毎月、MetaMaskのセキュリティディレクターであるLukerが、最新の暗号資産攻撃と新たなリスクについてレポートをお届けします。
2023年10月、MetaMaskとBlockaidは、ユーザーが署名する前に悪意のあるトランザクションを検出するプライバシー保護型セキュリティアラートを展開し、LavaMoatのwebpackプラグインがオープンベータに入りました。脅威面では、Fantom Foundationが秘密鍵の漏洩による700万ドル規模のハッキングのうち55万ドルの被害を受け、脅威アクターがBNB Chain上に「EtherHiding」と呼ばれる手法でinfo-stealerマルウェアを隠し始め、GalxeはDNSハイジャック攻撃により40万ドル以上が流出した後、ユーザーに110%の補償を行いました。詳細は以下の通りですが、まずは…
Luigi Galvani（1737〜1798年）は、イタリアの医師・物理学者で、「動物電気」と呼ばれる現象を発見しました。電気の火花が死んだカエルの脚を痙攣させることを示し、生体電気研究の礎を築きました。彼の実験はメアリー・シェリーの『フランケンシュタイン』に着想を与えたことでも知られており、このハロウィン版にふさわしい存在です。強力な能力には慎重な制御が必要だという普遍的な教訓を今に伝えています。
MetaMaskは、暗号セキュリティプロバイダーのBlockaidと協力し、悪意のあるトランザクションが実行される前に阻止するためのプライバシー保護型セキュリティアラートを提供開始しました。これにより、詐欺、フィッシング、ハッキングからユーザーを保護します。両社は、ユーザーがサードパーティとデータを共有することなくトランザクションをシミュレートするプライバシー保護モジュールを構築しました。過去のトレンドに基づくと、このアラートがすべてのMetaMaskユーザーに提供された際には、数十億ドル相当の資産の盗難を防ぐことが期待されています。
LavaMoatは、webpackプラグイン（npm i @lavamoat/webpack）の初期バージョンをリリースしました。コードをコンパートメントでラップし、基本的なポリシーに準拠する機能を備えており、開発者が自身のプロジェクトとの互換性をテストできる状態になっています。チームは開発者に試用と非互換性の報告を呼びかけており、オープンベータはLavaMoatインテグレーションに関する無料の直接サポートを受けられる唯一の機会です。フィードバックとサポートはLavaMoatディスカッションスレッドで受け付けています。また、すべてのLavaMoatパッケージにわたる新たなメジャーリリースも提供され、1つの破壊的変更が含まれています：Node.js v14のサポートが終了しました。
MetaMaskとCryptoForensicは、豚の屠殺詐欺の被害者を支援するための調査員、取引所、暗号資産プロダクト開発者向けガイドを公開しました。貢献者には、MetaMaskのセキュリティチームおよびトラスト＆セーフティチーム、CryptoForensicの調査員が含まれます。「豚の屠殺（sha zhu pan）」詐欺は増加しており、悪意ある行為者が数ヶ月にわたって——多くはロマンティックな関係、時には友人関係として——オンライン上の関係を築くため、被害者は信頼していた相手に騙されたことに気づかないことが多いです。このガイドでは、ユーザーが被害を受けたことを示す事実、確認すべき質問、そしてさらなる損失を軽減するためのサポート方法を解説しています。
webpackプラグインのベータとNode.js v14の変更に加え、LavaMoatは型定義の改善を続け、その成果をカンファレンスで発表しました。webpackプラグインはReact Advanced onlineで発表され、チームはワルシャワで開催されたThe Hack Summitにも登壇しました。モバイル面では、MetaMaskがmacOS 13.5.2以降の採用とMetaMask MobileのXcode 15およびReact Native 0.71.14へのアップグレード（現在マージ済み）によりビルドを強化し、アップデートの一環としてアップストリームのセキュリティ修正を適用しました。lockdownはiOS（JSC）での最終テスト中であり、その後Android（Hermes）でのテストが続く予定です。
2023年10月17日、Fantom Foundationの一部のウォレットが秘密鍵の漏洩により流出しました。Fantomは当初、Telegramチャンネルでこの損失はChromeのゼロデイ脆弱性によるものだと主張しましたが、裏付けとなる証拠は提示されませんでした。トランザクションのオンチェーン分析は、中程度の確信度で秘密鍵の漏洩を示唆しています。複数のウォレットが同日同時刻に流出しており、各キー保有者への同時フィッシング攻撃は考えにくいためです。Fantomはその後、盗まれた総額700万ドルのうちFantom Foundationに属するのは55万ドルのみであると公表しましたが、攻撃の詳細については説明しませんでした。CryptoSlateの報道によると、被害を受けたのは従業員のウォレットのみであったため、ユーザーの資金は影響を受けませんでした。
この攻撃を受け、MetaMask SecurityのTaylor Monahanは、ウォレットを安全に保つための基本的なセキュリティアドバイスを改めて強調しました：
適切な運用セキュリティを実践する：多要素認証とハードウェアウォレットを使用し、不審なダウンロードを避ける。
複数のウォレットに資産を分散させ、古いキーや使い回しているキーをローテーションする。
日常的なブラウジングに使用するデバイスで高額なトランザクションに署名しない。
info-stealerキャンペーンを行う脅威アクターが、BNB Chain上に悪意のあるペイロードを保存し始めました。この手法はGuardio LabsによってEtherHidingと命名されました。info-stealerマルウェアは、銀行情報、ログイン認証情報、クレジットカードデータを密かに盗むよう設計されています。攻撃者は従来のWeb2ホスティングからWeb3技術へと移行して悪意のあるコンテンツを保存しています。これは従来の手法がホスティングサービスによって繰り返し削除されるためであり、同様の目的でIPFSも悪用されています。このキャンペーンは暗号資産ユーザーを特定のターゲットとしているわけではありませんが、標準的な防御策が有効です：ブラウザとコンピュータを最新の状態に保ち、広告ブロッカーを使用し、信頼できない人物や組織からのダウンロードを避けてください。
GalxeはDNSハイジャック攻撃で資金を失ったユーザーに補償を行いました。GalxeのドメインレジストラであるDynadotが、Galxeの公式チームメンバーになりすました攻撃者にドメインへのアクセスを許可し、攻撃者はGalxeのフロントエンドをフィッシングサイトに変えて1,120人のユーザーに影響を与えました。MetaMaskは迅速に対応し、Galxeを一時的にフィッシングサイトとしてマークしました。被害を受けたユーザーには2023年10月20日に損失額の110%が補償され、まだ補償を受けていないユーザーはGalxeサポートに連絡することができます。この事例は、信頼できるアプリを使用する場合でも警戒を怠らないことの重要性を示しています——プロトコルのアナウンスアラートをオンにし、ウォレットを最新の状態に保ち、MetaMaskのセキュリティ機能（PPOM/Blockaid）を有効にしておきましょう。DNSハイジャックの軽減策を検討している開発者は、MetaMaskのDNSハイジャック軽減提案を確認し、こちらでフィードバックを共有してください。
MetaMaskとWallet Guardが共催する次回のState of Security X Spaceは、2023年11月29日（水）午後12時（PST）に予定されており、最新の脅威、セキュリティのベストプラクティス、リリース情報を取り上げます。
MetaMaskの2023年10月暗号資産セキュリティレポートでは、MetaMaskとBlockaidのプライバシー保護型セキュリティアラートの展開、秘密鍵の漏洩に起因するFantom Foundationの700万ドルのハッキング、そしてDNSハイジャック攻撃後のGalxeによるユーザーへの110%補償を取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートの過去の版もご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
