暗号資産セキュリティレポート：2022年8月

毎月、MetaMaskセキュリティチームは最新の暗号資産攻撃と、知っておくべき新たなリスクについてレポートを発行しています。

2022年8月は、EndoプロジェクトがそのCompartment MapperでLavaMoatスタイルのポリシー適用を実証し、Snowツールが複数の脆弱性にパッチを当てながらSESロックダウン統合の検討を進め、MetaMaskのHackerOneバグバウンティプログラムが開始から最初の2ヶ月間で5件の解決済み問題に対して22,000ドルを支払いました。脅威面では、フィッシング集団がEthereumの迫りくるMergeをめぐる混乱に乗じ、Infuraなどのトラステッドエンティティになりすましたメールをばらまき、実在しない「ETH 2.0」への変換を促しました。また、詐欺エコノミー全体も勢いを増しており、2022年には推定64,661件の新たなハニーポットトークンが登場し、2021年比で83%増となりました。詳細は以下のとおりですが、まずは…

注目のSTEMパイオニア：ビザンチン耐障害性理論とLaTeXの生みの親、Leslie Lamport

Leslie Lamportが1982年に発表した論文「ビザンチン将軍問題（The Byzantine Generals' Problem）」は、一部のノードが悪意ある行動をとる可能性がある分散ノード間でコンセンサスを達成するという課題を形式化しました。これはまさに、ブロックチェーンネットワークを保護するためにプルーフ・オブ・ステークおよびプルーフ・オブ・ワークのプロトコルが解決している問題です。彼のPaxosコンセンサスアルゴリズムは現代の分散システムの基盤となっており、また科学出版全般で使用されている文書作成システムLaTeXも彼が生み出しました。Lamportは2013年にACMチューリング賞を受賞しています。

EthereumのMergeを悪用したフィッシングキャンペーン、偽のETH 2.0変換詐欺でトラステッドエンティティになりすます

2022年8月、詐欺師たちはEthereumのMergeネットワークアップグレード（2022年9月15日完了）をめぐる混乱と不安を悪用したフィッシングキャンペーンを強化しました。Infuraなどのトラステッドエンティティになりすました巧妙なメールが出回り、ユーザーに「ETHをETH 2.0に変換する」よう促しましたが、ETH 2.0は実在しないトークンです。Mergeはイーサリアムをプルーフ・オブ・ワークからプルーフ・オブ・ステークへ移行させるものであり、ユーザーによるアクション（トークンスワップ、新しいウォレットの作成、ETHの移行など）は一切不要でした。Mergeの直前、Consensysは誤情報に対抗するための誤解を解くコンテンツを公開しました。MetaMaskのようなEVM互換のセルフカストディアルウォレットにETHを保有していたユーザーは、Mergeネットワークアップグレード後に何らかのアクションを取る必要はありませんでした。

暗号資産ハニーポット詐欺、スマートコントラクトの隠れた制限で購入者の資金を罠にかける

Consensysはハニーポット詐欺の仕組みに関するガイドを公開し、攻撃者が収益性の高い取引機会を提供しているように見せかけながら、実際には購入者が売却できないよう隠れたコードを含むスマートコントラクトを展開する手口を解説しました。このコントラクトは購入を許可してトークン価格を吊り上げる一方、デプロイヤーのアドレス以外からの売却トランザクションをすべてブロックする隠れた制限が設けられています。主な危険信号としては、売却履歴のないトークン、未検証のコントラクトソースコード、単一ウォレットの流動性プールなどが挙げられます。

EndoのCompartment Mapper、概念実証でLavaMoatスタイルのポリシー適用を実証

Endoプロジェクトは、LavaMoatスタイルのセキュリティポリシーをCompartment Mapperに統合する概念実証を完了しました。この実験では、グローバル変数の選択的な付与と依存関係への制御されたアクセスが実証され、ポリシーはロード時またはアーカイブ作成時に定義され、Compartment Mapperに組み込まれ、リンクフェーズ中に適用されました。今後の作業としては、パッケージ識別子の改善、ポリシーグローバルにおけるネストされたプロパティのサポート、付与された関数に対するこれらの値のラッピングとアンラッピング、および組み込みの権限縮小（attenuation）に関するさらなる実験が計画されています。

Snow、複数の脆弱性にパッチを当てSESロックダウン統合を検討

Snowは、Webアプリケーション内で作成されたすべてのiframeおよびウィンドウに対して再帰的なセキュリティポリシーを適用するLavaMoatツールですが、テストと攻撃検証のラウンドが実施されました。複数の脆弱性が特定されてパッチが適用され、そのうちの1件はSnowの内部セキュリティアーキテクチャに大きな改善をもたらしました。この修正により、Secure ECMAScriptの堅牢化関数であるSES lockdown()を統合し、レルムベースの攻撃に対するSnowの防御をさらに強化する可能性が開かれました。LavaMoatはまた、ツール全体のドキュメント更新にも着手しました。

HackerOneバグバウンティ、開始から2ヶ月で5件の解決済み問題に22,000ドルを授与

HackerOne上のバグバウンティプログラムは2022年6月13日に開始され、最初の2ヶ月間で171件のレポートを受け取りました。平均初回応答時間は5時間でした。5件の問題が解決され（High 1件、Medium 3件、Low 1件）、レポーターに22,000ドルが授与されました。これらの問題における平均修復時間（MTTR）は44.4日でした。対象アセットにはMetaMask Extension（MetaMask/metamask-extension）とMetaMask Mobile（MetaMask/metamask-mobile）が含まれていました。

解決済みバグバウンティ問題（最初の2ヶ月間）：

MetaMaskの2022年8月暗号資産セキュリティレポートでは、偽のETH 2.0変換詐欺でトラステッドエンティティになりすましたEthereum Mergeフィッシングキャンペーン、2022年に推定64,661件の新たなハニーポットトークンが展開された暗号資産ハニーポット詐欺の仕組み、そしてEndoのCompartment MapperへのLavaMoatスタイルのポリシー適用の概念実証統合を取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。