毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2023年9月、MetaMaskはSnapsのオープンベータを開始し、ウォレットにパーミッションレスでカスタマイズ可能なセキュリティをもたらしました。また、Ledgerとの共同制作によるセルフカストディ教育コンテンツを公開し、Wallet GuardとともにState of Security Spaceを開催しました。ツール面では、LavaMoatがリリースペースを加速させ、Node 20サポートを追加し、ScorchWrapのベータ版の準備を整えました。そして、MetaMaskのGal WeizmanとZbigniew Tenerowiczが、W3Cの「Secure the Web Forward」にて、ハードニングされたJavaScriptとブラウザrealmsについて発表しました。脅威面では、Taylor Monahanが約3,500万ドルの盗難をLastPassに保存されたSecret Recovery Phraseに関連付け、Pink DrainerグループのSIMスワップ攻撃がVitalik Buterinのアカウントを侵害した経緯を詳しく解説しました。詳細は以下の通りですが、まずは…
Luis von Ahnは、グアテマラ出身のコンピューター科学者で、CAPTCHAとreCAPTCHAの共同発明者です。これらは人間とボットを区別し、自動化された不正利用からウェブサービスを守るチャレンジ・レスポンステストであり、ヒューマンコンピュテーションという概念を先駆けて提唱しました。その後、Duolingoを共同創業しています。彼の業績は日常的なウェブセキュリティの基盤となる層に位置しており、低コストかつ大規模に、接続先に実在する人間がいることを証明するものです。
MetaMaskは2023年9月12日にSnapsのオープンベータを開始し、ユーザーの好みやニーズに応じたカスタマイズ可能なセキュリティオプションをウォレット内で拡充しました。Snapsとは、サードパーティの開発者が構築した機能であり、ユーザーがウォレットに直接インストールできます（metamask.com/snaps）。このオープンベータは、パワーユーザーやアーリーアダプターを対象とした出発点として位置付けられています。セキュリティに特化したSnapsがすでに監査済みのSnapsディレクトリで利用可能です。公式ディレクトリに掲載されているすべてのSnapは、MetaMaskのチームと外部監査人によってレビュー・審査されています。関連スレッドでは、MetaMask SnapsのChristian MontoyaがMetaMaskのセキュリティを最適化するための基本的なヒントを共有し、リスクのあるトランザクションからユーザーを守るベータ版のSnapsを紹介しました。
MetaMaskはLedgerと共同で、セルフカストディに伴う責任、一般的な攻撃ベクターの回避方法、ハードウェアウォレット使用の重要性を解説するWeb3セキュリティレッスンを公開しました。このレッスンの告知として、MetaMaskのシニアセキュリティリサーチャーであるMiles NolanがMetaMaskおよびLedgerの同僚とともに、2023年9月20日にライブX Spaceを共同開催しました。
MetaMaskとWallet Guardは、セキュリティの現状をテーマにした合同X Spaceを開催しました。Wallet GuardのOhm、Martin、Michaelに加え、Marco Menozzi（MetaMask Security）とChristian Montoya（MetaMask Snaps）が参加し、デバイスセキュリティ、ソーシャルエンジニアリング、データ侵害、SIMスワッピング、詐欺広告、MetaMask Snapsについて議論しました。Wallet Guardは録音の文字起こしまとめも公開しています。
HackerOneは2023年9月27日にAmbassador World Cupの準決勝を開始し、4チームがMetaMask、Shopify、Tinderを含むパートナー企業のプロダクトセキュリティ強化と顧客保護を目的としたバグハントに取り組みました。
過去3年間で、DNSハイジャックと悪意あるコンテンツインジェクションにより1億2,500万ドル以上が流出しています。MetaMaskはYearnチームが考案したソリューションを採用します。それは、DNSハイジャックが発生した際に悪意ある攻撃者がユーザーに害を与えることを防ぐ、ブロックチェーンのcalldata allowlistです。MetaMaskのデベロッパーリレーションズチームは、このイニシアチブに不可欠なサードパーティへの働きかけを進めており、詳細は公開ドキュメントに記載されています。同ドキュメントには概念実証リポジトリへのリンクと、Miles Nolanが出演する短い解説動画も含まれています。
リリースプロセスの改善により、リリース作業が容易になり、より高頻度のリリースが標準となりました。テスト構造の変更によりNode 20でのテスト通過が実現し、Node 20が正式にサポートされました。ScorchWrapプラグインはベータ版の準備が整い、2つのリモート開発者イベントで発表される予定です。ベータプログラムはLavaMoatのディスカッションで運営されます。MetaMask MobileのLockdownが機能するようになり、まもなくリリースされる予定です。
W3Cの「Secure the Web Forward」イベントにて、Zbigniew Tenerowiczはプロアクティブな防御としてハードニングされたJavaScriptをサプライチェーンセキュリティに適用することについて発表し、Gal WeizmanはJavaScriptのrealmsが既存のウェブアプリセキュリティツールを回避するために使われる方法について発表しました。Snow JSプロジェクトのメンテナーであるWeizmanは、「same origin concern（同一オリジン問題）」に関する関連論文の中で、アプリが自身のオリジン下で生成される新たなrealmsに対してコントロールを持てない問題、現在の対策が不十分な理由、そしてブラウザネイティブなソリューションがセキュアかつ高パフォーマンスな修正を提供できる可能性について論じており、この論文は今月W3Cセキュリティワーキンググループに提出されました。
約3,500万ドルに上る高額盗難の連鎖が、約1年前にLastPassが公表した情報漏洩に関連している可能性があります。MetaMaskのTaylor Monahanは2022年12月からその手がかりを追跡しており、被害者たちは「本当に皆、相応のセキュリティ対策を講じており」「このエコシステムに深く関わっている」と指摘しています。被害者には、信頼性の高い暗号資産組織の従業員、ベンチャーキャピタリスト、DeFiプロトコルを構築した人々、コントラクトをデプロイする人々、フルノードを運営する人々が含まれます。彼女が見つけた共通点は、被害者がある時点でLastPassを使ってSecret Recovery Phraseを保存していたことであり、そのアドバイスは明確です。すべての資産を単一のキーやフレーズで長年管理しないこと——資産を分散し、ハードウェアウォレットを入手し、今すぐ移行してください。詳細はKrebs on Securityをご覧ください。
ERC-7512の提案は、スマートコントラクト監査をオンチェーンで表現することを目的としています。信頼できる監査人による監査をユーザーやアプリが検証できるようにすることで、この標準は監査人のオンチェーンレピュテーションシステムを確立し、スマートコントラクトへの信頼性の高い環境構築に貢献します。
Rektの「Gone Phishing」は、侵害されたフロントエンド、豚の屠殺詐欺（pig butchering）、8桁に上るオンチェーンのミス、著名人や政府機関のアカウントハッキングなど、一連の詐欺をまとめています。その中には、Vitalik Buterinへの注目度の高いSIMスワップドレイナー攻撃も含まれています。その背後にいるグループについては、2023年9月10日にButerinのアカウントが侵害された後、Boring SecurityがPink Drainerの手口を詳細に記録しています。
MetaMaskの2023年9月暗号資産セキュリティレポートでは、MetaMask Snapsのオープンベータ開始、Taylor MonahanがLastPassに保存されたSecret Recovery Phraseに関連付けた約3,500万ドルの盗難、そしてVitalik Buterinのアカウントを侵害したPink DrainerのSIMスワップ攻撃を取り上げました。エコシステム全体における脅威、トレンド、安全を保つためのヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
