暗号資産セキュリティレポート：2023年4月

毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについて報告します。

今月は、OpenSeaおよびBlockaidと共同で新しいトランザクションセキュリティ機能を立ち上げ、すでに4,000件以上の危険なトランザクションをブロックしました。また、Venom Drainerと呼ばれるサービス型詐欺（scam-as-a-service）が約15,000人から2,700万ドルを盗み、研究者のTaylor MonahanとHarry Denleyが、長年の暗号資産ユーザーを狙う別の資金流出キャンペーンの調査を開始しました。さらに、Etherscanはアドレスポイズニング詐欺を抑制するための設定変更を行いました。詳細は以下の通りですが、まず最初に…

注目のSTEMの先駆者：電磁気学と電気化学の先駆者、マイケル・ファラデー

マイケル・ファラデー（1791〜1867年）は、ほぼ独学で学んだイギリスの科学者で、その実験は電磁誘導を含む電磁気学と電気化学の基礎を築きました。電気分解に関する彼の法則は今もその名を冠しています。仮定よりも慎重で再現可能な実験を重視する姿勢は、健全なセキュリティ研究が依拠する「証拠優先」の精神と同じものです。

EndoがimportHookの名称変更とモバイル向けBigInt・SES互換性に取り組む

EndoのexitModuleImportHookはimportHookに名称変更され、compartment-mapperへのマージを待っています。SES 0.18.3以降には、以前に言及されたReact Native Android JSCにおける非標準のAsyncGeneratorおよびAsyncFunctionPrototypeの修正が含まれています。チームはMetaMask Mobileライブラリとのビッグ整数（BigInt）互換性の調査も完了し、最善の方針を検討しました。big-integerシムはまだ@ethereumjs/utilを完全にサポートしておらず、react-native-v8は完全互換ですがパフォーマンスに問題があり、HermesはBigIntの実装を提供しているものの他の互換性の問題があり、SESが必要とする「with」文をサポートしていません。React Native 0.71.6上のSES 0.18.3以降で発生している様々なTypeErrorの調査が進み、チームはMetaMask Mobileのロックダウンに近づいています。このモバイルバージョンは0.66.5からアップグレード中で、React Native 0.72.0-rc1も含まれています。

LavaMoatのScorchWrapプラグインが実際の依存関係をバンドル化し、Yarn Berryサポートも開始

LavaMoatチームは2023年4月にReact Native London meetupとNode Congress Berlinに参加し、Zbigniew Tenerowiczによる講演の動画が翌月公開される予定です。以前のセキュアバンドリングのアプローチは機能していましたが、その制限が顕著であったため、チームはローダーからプラグインへと移行し、各モジュールをラップするためのバンドリングプロセスにおいてより適切な段階を見つけました。ScorchWrapというコードネームのプラグインのプルーフオブコンセプトは、コードの種類（CommonJS、ESM、またはビルド済みTypeScript）に関わらず、実際の依存関係を持つ基本的なバンドルを作成できます。他のプラグインとの互換性や大規模テストに向けてはさらなる作業が必要です。チームはまた、SESとHermesの互換性に関する初期調査を開始し、@lavamoat/allow-scriptsのYarn Berry（3以降）サポートを開始し、React Nativeの新アーキテクチャとそのロックダウンに関するプレゼンテーションも進行中です。

MetaMask・OpenSea・Blockaidが4,000件以上の危険なトランザクションをブロックするトランザクションセキュリティ機能を提供開始

2023年4月、私たちはOpenSeaおよびBlockaidと協力し、ユーザーが承認する前に既知の詐欺を検出する実験的なオプトイン型のトランザクションセキュリティ機能を立ち上げ、すでに4,000件以上の危険なトランザクションをブロックしました。OpenSeaが詐欺ブロックリストを提供し、Blockaidがリアルタイムで悪意のある動作を分析しており、さらなるセキュリティ強化も進行中です。

Gal WeizmanがSnyk AdvisorにStored XSSを発見（CVE-2023-1767）

MetaMask SecurityのGal Weizmanは、「CVE-2023-1767 — Snyk AdvisorサービスのStored XSSによりnpmパッケージのヘルススコアを完全に偽造可能」という記事で調査内容を詳述しました。彼が要約したように、Snyk AdvisorのStored XSSを利用することで、自分が管理するパッケージに付与されるヘルススコアを偽造し、「悪意のある」パッケージを健全で人気があり正規のものに見せかけることができました。攻撃者はこれを利用して、他のユーザーに実際の悪意あるnpmパッケージをインストールさせることができた可能性があります。

Venom DrainerがMonkey Drainerに取って代わり、約15,000人の被害者から2,700万ドルを流出

Monkey Drainerは過去のものとなりましたが、Venom Drainerがほぼ一夜にしてその後継となりました。2023年4月初旬のScam Snifferのレポートによると、サービス型詐欺のVenom Drainerは約15,000人の被害者から2,700万ドルを流出させ、上位5人の被害者だけで1,400万ドルを失いました。被害は約170のブランドを標的とした約530のフィッシングサイトにわたっています。

マルチチェーンのdrainerキャンペーンが長年の暗号資産ユーザーを標的に

月の中旬、MetaMask SecurityのTaylor MonahanとHarry Denleyは、暗号資産エコシステムで長年活動してきた人々、その多くが個人のセキュリティに精通したユーザーを標的とするマルチチェーン攻撃を発見し、大規模な調査を開始しました。関連するSecret Recovery Phraseは2014年から2022年の間に作成された鍵を管理しており、調査は現在も継続中です。Monahanは「2022年12月以降、11以上のチェーンにわたって5,000ETH以上とトークン・NFT・コインが流出しています。合理的なセキュリティ対策を講じていた友人やOGたちも被害を受けています。誰も原因がわかりません」と述べています。

Etherscanがアドレスポイズニング対策としてゼロ値転送を非表示に

CoinDeskは「Etherscanが潜在的な詐欺を除外するためにブロックチェーンエクスプローラーの設定を変更」と報じました。このエクスプローラーはデフォルトでゼロ値のトークン転送表示を非表示にするようになりました。これはアドレスポイズニングを防ぐための設定で、攻撃者がほぼ無価値なトークンをウォレットに送りつけ、ユーザーが後で詐欺アドレスに資金を送ってしまうよう誘導する手口を防ぎます。

偽のUniswap「ハック」フィッシングがユーザーを偽のRevoke.cashに誘導

詐欺師たちは#UniswapHackと#UniswapExploitのハッシュタグをボットでトレンドに乗せ、その偽の「ハック」を利用してユーザーをRevoke.cashの偽サイトへ誘導しました。2023年4月15日、Hayden AdamsとEvan Van Nessが指摘したように、Uniswapはハッキングされておらず、ユーザーに冷静を保ち、パニックで行動しないよう呼びかけました。

Google検索広告フィッシングで400万ドルが盗まれる

Scam Snifferのレポートは、400万ドルの被害をもたらしたGoogle検索広告フィッシングを記録しています。Google検索広告フィッシングとは、詐欺師が実際の暗号資産ブランドを模倣したスポンサー付き検索結果に費用を払い、ユーザーをウォレットの認証情報や資金を盗む偽サイトへ誘導する詐欺です。これらの詐欺は繰り返し発生する脅威ですので、URLを必ず確認し、可能な限りブックマークを活用し、スポンサー付き検索結果はスキップし、広告ブロッカーの導入も検討してください。

MetaMaskの2023年4月暗号資産セキュリティレポートでは、MetaMask・OpenSea・Blockaidによる実験的なトランザクションセキュリティ機能の立ち上げ、約15,000人の被害者から2,700万ドルを盗んだサービス型詐欺Venom Drainer、そして長年の暗号資産ユーザーを標的とするマルチチェーンdrainerキャンペーンの継続調査について取り上げました。エコシステム全体での安全を守るための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。