毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年4月、ZachXBT、MetaMaskのTaylor Monahan、そして他の研究者たちが、北朝鮮のLazarus Groupによる2億ドルのマネーロンダリングに関する調査を共有しました。また、MetaMaskのSecurity LabはW3CにSnow.jsのプロポーザルを提出し、ESモジュール向けのLavaMoatのポリシー生成をアップグレードしました。一方、Gal Weizmanは機密データを安全に表示するための新ツール「LavaDome」について詳しく説明しました。さらに、Security Allianceが無料の暗号資産ネイティブISACを立ち上げました。詳細は以下の通りですが、まず最初に…
Fazlur Rahman Khan（1929〜1982年）は、バングラデシュ系アメリカ人の構造エンジニア兼建築家であり、コンピューター支援設計の先駆者の一人です。高層ビルにおける「チューブラーデザインの父」とも呼ばれ、その構造システムによって効率的な超高層ビルの新時代が実現しました。ウィリス（シアーズ）タワーやジョン・ハンコック・センターもその代表例です。巨大なストレスに耐え続ける構造物を設計するという挑戦は、セキュリティエンジニアリングが取り組む課題と本質的に同じです。あらゆる圧力に抗して持ちこたえるものを作り上げること——それが共通のテーマです。
MetaMaskのSecurity Labは、インキュベーションのためのプロポーザルをW3Cに提出しました。これは、LavaMoatを介さずにユーザー側でSnow.jsを提供できるようにする基本機能を導入するものです。ブラウザに直接組み込むことでバイパスをほぼ不可能にし、「same origin concern（同一オリジン問題）」への対処における重要なステップとなります。また、チームはwebpackプラグインと新しいEndoベースのツールの両方で、従来のrequireシステムを超えたimport/export構文に対応するため、ECMAScriptモジュール（ESM）をサポートするポリシー生成にアップグレードしました。さらに、次のリリースではLavaMoat webpackプラグインに組み込みモジュールを使ったtarget: 'node'のサポートが追加される予定です。MetaMask Mobile（iOS版）ではLockdownが正式にリリースされ、より広いエコシステムへのLavaMoatオンボーディングを円滑にするため、ドキュメントや教育動画の改善も進めています。
Webアプリケーション内のコードへの信頼が揺らぐ中、Same Origin Policyのような従来の保護策は内部脅威に対してますます不十分になっています。MetaMaskはこの課題に対応するため、LavaDomeを開発しました。これは、XSSやサプライチェーン攻撃による悪意あるコードからの窃取を防ぎながら、機密情報をDOMに安全に表示するための実験的なツールです。Gal Weizmanが述べているように、LavaDomeはPIN、シークレットリカバリーフレーズ、秘密鍵、その他の個人データといった機密情報を、ほぼゼロの統合コストでDOMに安全にレンダリングできます。
自己消滅型メッセージサービス「Privnote」の偽サイトを運営するサイバー犯罪者が、MetaMaskを訴えると脅したことで、自らの活動規模を意図せず露呈してしまいました。発端は、GitHubユーザーが自分のサイト「privnote.co」がMetaMaskのフィッシングブロックリストに誤って追加されたと苦情を申し立て、法的措置を取ると脅したことです。しかし実際に訴訟を起こすよう迫られると動揺し、自分が管理する他のドメイン——privnode.com、privnate.com、prevnóte.comなど——を次々と口にしてしまい、ネットワーク全体が明らかになりました。
Taylor Monahanがこのミスを指摘し、Brian Krebsが詳細を報告したように、これらのサイトは見た目も機能も本物のPrivnoteに酷似していますが、決定的な違いが一つあります。暗号資産アドレスを含むメッセージは自動的に書き換えられ、正規の支払いアドレスが詐欺師のものに差し替えられます。しかもメモは自己消滅するため、この改ざんは気づかれにくいのです。これは非常に儲かる手口でもあります。3月のわずか5日間で、これらのフィッシングサイトの一つだけで、4つの詐欺アドレスが約18,000ドル相当の暗号資産を動かしました。
ZachXBTは、MetaMask SecurityのTaylor Monahanや他の研究者の協力を得て、Lazarus Groupが2020年から2023年にかけて25件以上の暗号資産ハッキングから2億ドルをミキサーや中央集権型取引所を通じて法定通貨にロンダリングした経緯を、トランザクションの痕跡を辿ることで明らかにしました。
2020年から2023年にかけて、北朝鮮との関与が疑われる悪名高いLazarus Groupは、推定2億ドルをロンダリングしました。 ZachXBTは、MetaMask SecurityのTaylor Monahanや他の研究者と共同で、ミキサーや中央集権型取引所を経由したLazarusのトランザクションの痕跡を調査し、同グループに帰属する25件以上のハッキングを追跡した調査結果を公開しました。
Security Allianceは、オープンソースの暗号資産向けに構築された無料の情報共有・分析センター（ISAC）を立ち上げました。このISACは中央集権型・分散型の両エンティティをサポートしています。samczsunが指摘したように、前年の立ち上げ以来5,000万ドル以上の回収を支援してきたSEAL 911イニシアチブは、取引所・取引プラットフォーム、ブロックチェーンプロジェクト、ウォレット・ストレージプロバイダー、マイニングプール・インフラプロバイダー、ブロックチェーン専門のサイバーセキュリティ企業・研究者、規制・コンプライアンス専門家など、関係者からの参加申請を募っています。
Bernhard MuellerはAngel Drainerの詳細な分析を公開しました。Angel Drainerは現在稼働中の最も悪名高いドレイナーサービスの一つです。このサービスはBlockaidの検出を回避する方法を宣伝していますが、MetaMaskでデフォルト有効化されているBlockaid機能は依然としてトランザクションを不正として検知し、攻撃を完全に阻止します。
LastPassユーザーが、メール・SMS・音声通話を組み合わせてマスターパスワードを盗む高度なフィッシングキャンペーンの標的にされました。攻撃者は、多要素認証（MFA）を回避できる暗号資産アカウント向けのフィッシング・アズ・ア・サービスキット「CryptoChameleon」を使用し、ユーザーに「新しいデバイスからLastPassアカウントにアクセスがあった」と信じ込ませ、認証情報を詐取するフィッシングサイトへ誘導しました。LastPassはこのキャンペーンに対処しましたが、これは前年に開示された重大な侵害を含む、このパスワードマネージャーへの一連の攻撃の一部です。対策はシンプルです。サービスプロバイダーを名乗る連絡には直接返信せず、公式サイトやサポート窓口を通じて確認すること、そして情報の共有・リンクのクリック・添付ファイルのダウンロードを求める不審で緊急性を装ったリクエストには十分注意してください。
Googleは、Google Play Storeに87件の不正な暗号資産アプリを配布したとして、開発者のYunfeng SunとHongnam Cheungを提訴しました。被害を受けたユーザーは10万人以上にのぼり、うち8,700人が米国内のユーザーです。ニューヨーク南部地区連邦裁判所に提起されたこの訴訟では、アプリが暗号資産投資の約束でユーザーを引き寄せ、その後、架空の利益を出金しようとすると手数料を課して罠にはめる手口が詳述されています。これらのアプリは正規の取引プラットフォームを装い、繰り返し名称やネットワークインフラを変えることで削除を回避していました。いわゆる「豚の屠殺（pig butchering）」型の詐欺スキームは、アプリの正当性をレビューやSNSのフィードバックで調査・確認することの重要性を改めて示しています。うまい話には必ず裏があると肝に銘じておきましょう。
約2,000件のWordPressサイトがハッキングされ、偽のNFTや割引のポップアップが表示されるようになりました。訪問者がウォレットを接続すると、暗号資産ドレイナーに繋がる仕組みになっています。このキャンペーンは当初、広告やYouTubeを通じてドレイナーを拡散し、その後管理者パスワードへのブルートフォース攻撃に移行。現在はdynamic-linx[.]comから配信される悪意あるスクリプトにウォレットを接続させる偽のNFTオファーを表示しています。ウォレットは信頼できるプラットフォームにのみ接続し、まとまった資産はハードウェアウォレットで管理し、日常使いのウォレットには最小限の資産のみ保有し、リスクレベルに応じて異なるアカウントを使い分けることをお勧めします。
MetaMaskの2024年4月暗号資産セキュリティレポートでは、Lazarus Groupによる2億ドルのマネーロンダリングに関するZachXBTの調査、Security Allianceによる無料の暗号資産ネイティブISACの立ち上げ、そしてLastPassユーザーを標的に多要素認証を回避したCryptoChameleonフィッシングキャンペーンを取り上げました。エコシステム全体で安全を保つための脅威情報、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもぜひご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
