毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年7月、MetaMaskのHackerOneバグバウンティプログラムがHackerOneの創設者たちから高い評価を受けました。また、Security LabのZbigniew TenerowiczとGal Weizmanが、LavaMoat、LavaDome、DOMアイソレーションをx33fcon、BlueHatIL、OWASPで発表しました。さらに、MetaMaskのRealms Initialization Controlプロポーザルがインキュベーション段階に入りました。脅威の面では、WazirXがマルチシグのエクスプロイトにより2億3,000万ドル以上を失い、Squarespaceの脆弱性が業界全体でドメインの乗っ取りを可能にし、Ethereum.orgのメーリングリストへの侵害により35,000人のユーザーがドレイニング攻撃にさらされ、FBIが増加する暗号資産求人詐欺について警告を発しました。詳細は以下をご覧ください。その前に…
César Milstein（1927〜2002年）は、モノクローナル抗体を産生する技術を開発した功績により、1984年のノーベル生理学・医学賞を共同受賞したアルゼンチン出身の生化学者です。抗体は免疫系の精密なツールであり、特定の脅威を認識して無力化するよう設計されています。Milsteinの研究により、大規模かつ安定的な抗体産生が可能になりました。標的を絞った再現性のある脅威検出というこの考え方は、まさに現代のセキュリティツールが目指すものです。
MetaMaskのバグバウンティプログラムが、HackerOneの両創設者であるJobert AbmaとMichiel Prinsから称賛を受けました。これは、新しいポリシーの改善を迅速に採用したことによるものです。具体的には、MetaMaskのすべての資産にわたってインパクトに基づいてレポートに報酬を与えるOpen Scopeと、レポート受領から1ヶ月以内に支払いを行うことを約束するFast Paymentが導入されました。過去90日間で、このプログラムは120件のレポートを受け取り、提出から報奨金支払いまでの平均日数は3日15時間で、累計26万6,000ドルを支払いました。MetaMaskは、pkkr、imnarendrabhati、p1security、Nicocha30、T41nk、René Kroka、renniepak、hackerOnTwoWheels、redyetihacksを含む研究者コミュニティに感謝し、脆弱性を発見した方はHackerOneプログラムを通じて報告するよう呼びかけています。
MetaMask Security LabのZbigniew Tenerowiczが再び登場！2024年6月、ZBはITセキュリティの専門家が集まる「レッドとブルーが出会う場」x33fconに参加し、ライトニングトークを行い、ディフェンシブコーディングに関するワークショップを開催しました。これは、LavaMoatの中核的な焦点であるサプライチェーンセキュリティの普及に向けた取り組みの最新ステップです。彼のトークとインタビューは現在公開されています。
同じくMetaMask Security LabのGal Weizmanが、MicrosoftのBlueHatILとOWASP LisbonのGlobal AppSecカンファレンスで、DOMアイソレーションとLavaDomeプロジェクトについて発表しました。中央集権型と分散型アーキテクチャのセキュリティ確保の違いが、Webアプリケーションセキュリティの限界をどのように押し広げるかを検証しました。また、MetaMaskが提案したRealms Initialization ControlプロポーザルがWeb Incubator Community Groupによってインキュベーションの承認を受けたことも報告しました。このプロポーザルが実装されることで、最終的にはSnowプロジェクトが当初解決しようとした「同一オリジンの懸念」に対するネイティブなブラウザレベルのソリューションが提供されることになります。これは、複雑なクライアントサイドのWebセキュリティ問題を解決するための重要な一歩です。
MetaMask SecurityのTaylor Monahanが、北朝鮮と関連する高度持続的脅威（APT）グループLazarusのメンバーによる新たなキャンペーン「TraderTraitor」を調査しました。TraderTraitorはスピアフィッシングを使用して暗号資産企業の従業員を標的にし、数百万ドルを窃取します。Monahanは、暗号資産業界で働くすべての人が、どのレベルにあっても自分がリスクにさらされていると考えるべきだと警告しています。彼女のアドバイスは、単一障害点をなくすこと、ハードウェアウォレットとハードウェアMFAを使用すること、見知らぬ人からのコードを実行・構築しないこと、コミュニケーション用と暗号資産へのアクセス用に異なるデバイスを使用すること、他者の失敗から学ぶこと、周囲の人を教育すること、そして常に懐疑的であることです。
皮肉な展開として、悪名高い詐欺グループPink Drainerがアドレスポイズニング詐欺の被害に遭い、正規のアドレスに酷似した偽のアドレスに資金を送るよう騙され、約3万ドル相当のイーサを失いました。暗号資産コンプライアンス企業のMistTrackがこのインシデントを報告し、詐欺師が詐欺に遭うという皮肉を指摘しました。Pink Drainerは2024年5月に引退を発表したばかりで、それまでに暗号資産ウォレットから数百万ドルを盗んでいました。
2024年7月2日、Ethereumはメーリングリストが侵害されたことを報告し、35,000人以上のユーザーがフィッシング攻撃にさらされました。攻撃者はLido DAOとのコラボレーションを装ったメールを送り、ステーキングされたEthereumで高いリターンを約束するサイトへ誘導しましたが、実際にはドレイナーでした。Ethereumのセキュリティチームは迅速に攻撃をブロックし、コミュニティに警告を発し、悪意のあるリンクをブロックリストに提出しました。被害は報告されておらず、Ethereumはセキュリティ強化のためにメールサービスの移行を開始しました。
何が起きたか 研究者たちは、Squarespaceのドメイン登録プロセスにおけるセキュリティのデフォルト設定の脆弱性により、攻撃者がドメインを乗っ取ることができたことを発見しました。不十分な認証と適切な認証なしにドメイン設定を変更できる機能により、攻撃者はコントロールを奪取し、トラフィックをリダイレクトし、機密情報を盗む可能性がありました。Squarespaceはインシデントの事後分析において、OAuthに関連する脆弱性が原因であると述べ、問題を修正したこと、および追加の侵害は報告されていないことを発表しました。業界全体での協調対応の後、samczsunがMetaMask SecurityのTaylor Monahan、AndrewMohawk、その他の関係者とともに振り返りレポートを公開しました。
ユーザーが自分を守る方法 ユーザーはSquarespaceアカウントのセキュリティを強化するために二要素認証（2FA）を有効にし、不要なコントリビューターを削除することが推奨されます。また、2FAにハードウェアトークンをサポートするレジストラの利用を検討してください。
インド拠点の暗号資産取引所およびトレーディングプラットフォームWazirXが、マルチシグネチャー（マルチシグ）ウォレットの1つへのサイバー攻撃を受け、2億3,000万ドル以上を失いました。Liminalのデジタル資産カストディサービスを通じて管理されていたこのウォレットは、WazirXから3名、Liminalから1名の複数の署名者を必要としていましたが、攻撃はLiminalのインターフェースに表示された内容と実際のトランザクションの内容との間の不一致を悪用し、ペイロードを差し替えて攻撃者にコントロールを移転させたと見られています。このインシデントは、カストディアルソリューションが資金の出金を管理する一方で、セルフカストディアルウォレットではユーザーのみが資金を管理するという点を改めて示しています。WazirXは盗まれた資金の特定、追跡、回収を支援するために、最大2,300万ドル相当のバウンティを提供しています。
2024年6月、米連邦捜査局（FBI）が暗号資産求人詐欺に関する公共サービス警告を発表しました。この詐欺では、詐欺師が正規の雇用主を装い、被害者を偽の求人に誘い込みます。今月、FBIはこれらの求人詐欺の仕組みと注意すべき点についてより詳しい情報を公開しました。詐欺は多くの場合、被害者に暗号資産口座の開設や資金の送金を促し、最終的に金銭を盗むという手口です。FBIは求職者に対し、未承諾の求人オファーには注意し、雇用主の正当性を確認し、未確認のソースと個人情報や財務情報を共有しないよう勧告しています。このような詐欺の被害者は、FBIのインターネット犯罪苦情センター（IC3）にインシデントを報告することが推奨されます。求職者を標的にした詐欺に加え、企業は採用面接プロセス中の攻撃やインサイダー脅威にも注意が必要です。このリスクは、北朝鮮の工作員がリモートITワーカーを装おうとした事例や、Macを標的にした偽の採用面接マルウェアの報告によっても強調されています。
MetaMaskの2024年7月暗号資産セキュリティレポートでは、HackerOneバグバウンティプログラムへの評価、2億3,000万ドル以上を失ったWazirXのマルチシグエクスプロイト、Squarespaceのドメイン乗っ取り脆弱性、Ethereum.orgのメーリングリスト侵害、増加する暗号資産求人詐欺など、一連の脅威を取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
