Each month, MetaMask Security Director Lukerが最新の暗号資産攻撃と新たなリスクについてレポートします。
今月の最大のニュース：リサーチャーのTaylor MonahanとHarry Denleyが、Secret Recovery Phraseが流出した約300名の長年の暗号資産ユーザーから約1,000万ドルを奪ったマルチチェーンハックの調査を継続しました。FTCも暗号資産企業を装ったフィッシングメールについて警告を発し、ウォレット流出調査のチェックリストが広く共有されました。エンジニアリング面では、LavaMoatが27件の依存関係アップデートをマージし、ScorchWrapプラグイン、MetaMask Mobileのセキュリティ強化、および「scuttling」機能を進展させました。EndoはCommonJSのエラー処理を改善し、Zbigniew Tenerowiczの「Eval all the Strings!」Hardened JavaScriptトークが公開されました。詳細は以下の通りですが、まず…
Ada Lovelace（1815〜1852年）は、Charles Babbageが提案した解析機関に関する研究、特にベルヌーイ数を計算するアルゴリズムの開発により、初のコンピュータープログラマーとして知られるイギリスの数学者です。彼女はまた、そのような機械が純粋な計算をはるかに超えた能力を持つことを予見していました。精密で検証可能なロジックへの彼女の初期の主張は、信頼性の高いソフトウェアセキュリティが今日でも依拠する規律と同じものです。
LavaMoatは、既知の脆弱性の修正を含む各パッケージへの依存関係アップデートとして27件の個別プルリクエストをマージし、更新された依存関係とNode.js 18互換性修正を含むマイナーリリースを公開しました。ScorchWrap webpackプラグインの開発も継続され、バンドル自体へのランタイムの組み込みや他のプラグインとの互換性に関する知見が得られました。また、ハイジャックされた依存関係でも機密性の高いブラウザAPIにアクセスできないよう、MetaMask MobileへのLavaMoatのサプライチェーン保護の実装も進めました。この取り組みの一環として、Chrome V8でデバッグ中に発生したキャッチされない例外（ethjsなどのライブラリがスローするTypeError）を解決しました。関連する作業として、パッケージのendowmentsが過度に広範になる場合に、ウィンドウ全体の共通グローバルへのアクセスを無効にする「scuttling」機能も進展しました。
Endoは、compartment-mapperのCommonJS missing-moduleエラーを改善し、必要なモジュールが見つからない場合のエラーメッセージをより明確にしました。
MetaMaskのZbigniew Tenerowicz（ZB）は、2023年4月にベルリンで開催されたNode Congressで「Eval all the Strings!」と題した短いトークを行いました。7分余りの中で、ZBはTC39プロポーザルであるSecure ECMAScript（SES）とCompartmentsについて、そしてそれらを実用的にするために構築しているツールについて説明しました。彼の言葉を借りると、「SES＋ツール（LavaMoatまたはEndo）により、ネットワーク、fs、コアモジュール、またはグローバルへのアクセスをパッケージ単位で制限することが可能になります…私にとって、これはnpmサプライチェーンのセキュリティ確保における最終ステップです。たとえパッケージが悪意ある者に乗っ取られても、被害を受けることはありません。」
「このトークは、TC39プロポーザルであるSecureEcmaScriptとCompartmentsについてのものです。私はこれらのプロポーザルを推進している人々と協力しながら、これらのコンセプトを実用的にするためのツール開発に取り組んでいます。これはJavaScriptセキュリティの未来についての第一人者による報告です。SES＋ツール（LavaMoatまたはEndo）により、ネットワーク、fs、コアモジュール、またはグローバルへのアクセスをパッケージ単位で制限することが可能になります。それらがどのように機能するか、どのような可能性が開かれるか、そして多少の努力でその未来を今日実現する方法をお見せしたいと思います。私にとって、これはnpmサプライチェーンのセキュリティ確保における最終ステップです。たとえパッケージが悪意ある者に乗っ取られても、被害を受けることはありません。」
The Defiantとのインタビューで、MetaMaskセキュリティリサーチャーのTaylor Monahanは、同僚のHarry Denleyと共に2023年4月から調査を開始したマルチチェーンハック——長年の暗号資産ユーザーを標的にした大規模な攻撃——について説明するとともに、安全を保つためのヒントや「コードは法律」「ブロックチェーンは不変」という概念についても議論しました。攻撃者は、被害者のウォレット内で盗んだ資産をスワップしてから分散型取引所（DEX）に送金するという珍しい手法を使用しました。Secret Recovery Phraseが流出した約300名の個人がどのように侵害されたかは不明であり、典型的なフィッシング手法によるものではないと考えられています。Monahanの安全対策の推奨事項には、ハードウェアウォレットの使用と複数のウォレットへの資産の分散が含まれていました。
ウォレットが流出した場合、攻撃がどのように行われたかを解明するためにセキュリティリサーチャーである必要はありません。Twitterユーザーのjon_HQが2023年5月5日にTwitterに詳細なチェックリストを投稿し、流出を調査する際に確認すべき手順を解説しています。参考としてブックマークしておく価値があります。
連邦取引委員会（FTC）の消費者向けアラートは、暗号資産関連サービスから送信されたように見えるメッセージに対して特に注意するよう一般に警告しました。FTCは、迷惑メールに対してはメッセージの内容に関わらず素早く行動しないよう（偽の緊急感を演出することは批判的思考を妨げる標準的な詐欺の手口です）、また迷惑メール内のリンクをクリックせず、セキュリティソフトウェアを最新の状態に保つよう推奨しました。MetaMaskを装ったフィッシングメールはhttps://support.metamask.io/chatで報告できます。
詐欺師は信頼できる暗号資産ブランドを頻繁に装います。そして、そっくりなウェブサイト、メール、ソーシャルメディアプロフィールを作成して、ユーザーをだましてアカウントアクセスを渡させようとします。安全を守るために、サポートナレッジベースでは、本物のMetaMaskを見分ける方法と、適切なサポートチャンネルを使用していることを確認する方法を説明しています。
MetaMaskの2023年5月暗号資産セキュリティレポートでは、長年の暗号資産ユーザーを標的にした1,000万ドルのマルチチェーンハックに関するTaylor Monahanの継続調査、暗号資産企業を装ったフィッシングメールに関するFTCのアラート、そしてZbigniew Tenerowiczの「Eval all the Strings!」Hardened JavaScriptトークを取り上げました。エコシステム全体での脅威、トレンド、安全を保つためのヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
