暗号資産セキュリティレポート：2022年9月

毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについて報告します。

2022年9月、Endoプロジェクトは内部で「クアドラプル・バックフリップ」と呼ばれる大規模なSES shimのリファクタリングを実施し、LavaMoatはドキュメントの刷新と新しいLavaMoat-nodeの使用モードを公開しました。また、Consensysの調査ではユーザーがフィッシングによって資金を失う原因が分析されました。一方、CircleCIを装ったなりすましキャンペーンがGitHubの認証情報を収集し、TOTPコードをリアルタイムで中継することで二要素認証を回避しました。さらに、Twitterのアルゴリズムが#EthereumMergeのハッシュタグのトレンド中に認証済みの詐欺アカウントを表示しました。これは、36件の侵害された認証済みアカウントを使用してVitalik ButerinとEthereum Foundationになりすますキャンペーンの一部でした。詳細は以下の通りですが、まず最初に…

注目のSTEMパイオニア：ソーシャルエンジニアリングの先駆者でセキュリティコンサルタントのKevin Mitnick

Kevin Mitnick（1963〜2023年）は、最も効果的な攻撃ベクターはコードではなく人間の心理であることを証明しました。かつて数十の大企業に不正侵入したとしてFBIの最重要指名手配者の一人となったMitnickは、後にFortune 500企業や政府機関の信頼されるセキュリティコンサルタントとなり、セキュリティ意識向上トレーニング会社KnowBe4でChief Hacking Officerを務めました。ソーシャルエンジニアリングを正式な分野として確立した彼の功績は、本レポートで取り上げるフィッシングキャンペーンへの業界の防御手法に直接的な影響を与えました。

Consensysの調査が暗号資産ウォレットユーザーがフィッシングで資金を失う原因を分析

Consensysは、ユーザーがフィッシングによって資金を失う仕組みと原因を分析した調査を公開しました。この調査では70件のカスタマーサポートチケットを検証し、資金を失った7名のユーザーにインタビューを実施しました。インタビューでは、シークレットリカバリーフレーズとフィッシングに関する理解と経験を網羅した標準化された質問ガイドが使用されました。主な発見として、ユーザーはWeb2の信頼シグナル（認証バッジ、フォロワー数、プロフィール画像など）を使ってWeb3のエンティティを評価していますが、これらのシグナルは取引が不可逆的なセルフカストディアルウォレット環境における実際の信頼性とは対応していないことが明らかになりました。

CircleCIフィッシングキャンペーンがGitHubユーザーを標的にし、二要素認証を回避

2022年9月16日、GitHub SecurityはCircleCIを装ったフィッシングキャンペーンを特定しました。このキャンペーンはユーザーの認証情報と二要素認証コードを収集することを目的としていました。フィッシングメールはユーザーのCircleCIセッションが期限切れになったか、更新された利用規約への同意が必要であると主張し、circle-ci[.]comやemails-circleci[.]comなどの偽ドメインへ誘導しました。フィッシングサイトはTOTPコードを攻撃者とGitHubの両方にリアルタイムで中継し、時間ベースの二要素認証を回避しました。GitHub自体は侵害されませんでしたが、このキャンペーンは複数の被害組織に影響を与えました。この事件は、TOTPベースの2FAがリアルタイム中継攻撃に対して脆弱であることを示しており、ハードウェアセキュリティキー（FIDO2/WebAuthn）が最も強力な防御手段であることを改めて示しています。

TwitterがEthereum Mergeのトレンド中に認証済み詐欺アカウントを表示

2022年9月14日、2022年9月15日の移行を前に#EthereumMergeのハッシュタグがTwitterでトレンド入りする中、プラットフォームのアルゴリズムが正規のMerge関連コンテンツと並んでプロモーションされた詐欺アカウントを表示しました。この広範なキャンペーンでは、少なくとも36件の侵害された認証済みTwitterアカウントがVitalik ButerinとEthereum Foundationになりすますために使用され、ETHの入金と引き換えに倍額を返還するという約束のもと、被害者をフィッシングサイトへ誘導する偽の「50,000 ETH配布」スキームを宣伝しました。

Endo SES shimのリファクタリングが「クアドラプル・バックフリップ」でスコープ処理を分離

Endoプロジェクトは、SES shimのエバリュエーターを多層スコープスタックへと大規模にリファクタリングするプルリクエストを提出しました。これは内部で「クアドラプル・バックフリップ」と呼ばれています。この変更は、スコーププロキシがリークする可能性のある問題に対処し、グローバルスコープ処理における異なる関心事を個別のレイヤーに分離します。副次的なメリットとして、リファクタリングが適用されると、LavaMoatは変更されていないSES shimをそのまま使用できるようになり、shimへのLavaMoat固有のパッチが不要になります。

LavaMoatがドキュメントの刷新と新しいlavamoat-nodeの使用モードを公開

MetaMaskのLavaMoatプロジェクトは、ツール全体のドキュメントを刷新しました。新しいlavamoat-nodeの機能には、node_modules/.binからコマンドを実行するための便利なヘルパーとプログラマティックな使用APIが含まれており、開発者が既存のビルドパイプラインにLavaMoatのサプライチェーン保護を統合しやすくなっています。

MetaMaskの2022年9月暗号資産セキュリティレポートでは、リアルタイムのTOTP中継によってGitHubの二要素認証を回避したCircleCIなりすましキャンペーンと、Ethereum Mergeのトレンドイベント中にTwitterのアルゴリズムが認証済み詐欺アカウントを表示した事例を取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。