毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年3月は、ETHDenverを中心に活発な動きが見られました。MetaMaskはセキュリティスポットライトイベントを主催し、Wallet Guardと共同でState of Securityイベントを開催しました。また、Snapsベータ版への新機能追加として、DeFi Armorのトランザクションシミュレーションスナップと、Happy Harpieのシグネチャインサイトスナップが加わりました。脅威面では、Inferno Drainerサービスへの攻撃により250万ドルが盗まれ、FTXおよびBlockFiのユーザーがPink Drainerによるメールフィッシングキャンペーンで700万ドル以上を失い、CurioのMakerDAOベースのコントラクトへのエクスプロイトにより1,600万ドル以上の被害が発生しました。詳細は以下の通りですが、まず最初に…
安井小竹（1880〜1971年）は、日本の細胞学者・植物学者であり、1927年に日本人女性として初めて理学博士号を取得しました。植物細胞学と遺伝学を研究分野とし、石炭形成植物の構造に関する詳細な研究を行うとともに、女性への科学教育の普及にも尽力しました。顕微鏡レベルで構造を丹念に観察し、他者が見落とすものを見抜く彼女の姿勢は、慎重なセキュリティ対策が求める綿密な精査と同じ精神を体現しています。
Security Snapsのラインナップが拡充されています。MetaMaskはDeFi Armorによる新しいトランザクションシミュレーションスナップを追加しました。このスナップは、DeFi Armorのカスタマイズ可能なセキュリティポリシーに違反するトランザクションを検出し、その理由を説明します。また、Happy HarpieのETHDenverハッカソンプロジェクトによるシグネチャインサイトスナップも新たに追加されました。このスナップはシグネチャをデコードし、シグネチャペイロード内のアドレスをHarpieと照合して悪意のあるアドレスを検出するほか、Seaport NFTリスティングシグネチャを読み取り、フロア価格を大幅に下回る価格設定の際に警告を発します。また、Capsule、Safeheron、Silent Shardのスナップを含むAccount Management Snapsのオープンベータも引き続き試用可能です。
MetaMaskは、ETHDenver 2024にてセキュリティスポットライトイベントを開催しました。Alterya、Blockaid、Chain Patrol、Forta、Hexagate、Hypernative、Karma3 Labs、Paradigm、Wallet Guardの各社が参加しました。録画映像はどなたでもご覧いただけます。
MetaMaskとWallet Guardが共同開催した最新のState of Security Xイベントは、Ian Wallis、Ohm Shah、Michael Kが司会を務めました。将来への備え、現在および将来のAI脅威、最新のソーシャルエンジニアリングとフィッシング手法、エアドロップとファーミングのリスク、そしてETHDenverのセキュリティ議論に関する特別カバレッジなどが取り上げられました。
BlockfenceのBlockchain Security Seriesエピソード3では、MetaMaskのTaylor Monahanが、Blockfenceのセキュリティリサーチ責任者であるPablo Sabbatellaと対談しました。開発者がユーザーを守る責任、ホワイトハットハッカーへの共通の敬意、そして前年4月に発生した旧型ウォレットへの一連の攻撃について議論しました。彼女が強調した重要なポイントは2つです。第一に、シークレットリカバリーフレーズをパスワードマネージャーに保存しないこと。第二に、セキュリティを一度きりの設定ではなく継続的な習慣として捉え、毎日小さな改善を積み重ねることで、それが長期的な効果をもたらすということです。具体的には、不要になったトークン承認の取り消し、一部の資産をハードウェアウォレットへ移動、アカウントへのアプリベースの二要素認証の有効化などが挙げられます。
2024年3月18日、詐欺師がフィッシング被害者のウォレットを空にするためにレンタルする「drainer-as-a-service」キットであるInferno Drainerが、250万ドルのハッキング被害を受けました。セキュリティ研究者のZachXBTが、Inferno Drainerの顧客グループチャットから流出したメッセージを公開しました。そのメッセージによると、攻撃者はすべての顧客の支払いアドレスを自分のアドレスに書き換えていたことが判明しました。Inferno Drainerの顧客自身が詐欺師であるため、その日に彼らがフィッシングに成功したウォレットから盗んだ資金は、彼らではなく攻撃者のもとへ送られることになりました。
この攻撃はブロックチェーンネットワーク上ではなく、Inferno Drainerの内部オペレーション内で発生したものですが、250万ドルはもともとフィッシング被害者から盗まれたものであり、詐欺被害者は最初の被害後に再び標的にされることが多いという事実に変わりはありません。これは、ソーシャルメディアで共有されたリンクには注意が必要であることを改めて示しています。信頼できるアカウントでさえハッキングされることがあるため、多額の資産はハードウェアウォレットで保管し、日常使いのウォレットには最小限の資産のみを保持し、リスクレベルに応じて異なるアカウントを使い分けることが重要です。
2024年3月18日の週、FTXおよびBlockFiのユーザーがEthereumメインネット上で700万ドル以上の被害を受けたフィッシングキャンペーンが発生しました。この攻撃は2段階で構成されていました。ブロックチェーン外では、複数の暗号資産企業が利用していたメールマーケティングプラットフォームの侵害であるMailerLite侵害事件で盗まれたとされる宛先リストを使ったメール送信によってフィッシングが行われました。これにより攻撃者は標的となるユーザーリストを入手しました。ブロックチェーン上では、被害者が悪意のあるシグネチャに署名するか悪意のあるコントラクトと対話した時点で実際の窃取が発生し、脅威アクターはdrainer-as-a-service（DaaS）であるPink Drainerを使用してウォレットから資金を移動させました。ウォレットへの接続やトランザクションへの署名を求めるメールには十分注意し、必ず公式チャネルを通じて正当性を確認してください。
2024年3月23日の週末、Curio Ecosystemは、EthereumのMakerDAOベースのスマートコントラクトがエクスプロイトされ、1,600万ドル以上の損失が発生したと報告しました。PolkadotおよびCurio Chain上のコントラクトは安全を保っています。Curioはその後、ユーザーへの資金100%の回復を明記した回復戦略ロードマップを公開しました。Curioのガバナンストークンを保有するすべてのユーザーが影響を受けましたが、この攻撃はCurio自身のコントラクトの脆弱性を悪用したものであったため、個々のユーザーにできることはほとんどありませんでした。プロトコル開発者への教訓として、新しいリリースごとにスマートコントラクトを徹底的かつ継続的に監査し、研究者が攻撃者より先に脆弱性を発見できるようバグバウンティプログラムを運営することが重要です。
MetaMaskの2024年3月暗号資産セキュリティレポートでは、MetaMaskのETHDenverセキュリティイベントとSnapsの新機能追加、Inferno Drainerサービスへの250万ドルの侵害、そしてFTXおよびBlockFiユーザーに700万ドル以上の損害をもたらしたPink Drainerによるメールフィッシングキャンペーンを取り上げました。エコシステム全体における脅威、トレンド、安全対策のヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
