毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2023年7月、MetaMaskセキュリティチームはDeFi Security SummitにてDeFiインシデントをカタログ化するSTIX 2.1標準規格「Menpo」を発表しました。一方、Gal WeizmanはLavaMoatのscuttlingとSnowがサプライチェーンセキュリティを強化する仕組みについて、X上での3部構成シリーズを完結させました。また、LavaMoatはScorchWrap webpackプラグインとEIP-4361への取り組みを進展させました。脅威面では、今月のレポートでは、トークン承認を悪用した豚の屠殺（shāz hū pán）詐欺や偽マイニング詐欺、エアドロップされたガストークンを使った新たな偽承認詐欺、そして暗号資産・セキュリティ開発者を標的にnpmマルウェアを拡散させるLazarus Groupのソーシャルエンジニアリングキャンペーンが明らかになりました。詳細は以下の通りですが、まずは…
Josephine Jueは、NASAの数学者・航空宇宙技術者であり、「隠れた人物たち」の一人として記憶されています。NASAの有人宇宙船センターでプログラマーとして働いた最初のアジア系アメリカ人女性の一人であり、アポロ計画を支えるソフトウェアの開発に貢献しました。彼女が初期のミッションクリティカルなソフトウェアに求めた精度と信頼性は、今日の信頼できるシステムが依然として依拠する基準と同じものです。
DeFi Security Summit 2023にて、Herman JungeがMenpoを発表しました。これはMetaMaskセキュリティチームがSTIX 2.1を用いてDeFiインシデントのカタログ化を標準化するために構築しているプロジェクトです。Jungeが発案したこのイニシアチブは、セキュリティアナリストや研究者間の組織横断的な協力を促進し、共有された脅威インテリジェンスの基盤を充実させることを目的としています。
前月のブログの続きとして、Gal Weizmanは3部構成のXシリーズを完結させました。このシリーズでは、LavaMoatのscuttlingとSnowがMetaMaskのサプライチェーンセキュリティを強化する仕組み、そして他のアプリにも同様の効果をもたらせることを解説しています。scuttlingはアプリのwindowオブジェクトを注入されたコードからほぼ使用不能にし、ブラウザベースの攻撃における一般的な侵入経路を塞ぎます。
ScorchWrap webpackプラグインは、@lavamoat/aaを使用して依存関係内のパッケージを特定し、インポート時にポリシーを適用するようになりました。ただし、bufferやcryptoなどのwebpackエミュレートビルトインについては引き続き対応が必要です。チームはContent Security Policyの推奨事項を用いてSnowをサポートしようと試みましたが、iframe srcdocにおけるCSPは期待外れであることが判明しました。次のステップとして、セキュリティ向上のためにテキスト文字列入力を受け付けるDOM APIの制限が挙げられています。LavaMoatはEIP-4361におけるより明示的なスキーム処理に関する議論に貢献し、オリジン検証アルゴリズムを提案しました。また、EndoのexitModulesフックのマージも完了しました。別途、ZibiはDefConのAppSec VillageにてDefensive Codingワークショップを主導しています。
悪意ある行為者が投資リターンを約束して被害者に偽りの安心感を与える長期詐欺が増加しています。これらの手口は、ロマンス的な要素を伴うことが多く、中国で生まれたもので、shāz hū pán（豚の屠殺）と呼ばれています。これは、加害者が「屠殺」の前にターゲットを「太らせる」ことに由来します。MetaMask SecurityのTaylor Monahanは、Duneダッシュボードをまとめました。彼女の言葉を借りれば、「ブロックチェーンから直接取得したハードデータと、人々が自分の言葉で語るストーリーを通じて、これらの詐欺の規模を捉えようとするもの」であり、「これらの詐欺師は、いかなる正規の暗号資産組織よりも多くの人々を暗号資産にオンボーディングしている。すべては彼らのお金を盗むために」と指摘しています。
Joel WillmoreによるConsensysのブログ記事「偽『マイニング』詐欺：新たな偽装をまとった旧来の脅威」では、USDT承認マイニングおよび流動性マイニング詐欺の仕組み、見分け方、そしてトークン承認を理解・保護することで安全を保つ方法を解説しています。また、詐欺を追跡するHarry DenleyによるDuneダッシュボードも掲載されています。より簡潔な概要については、MetaMaskが偽マイニングバウチャー詐欺に関するサポート記事も公開しています。
Revoke.cashは、エアドロップされた「ガストークン」を利用した新たな偽承認詐欺を取り上げました。この詐欺では、ユーザーに不審な承認が存在し取り消しが必要だと思わせます。詐欺師は偽トークンに、取り消しトランザクション中に大量のガストークンをミントするようプログラムし、それを攻撃者に送って売却させます。ウォレットのポップアップには高額な手数料が表示されるだけで、資金がウォレットから出ていく様子は表示されないため、盗難に気づきにくい仕組みになっています。これを受けてRevoke.cashは、ガス代が過剰な場合に承認の取り消しを無効にするチェックを追加し、非常に高いガス代を伴う予期しないトランザクションは無視することを推奨しています。
Socketによると、Lazarus Groupは暗号資産およびサイバーセキュリティ分野の開発者を標的とした高度なソーシャルエンジニアリングキャンペーンを展開し、侵害されたアカウントとマルウェアを含むnpmパッケージを使用しました。このレポートでは、攻撃チェーンの仕組み、防御策、および既知の悪意あるnpmパッケージの一覧が説明されています。
ImmunefiはWeb3における最も一般的な脆弱性トップ10のまとめを公開しました。安全で堅牢なコントラクトを構築するために、開発者や監査者が注意すべきスマートコントラクトの脆弱性を網羅しています。
Taylor Monahanは、Web3ウォレット使用時に資金を安全に保つための実践的なヒントを共有しました。ハードウェアウォレットの使用、シークレットリカバリーフレーズを紙に保管するというローテクなベストプラクティス、そして資金の保管場所を分散させることが挙げられています。
Chainalysisは暗号資産犯罪の中間アップデートを公開し、標的型ランサムウェアが増加傾向にある一方で、暗号資産関連犯罪が全体的に約65%減少したと報告しました。
MetaMaskの2023年7月暗号資産セキュリティレポートでは、トークン承認を悪用した豚の屠殺詐欺や偽マイニング詐欺、エアドロップされたガストークンを使った新たな偽承認詐欺、そして暗号資産・セキュリティ開発者を標的にnpmマルウェアを拡散させるLazarus Groupのソーシャルエンジニアリングキャンペーンについて詳しく取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
