Apex Acceleratorを名乗る団体の遠隔操作ソフト導入要求の疑い
- カテゴリ
- なりすまし・詐欺
Cybleによると、TOKEN2049の関連イベント「Don't Get Played」の参加者の1人が、主催者にコンピューターを遠隔操作させるソフトの導入を迫られたとして、シンガポール警察に申告した［5］。Elastic Security Labsは、Web3アクセラレーターを装う「Apex Accelerator」が悪性のnpmパッケージを公開し、TOKEN2049に姿を見せて信用を築こうとしたと報告した［2］。
報告の内容
警察への申告の内容
Cybleは、ネット上で出回っている文書が、シンガポール警察の6ページの報告の2ページ目だと記した［5］。様式はNP299で、参照番号はE/20261011/7004である［5］。申告書の題は、TOKEN2049の参加者を狙ったサイバー詐欺の疑い（「Don't Get Played」のイベント）だった［5］。
申告書の要旨では、「Apex Accelerator」「Stone Venture」「Don't Get Played」の名を使う団体が、TOKEN2049 weekの暗号資産の安全対策のイベントを宣伝した［5］。日時は2026年10月11日18時〜22時、会場はThe Singapore EDITIONとあった〔注1〕［5］。
申告者はソフトをインストールしておらず、金銭的な損失も無いと書いた［5］。団体のウェブサイトとしては、token.apexaccs[.]orgを挙げた［5］。イベントのTelegramのグループには公開のURLが無く、グループにはウェブサイトを経由してしか入れなかったとも記した［5］。
イベントの宣伝と登録ページ
Cybleは、イベントがトークン詐欺から身を守る助けになる安全対策の集まりとして宣伝されたと説明した［5］。予定には、「Apex Audit」のツールで保有資産を確かめる「wallet clinic」が入っていた［5］。ツールは、トークンのリスクとハニーポットを調べる検査ツールという触れ込みだった［5］。
Cybleが載せた登録ページの画像（出所はDefraudのX投稿と表示）では、題が「Don't Get Played – Token2049 Security Room」で、参加は無料だが登録を要した［5］。定員は200人で、主催の欄には「Apex」と「Stone Venture」の名があった［5］。内容には、今日の詐欺の手口を扱うパネル、無料のセキュリティツールの公開、参加者全員への1年分の保護、交流とバーが並んでいた［5］。
登録ページの文面では、イベントで公開するのは「Apex Audit」で、ClaudeとChatGPTに直接つなぐ18の無料のセキュリティツールである［5］。一度インストールすれば自分のものになるとの記載もあった［5］。
Cybleによると、宣伝資料には暗号資産詐欺の変化を扱うパネルもあり、登壇者としてSpartan Group、Bybitのセキュリティチーム、Singapore Police Force Cyber Commandの代表が挙がっていた［5］。確認済みの参加者全員には、Sophos MDRのエンドポイント保護1年分の無償提供と、最大100万ドルの侵害補償が約束された［5］。Cybleは、これらの組織が申し立ての行為に関わったことを示すものは資料に無いと記した［5］。
アクセラレーターを装う活動
Elasticが活動を見つけた手掛かりは、npmパッケージ@apexacc/cliだった［2］。@apexacc/cliは公開されたときから悪性で、サプライチェーンの侵害ではなかった［2］。同じ攻撃者はその後、新たなキャンペーンで別の悪性のパッケージ@apexacc/auditを公開した［2］。
Elasticの報告では、活動は数か月かけて公の存在感を築き、暗号資産のスタートアップと創業者に、無料のAIクレジットとコーディングツール、セキュリティ監査を持ちかけた［2］。主な事業は「Apex Arena」を名乗り、ウェブサイトには、ポートフォリオのプロジェクトが200超、調達した資金が1億2,400万ドル超とある［2］。団体は専用の招待ページで対面のイベントも宣伝し、正当に見せようとした［2］。
Elasticは、団体が過去に主催したほかの対面イベントも信用づくりに使い、多くの人が集まる会議に現れて正当性を装うと説明した［2］。招待ページの画像には、偽のWeb3アクセラレーターが正当性を装うために使ったTOKEN2049 Singaporeのイベント掲載という説明を付けた［2］。観測値の一覧では、token.apexaccs[.]orgが対面イベントの招待サイト、apexaccs[.]orgがApex Acceleratorのホームページである［2］。
Elasticによると、ツールはmacOSとWindowsの端末に情報窃取マルウェアとバックドアを配った［2］。キャンペーンが配るのは、macOS向けがCloudSyncD、Windows向けがTelegram経由でデータを持ち出す独自の情報窃取マルウェアである［2］。
Elasticは、活動が正規のコーディングエージェントを再パッケージし、モデルへの要求を攻撃者の管理するサービス経由で送らせていたとした［2］。ブートストラップは、OPENROUTER_BASE_URLをarena.apexaccs[.]orgに書き換え、攻撃者のMCPサーバーをエージェントの設定に登録する［2］。@apexacc/auditの18のツールは、すべて捏造した結果を返す［2］。別の試験では、@apexacc/cliの遠隔の採点サービスが架空のプロジェクトに51/100を返し、AIの採点機能は使えないと伝えた［2］。
時系列
根拠と範囲
TOKEN2049のFAQでは、TOKEN2049 Week Singaporeは本会議の周りで独立して主催されるミートアップ・ワークショップ・サミット・交流の飲み会・スポーツ・パーティーの広いプログラムである［13］。期間中には1,000を超える関連イベントが開かれる［13］。
Jamf Threat Labsが先に報告した別の事例では、CloudSyncDは偽のZoomのインストーラに仕込まれたmacOSのドロッパーとして見つかった［14］。Jamfが初めてCloudSyncDに遭遇したのは9月15日だった［14］。
申し立ての出所と広がり
Cybleは、申告書の画像をSolanaFloorのX投稿から転載し、題と要旨を引用した［5］。記事の根拠は警察への申告とXの投稿を含む10月13日までの公開情報で、主張を独自に検証したものではないとした［5］。
Cybleによると、申し立てはまずXで広まり、ほかの複数の利用者も、同じ団体からソフトのインストールやサブスクリプションの購入を持ちかけられた、または迫られたと述べた［5］。申告をしたのは自分だと述べたXのアカウントは、インストーラの中身とするスキャンを公開した［5］。
運営者の手掛かりと先行の報告
Elasticは、@apexacc/cliが、SafeDepが以前に報告した活動と同じ公開者に結び付いていたとした［2］。過去のコミットには数件のロシア語のコメントがあったが、Elasticは言語の痕跡だけでは国籍や行為者の帰属は決まらないと述べた［2］。
SafeDepの報告では、@apexfdn/apexは7月5日以降に34版が公開された［3］。npmのセキュリティチームは、元のドロッパーであるこのパッケージを削除し、悪性のコードを含んでいたと明記した0.0.1-securityの版に置き換えた［3］。運営者は約11時間後に、同じドロッパーを@copilot-mcp/apexとして再公開した［3］。
SafeDepは追記で、npmが@copilot-mcp/apexも削除し、レジストリは「Not found」を返すと記した［3］。GitHubの組織、2つのリポジトリ、ダウンロード用のバイナリ、apex-arena-router[.]comの指令サーバーは、追記を書いたときも稼働して応答していた［3］。
SafeDepのキャンペーンのページでは、運営者は「Apex Foundation」「Apex Arena」を名乗り、GitHubの組織はApex-Foundation、ドメインはapexfdn[.]xyzだった［4］。Web3と暗号資産の創業者を狙い、npmのpostinstallのドロッパーとホストしたリモートのMCPのエンドポイントを通じて、macOSのAMOS/Atomic-Stealer系の情報窃取マルウェアを配った［4］。同じ運営者のSNSには、Telegramの@apex_accelerator、Xの@AcceleratorApex、Mediumの@ApexAcceleratorなどがある［4］。
The Hacker Newsの10月19日の記事によると、@apexacc/cliと@apexacc/auditはnpmの利用者「apexaccelerator」が公開し、GitHubのアカウント「apexaccs」と、Apex Foundationと称する主体に結び付いていた［12］。Xの投稿では、このアクセラレーターが暗号資産のウォレットやトレーダー向けの市場情報ツールの開発者に直接の投資を持ちかけ、デューデリジェンスのツールとして@apexacc/cliの実行を指示した［12］。
The Hacker Newsは、Internet Archiveの3月19日以降の保存版で、ウェブサイトにApex Foundationが23万5,000ドルの投資・助成・提携を提供するとの記載があったと報じた［12］。Socketが記録した資料として、Apex Foundationが4月以降、少なくともapexaccs[.]orgとapexfdn[.]xyzの2つのドメインに結び付いていたことも伝えた［12］。Socketは、@apexacc/cli、@apexacc/audit、@apexfdn/copilot-mcpの各パッケージの解析ページを掲載した［6、7、8］。
関係者の対応
Elasticは、会議の主催者に活動を通知し、報告の公開前に要約を渡したと記した［2］。ClaudeとChatGPT向けの偽のWeb3セキュリティ監査ツールとしてApex Auditを宣伝した、Lumaのイベント掲載の画像も載せた［2］。この掲載は、プラットフォームの利用規約に違反したとして削除されたとした［2］。
Elasticがリンクしたイベントのページで、Lumaは利用規約に違反したとしてイベントを停止したと表示している［1］。
The Hacker Newsは、@apexacc/cliと@apexacc/auditのパッケージと、関連するGitHubのリポジトリは既にアクセスできないと報じた［12］。
未公表の事項
- インストールを求められたソフトの名前と、Elasticが報告したnpmパッケージとの関係（Journal du Coinは、ソフトの名前は分かっていないと報じた［10］）
- 対象になった参加者の人数と、金銭の被害の有無（Cybleは、資料が対象の人数と損失の有無を示していないと記した［5］）
- シンガポール警察による申告の確認と捜査の状況（Journal du Coinは、10月13日までに警察がこの件を公に発表しておらず、公表された資料に起訴の記載も無いと報じた［10］）
- 主催団体の正体と、「Apex Accelerator」「Stone Venture」の説明（Journal du Coinは、両者が公に回答していないと報じた［10］）
- TOKEN2049の運営の見解
注
- 〔注1〕Cybleが載せた登録ページの画像では、日時は10月6日18時〜22時（SGT）、場所は「Central Singapore」で、住所は登録後に知らせるとあった［5］。
出典
関係組織
- ［1］Luma『Event Suspended · Luma』（公開日不明、2026年10月31日閲覧）
調査・観測
- ［2］Elastic N.V.『Auditing the auditor: Unmasking Apex Accelerator』（2026年10月12日公開）
- ［3］SafeDep, Inc.『@copilot-mcp/apex: A macOS Infostealer Re-Published on npm After Takedown』（2026年7月22日公開）
- ［4］SafeDep, Inc.『Apex Foundation — Campaign — SafeDep Threat Intelligence』（公開日不明、2026年10月31日閲覧）
- ［5］Cyble Inc.『“Don’t Get Played”: TOKEN2049 Security Event Faces Remote-Access Scam Allegations』（2026年10月13日公開）
- ［6］Socket, Inc.『@apexacc/cli』（公開日不明、保存記録のみ） 保存記録
- ［7］Socket, Inc.『@apexacc/audit』（公開日不明、保存記録のみ） 保存記録
- ［8］Socket, Inc.『@apexfdn/copilot-mcp』（公開日不明、保存記録のみ） 保存記録
報道機関
- ［9］SolanaFloorのXアカウント（@SolanaFloor）『2026年10月12日の投稿』（2026年10月12日公開、保存記録のみ） 保存記録
- ［10］RDL CONSULTING FZCO『Arnaque TOKEN2049 : un faux atelier crypto visé par la police』（2026年10月13日公開）
- ［11］N.Avenue株式会社『「遠隔操作ソフト導入迫られた」──TOKEN2049関連イベントで参加者が警察に申告』（2026年10月14日公開）
- ［12］The Hacker News『Fake Web3 Accelerator Uses npm Packages to Spread Malware and Hijack AI Agent Traffic』（2026年10月19日公開）
背景資料
- ［13］TOKEN2049『FAQs | TOKEN2049 | 6-7 October 2027 | Singapore』（公開日不明、2026年10月31日閲覧）
- ［14］Jamf Software, LLC『CloudSyncD: macOS backdoor hidden in a fake Zoom installer』（2026年9月30日公開）