毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年6月、ConsensysはWallet Guardを買収してMetaMaskの詐欺・ドレイナー検出機能を強化し、MetaMaskはより高い透明性とコントロールを実現するためにプライバシーポリシーを更新しました。また、LavaMoatは新しいウェブサイトを立ち上げました。Security Allianceはホワイトハット研究者向けの法的防衛基金を開設しました。脅威の面では、北朝鮮に関連するAPTグループによる就職詐欺が引き続き暗号資産業界の従事者を標的にし、あるユーザーがシグネチャーフィッシングにより1,100万ドルを失い、CoinGeckoのメールベンダーへの侵害により数万通のフィッシングメールが送信され、悪意のあるAggr Chrome拡張機能が取引所のCookieを収集して100万ドル以上を盗みました。詳細は以下の通りですが、まずは…
ベン・バレス（1954〜2017年）は、アメリカの神経生物学者です。彼の研究は、神経系においてグリア細胞がニューロンとどのように相互作用するかを解明する上で重要な役割を果たしました。長年見過ごされてきた脳の「サポート」細胞が、実際には脳の機能と防御に不可欠であることを示したのです。また、米国科学アカデミーに選出された最初のトランスジェンダーを公表した科学者であり、科学における公平性を声高に訴えた人物でもありました。彼の功績は、目立たないところで静かに保護的な役割を担うシステムこそが、最も重要であることを改めて教えてくれます。
プライバシーとセキュリティは表裏一体であり、MetaMaskはユーザーのプライバシーを非常に重視しています。今月、インフォームドコンセントの精神に基づき、MetaMaskはユーザーの安全を守るための取り組みを明確にし、個人データに関するより高い透明性とコントロールを提供するために、更新されたポリシーを公開しました。お知らせおよび完全な通知をご覧いただき、プライバシーとセキュリティに関するリソースもご確認ください。
MetaMaskは、MetaMaskユーザーに最良のエクスペリエンスを提供するために必要な場合（MetaMaskの設定によって異なります）に限り、一部のサービスにおいてIPアドレスを一時的に処理することがあります。これには、例えばDDoS攻撃の防止などが含まれます。
秘密鍵を収集することはありません。
個人情報を販売することはありません。
サービスの提供および優れたユーザーエクスペリエンスの実現に必要な場合を除き、個人情報を収集・保持することはありません。
金融決済情報や銀行情報を収集することはありません。 ただし、オンランプ・オフランプ機能をご利用の場合、これらのサービスではサードパーティプロバイダーへの情報提供が必要になることがあります。
素晴らしいWallet Guardチームが正式にMetaMaskに加わったことを、大変嬉しく思います。これにより、ユーザーに可能な限り安全なエクスペリエンスを提供するという私たちの取り組みがさらに前進します。発表にあるように、この統合は「トランザクション検証とクライアントサイドのヒューリスティクスを通じて詐欺・ドレイナー検出を改善することでMetaMaskのセキュリティを強化し、プライバシーと自己主権を守りながら、悪意のある分散型アプリや詐欺に対するリアルタイムの優れた保護をユーザーに提供します」。
LavaMoatに関するすべての情報がlavamoat.github.ioに集約されました。このオープンソースツールセットがサプライチェーン攻撃からJavaScriptプロジェクトを守る仕組みを解説した入門動画も掲載されています。MetaMaskのZbigniew Tenerowiczは、前年の夏にDEFCONで開催したDefensive Codingワークショップを、ConfidenceおよびX33FCONカンファレンスにも持ち込み、LavaMoatの普及に努めました。
MetaMaskとWallet GuardによるState of Securityシリーズの最新回では、Ryan JonesとGal WeizmanがOhmとMichaelに加わり、トランザクションシミュレーション、相互運用性、MetaMask Web、サプライチェーン攻撃に対するLavaMoatの活用について議論しました。また、暗号資産における安全な行動のための通常のヒントも紹介されました。
米国FBIはPSAを発表し、在宅勤務の求職者に注意を促しました。暗号資産やブロックチェーン関連の求人は具体的には言及されていませんが、MetaMaskの脅威インテリジェンスおよびユーザー安全チームは、このコミュニティが特に標的にされていると述べています。突然の求人オファーには十分な疑いを持ち、信頼できないメッセージのリンクをクリックしたり添付ファイルを開いたりしないでください。また、「仕事の一環として雇用主への暗号資産での支払いを求められた場合」は、絶対に応じないでください。これらの詐欺の多くは、国家が支援していることが多い高度持続的脅威（APT）グループに関連しています。あるヒューマネジャーのzakは率直に「最近面接した開発者のほぼ全員が北朝鮮人だった可能性が高い」と述べています。暗号資産関連企業も、応募者の面接時に十分な警戒が必要です。これも一般的な攻撃手段となっているためです。確認済みの一貫した経歴情報を含む徹底的な面接を実施し、応募者にカメラをオンにするよう求めてください。
倫理的なホワイトハットハッカーは、私たちの業界の礎です。こうした研究者たちは、悪意ある行為者が脆弱性を悪用する前に発見し、責任ある形で開示しています。しかし、Security Alliance（SEAL）が最近説明したように、Web2の歴史が示す通り、「この重要な活動は、特に研究や開示が歓迎されなかったり誤解されたりした場合に、重大な法的リスクとそれに伴うコストをもたらすことがあります」。そのため、SEALはSecurity Research Legal Defense Fundと連携し、Whitehat Safe Harbor Agreementを利用する適格な研究者に法的リソースを提供するイニシアチブを立ち上げました。
何が起きたか
2024年6月22日、あるユーザーが複数のpermitフィッシングシグネチャーに署名し、1,100万ドル相当のトークンを失いました。その後、被害者はMakerDAOのガバナンスデリゲートであることが判明しました。SEAL研究者のPcaversaccioは、シグネチャーフィッシングが業界最大の問題であると指摘し、ユーザーが警告を気にせず、署名の結果を考慮しないと述べています。MetaMaskのTaylor Monahanは、2021年以降の承認フィッシング詐欺による被害総額が6億ドル以上に上ると推定しています。
ユーザーが自身を守る方法
ユーザーは以下の3つの重要なステップで自身を守ることができます。
日常的に使用するウォレットの資産を制限する。悪意のあるシグネチャーに署名してしまった場合でも、被害を最小限に抑えることができます。
シグネチャーリクエストの発信元ドメインを確認し、元のプロジェクトのドメインと一致するかどうかを検証する。簡単な確認方法として、プロジェクトの公式ソーシャルメディアやブログページにアクセスし、それらのプロフィールのドメインがリクエストと一致しているかを確認してください。
リクエストに含まれるトークンとアドレスの内容を検証する。リクエストには、送信するつもりのなかったトークンが含まれていることがよくあります。支出者のアドレスやトランザクションのアドレスが、意図していたアドレスと異なる場合があります。
これらの簡単な確認を行うことで、意図しない資金の損失を防ぐことができます。
何が起きたか
暗号資産データアグリゲーターのCoinGeckoは、2024年6月5日にサードパーティのメールマーケティングプラットフォームGetResponseの侵害されたアカウントを通じてデータ侵害を受けました。攻撃者は約200万件の連絡先にアクセスし、別のクライアントのアカウントから23,723通のフィッシングメールを送信しました。ユーザーの氏名、メールアドレス、IPアドレス、所在地が漏洩しましたが、CoinGeckoのユーザーアカウントとパスワードは安全に保たれました。
ユーザーが自身を守る方法
エアドロップやトークンの請求に関するメールには細心の注意を払い、迷惑メールのリンクをクリックしたり添付ファイルをダウンロードしたりしないようにしてください。暗号資産プロジェクトは、連携するサードパーティベンダーが使用するセキュリティ管理について、十分な注意を払う責任があります。
何が起きたか
Aggrは当初、取引データアグリゲーターとして宣伝されていたChrome拡張機能でしたが、悪意のあるものであることが判明しました。2024年6月初旬、Binanceのユーザーが100万ドルの損失を報告し、SlowMistがその原因をAggrプラグインに特定しました。SlowMistの調査によると、Aggrはトレーダーのクッキー——特に暗号資産取引所に関連するもの——を収集しており、攻撃者はそれを使用して中央集権型取引所（CEX）のポータルにアクセスし、被害者のアカウントを乗っ取りました。
ユーザーが自身を守る方法
教訓：ブラウザ拡張機能を含むインストールするソフトウェアには十分な注意を払い、開発者を調査してください。実績のない匿名アカウントよりも、確認済みの信頼できる開発者を優先し、信頼する前にアプリの履歴を確認してください。
MetaMaskの2024年6月暗号資産セキュリティレポートでは、ConsensysによるWallet Guardの買収、MetaMaskのプライバシーポリシーの更新、1,100万ドルのシグネチャーフィッシング被害、CoinGeckoのメールベンダーへの侵害、100万ドル以上を盗んだ悪意のあるAggr Chrome拡張機能など、一連の脅威を取り上げました。エコシステム全体での安全な行動に関する脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
