毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年5月、MetaMaskはSmart Transactionsを発表しました。これにより、99.9%のトランザクション成功率、MEV保護、事前シミュレーション、より優れたネットワーク手数料設定が実現しました。また、Secret Recovery Phraseを保護するための新しいユーザーガイドと、HAPIとのSnapsセキュリティに関するディスカッションも公開しました。同月には、約20,000人の被害者から数千万ドルを奪ったPink Drainerの閉鎖も話題となりました。また、Lazarus Groupの「Contagious Interview」キャンペーンが偽の求人情報を使ってブロックチェーン開発者を標的にしました。さらに、アドレスポイズニング攻撃が増加し、ある被害者は6,800万ドルを失いました。詳細は以下をご覧ください。まずは…
Gerald "Jerry" Lawson（1940〜2011年）は、アメリカの電子工学エンジニアで、交換可能なROMカートリッジを使用した初の家庭用ビデオゲームコンソール「Fairchild Channel F」の開発チームを率いたことで、「ビデオゲームカートリッジの父」と呼ばれています。初期のシリコンバレーでは数少ない黒人エンジニアの一人であったLawsonは、ユーザーが安全に新しい機能を追加できるモジュール式システムを構築しました。このデザイン哲学は、現代のソフトウェアの拡張や分離の方法にも受け継がれています。
トランザクションの非効率性は、単にセキュリティ上の問題にとどまらず、ユーザーに金銭的な損失をもたらす可能性があります。今月、MetaMaskはSmart Transactionsを発表しました。これにより、99.9%のトランザクション成功率、最大抽出可能価値（MEV）保護、トランザクション事前シミュレーション、より優れたネットワーク手数料設定が実現します。エグゼクティブプロダクトディレクターのGal Eldarが説明したように、ウォレットは「これらのユーザーの課題に正面から取り組む上で、独自のポジションにあり、多くの意味でその責任を担っています」。Smart Transactionsは、すべてのユーザーにとってトランザクションの送信をより安全で、簡単で、効率的で、信頼性の高いものにするというMetaMaskのコミットメントを反映しています。
継続的なユーザー教育の一環として、MetaMaskはSecret Recovery Phrase、パスワード、Private Keyに関するサポート記事を公開しました。これは、初心者が一般的なミスや高額な損失を避けるための支援を目的としています。暗号資産を始めたばかりの方と共有するのに最適なリソースです。support.metamask.ioにある他の資料もあわせてご活用ください。
MetaMask Snapsは、ウォレット機能を拡張するカスタマイズ可能で審査済みのサードパーティアドオンです。MetaMaskのChristian MontoyaがHAPIと共同でX Spaceを開催し、Snapsがユーザーのセキュリティを高めるイノベーションをどのように実現するかについて議論しました。彼が説明したように、セキュリティは多面的であり、ユーザーのWeb3ジャーニーの多くの段階でさまざまな保護が必要です。ハードウェアウォレットは価値がありますが、「悪意のある分散型アプリと連携すれば、ハードウェアウォレットからでも資産を抜き取られる可能性があります。そのため、MetaMaskは多くの分野でセキュリティプロバイダーの導入に注力しています」。セキュリティに特化したSnapsの展開は続いています。
MetaMaskのTaylor Monahanは、暗号資産ウォレットを乗っ取り、長年のユーザーから約1,000万ドル相当のイーサを奪った謎のハッキングを調査しています。The Defiantとのインタビューで、彼女はハッキングが最初に始まった時期と最新の状況について詳細を共有し、根本原因に関する見解はさらなる調査によって変化したものの、事実は変わっていないと述べています。この事件は、過去数ヶ月にわたって報告してきた悪名高いLastPassの侵害に関連した別の攻撃です。ハッカーは組織的なグループの一員と見られており、少なくとも300人の被害者のシードフレーズを侵害しています。これらはすべてLastPassを通じて保存されていた可能性が高いです。Secret Recovery Phraseはオフラインで、自分だけがアクセスできる安全な場所に保管してください。彼女はまた、2023年9月のKrebs on Securityの関連レポートもリンクしています。
悪名高い暗号資産ウォレットドレイナーのPink Drainerが、巧妙なフィッシングを通じて約20,000人の被害者から7,500万ドル以上を奪取した後、閉鎖を発表しました。「目標を達成したので、計画通り、引退する時が来ました」と述べています。（Scam SnifferはZachXBTを引用し、1年間で約20,000人の被害者から7,500万ドル以上を奪ったと報告しています。）Pink Drainer自身が認めているように、「人々は私たちに移ってきたのと同じ速さで他のドレイナーに移るだろう」ため、その引退が大きな影響を与える可能性は低いとされています。詐欺師たちに突然良心が芽生えたのでしょうか？それとも別の意図があるのでしょうか？私たちの直感は後者を示しています…そして、他の多くのドレイナーがまだ活動中であることを考えると、従来のアドバイスは変わりません。多額の資金はハードウェアウォレットに保管し、日常使いのウォレットには最小限の資産のみを保持し、リスクレベルに応じて異なるアカウントを使用してください。
何が起きたか
Lazarus Groupは、2007年から活動している高度持続的脅威（APT）グループで、2014年のソニー・ピクチャーズへの攻撃で悪名高く、金融機関や仮想通貨関連の場所をますます標的にしています。セキュリティ研究者たちは、LinkedIn、Upwork、Braintrustなどのプラットフォームの求人情報を通じてブロックチェーン開発者を狙った、悪意のあるJavaScriptを含むZIPファイルを使用した一連の攻撃を発見しました。Lazarousの「Contagious Interview」キャンペーンと一致するこれらの攻撃は、候補者を騙して悪意のあるコードを実行させ、暗号資産関連の情報を盗み、マルウェアを埋め込みます。
ユーザーが自身を守る方法
Lazarousのようなグループが実行するフィッシングやマルウェア攻撃から身を守るには、独自のリサーチを通じて予期しない求人情報の正当性を確認し、強固なデジタルセキュリティ習慣を維持することが重要です。これには、最新のウイルス対策・マルウェア対策ソフトウェアの使用、セキュリティの追加レイヤーとして多要素認証（MFA）の有効化、不明なソースからのメール添付ファイルやリンクへの注意が含まれます。さらに、悪用可能な脆弱性から身を守るために、すべてのソフトウェアを最新の状態に保つことが不可欠です。これらの対策を採用することで、個人は高度なサイバー脅威に対する防御を大幅に強化し、機密情報を保護することができます。
何が起きたか
アドレスポイズニングは、攻撃者が被害者のトランザクション履歴を操作して、誤ったアドレスに資金を送らせる欺瞞的な手口です。最近のある被害者はこれにより6,800万ドルを失いました。この詐欺の手口は、偽のトークンを作成し、ターゲットのアドレスに酷似した「バニティ」アドレスを使用し、ERC-20トークン標準の「transferFrom()」関数を悪用することを含みます。攻撃者はこれらの戦略を用いてゼロ値のトークン転送や偽装トークン転送を行い、不正なアドレスを正当に見せかけます。これらの攻撃は、ユーザーをトランザクションで誤ったアドレスをコピーするよう混乱させ、金銭的損失をもたらすように設計されています。これらの手法の巧妙さは、ブロックチェーン空間におけるサイバー脅威の進化する性質を浮き彫りにしています。
ユーザーが自身を守る方法
アドレスポイズニングから身を守るために、ユーザーはトランザクション履歴から直接アドレスをコピーすることを避け、代わりに信頼できるソースからコピーするべきです。アドレスにドメイン名を実装することで識別しやすくなりますが、ドメイン名のなりすましには注意が必要です。ウォレットサービスが提供するアドレス帳機能を利用したり、Etherscanなどのプラットフォームでプライベートネームタグを追加して信頼できるアドレスをホワイトリストに登録することで、ユーザーは偽装アドレスを簡単に識別して回避することができます。
MetaMaskの2024年5月暗号資産セキュリティレポートでは、MetaMask Smart Transactionsの発表、約20,000人の被害者から数千万ドルを奪ったPink Drainerの閉鎖、そしてある被害者に6,800万ドルの損失をもたらしたアドレスポイズニング攻撃の増加について取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートの過去の版もご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
