毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2023年3月、EndoチームとLavaMoatチームはセキュアバンドリングのアプローチを見直し、webpack-transformの実験を中断してwebpackローダーへと切り替えました。また、グローバルスカットリングをchild realmに拡張し、MetaMaskモバイルアプリのReact Nativeサポートを復活させました。さらにMetaMaskは、EthDenverシーズンの2つのトークを公開しました。共同創業者のDan FinlayによるDelegatableに関するトーク、そしてセキュリティ研究者のGal WeizmanによるJavaScript realmとSnowに関するトークです。しかし今月の最も重要な教訓は、エアドロップに対して慎重であり続けることでした。Arbitrumのクレームをめぐって詐欺が急増し、約2,400のウォレットが事前に侵害されました。詐欺師たちは偽のMetaMaskエアドロップスナップショットを悪用してユーザーをフィッシングサイトへ誘導し、模倣詐欺はPolkadot、Shiba Inu、そして偽のOpenAIトークンをターゲットにしました。詳細は以下の通りですが、まずは…
Faith Lillidgeは1954年、コロンビア大学Watson Scientific Computing Laboratoryの5階にあるNORC（Naval Ordnance Research Calculator）のコンソールの前で撮影されました。IBMが米海軍のために製造したNORCは、1954年の献呈式当時、世界最強のコンピューターでした。このような初期のマシンを操作したオペレーターたちは、部屋いっぱいのハードウェアを信頼性が高く再現性のある計算処理へと変えました。その規律正しく細部まで正確な仕事ぶりは、今日の信頼できるシステムの基盤となっています。
Endoは、元のimport/export文を損なうことなくwebpack transformに組み込む試みを行いましたが、webpackを分解してバンドラー構築のフレームワークとして使用しない限り、成功しませんでした。そこでEndoはその取り組みを中断し、LavaMoatオープンソースツールキットで新しい手法を試みるというシンプルなソリューションを追求することにしました。また、最新のEndoコンパートメントマッパーのアップデートではexitModuleImportHookが追加されました。これにより、事前に構築されたリストを必要とせず、exitモジュールを動的にインポートできるようになります。これは、コンパートメントマッパーがlavamoat-nodeのバックエンドとして機能するために必要な最後の重要な機能です。Endo SESホワイトリストも、React Native Android JSC向けにendojs/endo #1511でマイナーアップデートが行われ、長年のissue #660（最近はLavaMoat/docs #16で追跡）がクローズされ、React Native JSC build scripts issue #181でさらに検討されています。
LavaMoatは、webpackローダーを使用してコンパートメント化を実装し、後でランタイムを追加するという、セキュアバンドリングの代替アプローチの検討を開始しました。ローダーより上位のレイヤーは変更されないため、ツリーシェイキングなどほとんどの機能は引き続き動作します。主なリスクは、カスタムプラグインが予期しない方法でコードを変更する可能性があることです。スカットリングセキュリティ機能は、実験的な「scuttleGlobalThis」オプションをSnowと組み合わせて設定することで、同一オリジンのすべての潜在的なchild realm（iframeなど）に適用できるようになりました（進捗はこちら）。LavaMoat Browserifyの例へのマイナーアップデートがLavaMoat/LavaMoat #476に追加されました。
React Nativeサポートが復活し、Endo SESロックダウン統合から再開されました。当初はRN v0.66.5を対象としていましたが、現在はRN v0.71.4を対象とし、MetaMaskモバイルアプリへの統合が進行中です。進捗はLavaMoat React Native epicで追跡されています。
Dan Finlayは2023年にEthDenverに初登場し、Delegatableに関するトークを行い、デリゲーション（委任）が分散型アプリケーションの構築をより安全かつ容易にする方法についてのビジョンを共有しました。彼はこう述べています。「エアドロップをクレームして、その後すべての資金を奪われてしまう人が多くいます…Delegatableを使えば、コントラクト上でできることを別のアカウントに対しても実行できます。オープンエンドの制限システムを備えているため、共有する権限を任意の方法で制限することができます。これにより、ホットウォレットができることを制限しながらも、オンチェーンでの操作は引き続き可能にすることで、ホットウォレットをよりクールな状態に保つことができます。」
Gal Weizmanは、依存関係に関連するサプライチェーン攻撃の増大する危険性と、Snow JSがそのギャップを埋める方法についてトークを行いました。トピックには、ウェブの進化、セキュリティと可視性の重要性、サードパーティソリューション、JavaScript realm、そしてSnow JSが含まれました。
2023年3月、エアドロップをめぐる不審な活動が急増しました。前月、MetaMaskはラグプルとエアドロップ詐欺の危険性の概要を公開し、「無料のお金」の提供は悪意ある行為者がよく使う誘い文句であることをユーザーに注意喚起していました。まさにその通りのことが起きました。詐欺師たちがソーシャルメディアで、MetaMaskが3月31日にスナップショットを撮影するかエアドロップを実施するという偽の主張を広め、存在しないトークンをクレームしようとするユーザーから資金を盗むフィッシングサイトへ誘導しようとしました。MetaMaskは2023年3月29日に詐欺を指摘してコミュニティに警告を発し、この偽の主張は「虚偽であるだけでなく…危険である」と警告しました。なぜなら、ユーザーの資産を狙う詐欺師やフィッシャーに機会を与えてしまうからです。Polkadot、Shiba Inu、そして偽のOpenAI DeFi（GPT-4）トークンを装った模倣エアドロップ詐欺が、同月を通じて同じ手口を使い続けました。
Arbitrumエアドロップの数日前、Arkhamは2023年3月20日に報告しました。あるハッカーが過去12時間にわたり、アドレス0x59d4...fb19から侵害されたと思われる約2,400のウォレットに資金を送り、それらのウォレットがクレームに備えてARBトークンを承認したとのことです。その後、CoinDeskは「Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be（Arbitrumが示す、暗号資産エアドロップの複雑さと難しさ）」という記事で、どれほど多くのことが間違いうるかを取り上げました。
MetaMaskのセキュリティ研究者Taylor Monahan（@tayvano_）は、web3製品にCloudflareを使用しているチームに対し、2023年3月24日に即時対応を呼びかけました。すべてのアカウントのGlobal APIキーをローテーションし、Global APIキーがまだローテーションされていない限り、Cloudflareに追加されたアカウントを削除するよう求めました。レガシーのGlobal APIキーはアカウントへの完全なアクセス権を持つため、その漏洩は特に危険です。
Trading Uncle（@thetradingunc）は、2023年3月14日のソーシャルエンジニアリングの試みを記録しました。あるアカウントがターゲットのコンテンツを称賛するダイレクトメッセージを送り、他のパネリストとともにメタバースの「カンファレンス」で登壇するよう招待しました。これは詐欺の前にターゲットの警戒心を下げるための手口です。
MetaMaskの2023年3月暗号資産セキュリティレポートでは、エアドロップ詐欺の急増（ユーザーをフィッシングするために使用された偽のMetaMaskスナップショットを含む）、Arbitrumエアドロップ前に侵害された約2,400のウォレット、そしてweb3チームへのCloudflare Global APIキーに関する警告を取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
