フロリダ州ノース・ラウダーデール出身の21歳のZyarie Wilkinsが、ValveのSteamプラットフォームで配布された8本のビデオゲームの中に暗号資産窃取マルウェアを埋め込む計画に資金提供した疑いで、FBIに逮捕された。検察側によると、この仕組みは約8,000台の端末に感染し、2024年5月から2026年2月の間に、約80のウォレットから少なくとも22万ドル（220,000ドル）分の暗号資産を引き出したという。この事件は、初回承認後のソフトウェア更新の審査において、デジタル配信プラットフォームに脆弱性があることを示している。悪意のあるペイロードは、Steamの審査プロセスを回避するポストローンチ（リリース後）の更新を通じて導入されたためだ。
リリース後のゲームアップデートを通じて稼働したマルウェア
感染したタイトルには、BlockBlasters、Dashverse、Lunara、PirateFi、Chemia、Lampy、DashFPS、Tokenovaが含まれていた。8本はいずれもSteamの初期審査を通過し、リリース時には正当なものに見えていた。悪意のあるペイロードは、その後のリリース後アップデートによって導入された。この一連の流れにより、プラットフォームの最初の審査を完全にすり抜けることができた。Steamは2026年初めに、8本すべてのゲームを削除した。
マルウェアはインフォスティーラーとして機能した。ゲーム中に、保存済みのパスワード、アクティブなセッション・トークン、暗号資産ウォレットの認証情報を、こっそりと収集した。作戦は価値の高い被害者を積極的に狙っていた。連邦の告訴状によれば、ボットは残高が大きいウォレットを特定し、Discord、Telegram、X、LinkedInでダイレクトメッセージを送って標的を感染したダウンロードへ誘導したという。
Uber Eatsのギフトカード購入が容疑者特定につながる
捜査当局は、当該計画のウォレットから盗まれたBitcoinを、Bitrefillというギフトカードサービス経由で購入された150枚超のギフトカードまで追跡した。大半のカードはUber Eatsの注文に使われた。WPLG Local 10が報じた告訴状によると、Uberへの召喚状で、これらのギフトカードがWilkinsの家族の自宅住所への配送と、University of West Floridaにおける彼の住所への配送が紐づいたアカウントに関連づけられていた。
オンライン上で「Sibel.eth」という別名を使っていたWilkinsは、自らマルウェアを開発したわけではない。検察側は、彼がリモートアクセス型トロイの木馬に10,000ドルを支払い、起訴されていないリードデベロッパーと協業していたと述べている。連邦捜査官はWilkinsの自宅を捜索し、MacBook、携帯電話、3つの暗号資産ウォレットのシードフレーズ（Moneroウォレット用のものを含む）を押収した。告訴状によれば、取引履歴からは、暗号資産が彼のウォレットを通じて約382,000ドル分流出していたことが示されていたという。
Wilkinsはシアトルの連邦共謀罪で起訴
逮捕は、FBIが進めている悪意のあるSteamタイトルに関するより広範な捜査に結びつく初めての容疑だ。FBIは2026年3月、この捜査の開始にあたり、被害者を探し始めたことを、同庁のシアトル支局が明らかにした。BlockBlastersだけで、ZachXBTのブロックチェーン研究者と、マルウェアのリポジトリvx-undergroundによれば、261人から478人の被害者の間で15万ドル超を得ていた。被害者の1人であるTwitch配信者RastalandTVは、2025年9月に約32,000ドルを失った。これは視聴者ががん治療のために寄付していた資金だった。
Wilkinsは、私的な経済的利益のためにコンピュータを通じて情報を取得する共謀について起訴されており、最高刑は10年。法廷での出廷は7月15日に行われた。共謀者は告訴状では名前が明かされておらず、捜査は継続中だ。この事件は、ValveのSteamオーナーであるValveの本社があるワシントン州ベルビュー近郊のシアトルで訴追されている。Valveはこの件について公的な声明を出しておらず、FBIはシアトル支局を通じて追加の被害者を引き続き探している。
FAQ
FBIは、Steamマルウェア計画におけるZyarie Wilkinsを容疑者としてどう特定したのですか？
捜査当局は、盗まれたBitcoinを、Bitrefill経由で購入された150枚超のギフトカードまで追跡した。その大半はUber Eatsの注文に使われた。WPLG Local 10が報じた連邦の告訴状によれば、Uberへの召喚状で、それらのギフトカードが、Wilkinsの家族の自宅への配送と、University of West Floridaにおける彼の住所への配送を伴うアカウントに結び付けられていた。
暗号資産の窃盗作戦に関連して、Zyarie Wilkinsにはどのような罪が問われていますか？
Wilkinsは、私的な経済的利益のためにコンピュータを通じて情報を取得する共謀で起訴されており、最高刑は10年。法廷での出廷は7月15日で、事件はValveの本社近くのシアトルで訴追されている。
