

このグループは、公開されているnpmパッケージに対するサプライチェーン攻撃も実行したことが確認されています。2026年4月7日、JINX-0164は@velora-dex/sdkのバージョン4.9.1をトロイの木馬化し、base64エンコードされたコマンドを注入して、MINIRATをデプロイするリモートスクリプトを取得および実行しました。MINIRATは、永続性とリモートコマンド実行に特化した軽量なGoベースのバックドアです。.

攻撃者は仮想通貨開発者の cash とコードを標的にしている

AUDIOFIXとMINIRATは、datahub[.]ink、cloud-sync[.]online、byte-io[.]usといったコマンド＆コントロールドメインを共有している。 攻撃者は 、自身の実際の所在地を隠すために、Mullvad VPN、Astrill VPN、ExpressVPNを経由して活動を行っている。

Wizは、北朝鮮の脅威クラスターであるUNC1069とSapphire Sleetとの戦術的な類似点を発見したが、インフラ面での直接的な重複は見つからなかった。彼らはJINX-0164を、金銭目的の独自の脅威アクターと呼んでいる。.

5月、ハッカーは公式のMistral AI Pythonライブラリを含む170以上のnpmおよびPyPIパッケージを侵害した。この攻撃により、暗号通貨およびAI開発者が所有するGitHubトークンとクラウドdent情報が漏洩した。また、これは有効なSLSAビルドレベル3の出所証明を持つ悪意のあるパッケージが発見された最初の事例であり、ビルドの整合性を検証するための暗号学的信頼モデルを破る結果となった。.

暗号通貨やAI開発者へのハッキングは、通常 cash や貴重なコードの入手につながります。暗号通貨関連ラボや企業は、サイバーセキュリティ対策を強化し、CI/CDパイプラインにおける不正アクセスや悪意のある活動がないかを確認する必要があります。GitHubでの不正な操作、署名が検証されていないコミット、不審なVPN接続はすべて警告サインです。LinkedIn経由で送られてきた会議に参加した開発者は、コンピュータをウイルススキャンする必要があります。.

最も賢い暗号通貨マインドを持つ人々はすでに私たちのニュースレターを読んでいます。参加してみませんか？ぜひ ご参加ください。