毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについて報告します。
2024年2月は、MetaMaskのセキュリティアップデートが目白押しの月となりました。Blockaidを活用したセキュリティアラートが複数のEthereumネットワークでデフォルトで有効化され、サプライチェーン攻撃から保護するオープンソースのLavaMoatツールキットに高度なLavaDomeの防御機能が追加されました。エコシステム全体では、SEAL 911と新しいWhitehat Safe Harbor Agreementを擁するSecurity Alliance（SEAL）が公式にローンチされました。脅威の面では、ドレイナーがMicroStrategyのXアカウントを乗っ取り、44万ドルのフィッシング詐欺を行い、研究者たちは2022年のLastPass侵害に関連するさらなる620万ドルの盗難を特定しました。詳細は以下の通りですが、まずは…
グランビル・T・ウッズ（1856〜1910年）は、約60件の特許を持つ多産なアメリカ人発明家・電気技術者で、最も有名な発明は同期多重鉄道電信機（Synchronous Multiplex Railway Telegraph）です。これは走行中の列車と駅間の通信を可能にした誘導電信機で、鉄道の安全性を飛躍的に向上させました。「黒いエジソン」とも呼ばれるウッズは、信頼性の高い通信そのものが安全機構となるシステムを構築しました。これは今日の安全で信頼できるインフラを支える原則と同じです。
MetaMaskはBlockaidを活用したセキュリティアラートをウォレットに統合し、複数のEthereum Virtual Machine（EVM）ネットワークで自動的に有効化しました。これにより、悪意のあるトランザクションの増加という問題に対処しています。新しいセキュリティアラートは、2023年に急増した暗号資産フィッシング攻撃から数百万人のMetaMaskユーザーを追加保護します。Blockaidを活用したアラートは、詐欺からユーザーを守るためのツールの一つとして、基本的なセキュリティ習慣と組み合わせることで最大の効果を発揮します。悪意のあるトランザクションに対する実質的な防御層を追加し、セキュリティSnapsと組み合わせることで、MetaMaskがネイティブに表示しないトランザクションの詳細も確認できます。ただし、自動化ツールはソーシャルエンジニアリングを防ぐことはできないため、基本が最も重要です。未検証のソフトウェアをインストールしない、DMでのカスタマーサポートを装った詐欺師に注意する、魅力的すぎるオンラインのペルソナには懐疑的になる、そして秘密鍵やSecret Recovery Phraseをいかなるウェブサイトやオンラインの人物とも共有しないことが大切です。
セルフカストディとは、第三者に預けるのではなく、自分自身で鍵を管理することを選択することであり、資産のセキュリティを自分の手に委ねることを意味します。その責任は現実のものです。MetaMaskウォレットの作成に従来必要だった12単語のSecret Recovery Phraseは、秘密を保ちながら安全に保管することが難しい場合があります。そのため、MetaMaskはセルフカストディを維持しながらアカウントを管理できる方法を拡充しています。Account Management Snapsが導入され、これらのソリューションを構築するチームがMetaMaskユーザーに提供するためのパーミッションレスな手段が整いました。2024年2月には、開発者が独自のアカウント管理の概念を実装できるよう、MetaMask ExtensionにKeyring APIが追加されました。ユーザーは実験的なベータ版として最初の3つのSnaps、Silent Shard、Safeheron、Capsuleを試すことができ、フィードバックページからご意見をお寄せください。
LavaDomeは、サプライチェーンセキュリティのためのLavaMoatツールボックスに追加された最新の実験的ツールです。Shadow DOM Web APIを使用することで、ユーザーと信頼されたコードとのみやり取りを許可し、信頼されていないJavaScriptやCSSによるアクセス試行をブロックするフロントエンド専用コンポーネントを実装できます。目的は多層防御です。他のすべての保護が突破された場合でも、LavaMoatで保護されたアプリに表示される最も重要なコンテンツを守ることを目指しています。
暗号資産エコシステム全体の安全性向上を目指すサイバーセキュリティコミュニティの共同取り組みであるSecurity Alliance（SEAL）が、2024年2月14日に公式ローンチされました。それ以前から、SEAL 911（主要なセキュリティ専門家が対応する迅速対応ヘルプデスク）やSEAL Drills（攻撃シミュレーショントレーニング）などの取り組みを静かに主導していました。SEALはまた、Whitehat Safe Harbor Agreementも発表しました。これは、進行中の公開セキュリティインシデントに介入する倫理的ハッカーやMaximal Extractable Value（MEV）ボットのためのフレームワークで、攻撃が進行中であり、回収された資金が指定された場所にリダイレクトされることを条件に、エクスプロイトへの先制的な対処を許可するものです。SEALの共同創設者であるsamczsunが発表したように、このグループは公式デビューの約1年半前からこれらのセキュリティイニシアチブに非公開で取り組んでいました。
MicroStrategyの公式Xアカウントが2024年2月26日にハッキングされ、偽のEthereumベースのMSTRトークンのエアドロップを宣伝するために使用されました。PeckShieldがユーザーにフィッシングリンクを警告しました。この事件により約44万ドルの資金が盗まれ、その大部分は1人の被害者からのものと報告されています。攻撃者は資金を移動させ始めましたが、自身のアドレスには約19万5,000ドル相当のEthereumを残しました。執筆時点でドレイナーの身元は特定されていませんが、多くの研究者がPink Drainerによるものと見ています。
以前のVitalik ButerinのXアカウントのハッキングと同様に、信頼できるソーシャルメディアアカウントでも侵害される可能性があります。リンクをクリックしたりトランザクションに署名したりする前に必ず立ち止まり、多額の資金はハードウェアウォレットに保管し、リスクレベルに応じて異なる種類のアカウントとウォレットを使い分けることを常に心がけてください。
LastPass攻撃に関連する最新の被害では、2024年2月19日から20日にかけて22人以上の被害者が合計620万ドルを失い、盗まれた資金はEVMネットワークからBitcoinへと素早く移動されました。追跡と帰属の特定を支援するため、ZachXBTとTaylor Monahanは攻撃者が使用したオンチェーンアドレスをChainabuseレポートに記録しました。この公開記録は盗まれた資金を保有するウォレットにフラグを立て、取引所、ウォレット、その他のサービスが監視、凍結、またはブロックできるようにし、被害者候補が攻撃者のアカウントとやり取りする前に警告を発することを可能にします。
LastPassの最初の侵害以来、Secret Recovery PhraseをLastPassに保存していたプロトコル創設者、投資家、開発者、ユーザーなどのコミュニティメンバーが1,000万ドル以上を失っています。2022年12月のハッキング以前にLastPassを使用していた方は、保存されている鍵が危険にさらされている可能性があると考え、残高を新しいウォレットに移し、多額の資金は安全なオフラインストレージのために検証済みのハードウェアウォレットに移動することをお勧めします。
MetaMaskの2024年2月暗号資産セキュリティレポートでは、複数のネットワークでデフォルトとなったBlockaidを活用したセキュリティアラート、Account Management SnapsとKeyring APIのローンチ、Security Alliance（SEAL）の公式発表、44万ドルのMicroStrategy Xアカウントハッキング、そして継続するLastPass関連の620万ドルの盗難について取り上げました。エコシステム全体での脅威、トレンド、安全を保つためのヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
