毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2024年12月は、一つのことを明確に示しました。詐欺師たちは休暇を取らないということです。ハッカーはAIのトレーニングデータに悪意のある暗号資産コードを埋め込んで開発者を欺こうとし、Lazarus GroupはLinkedInを地獄の求人掲示板のように使い続け、Solanaの@solana/web3.jsライブラリはプライベートキーを狙ったサプライチェーン攻撃を受けました。一方、LastPassの侵害による損失は、元の事件から2年後に2億5,000万ドルを超え、WallStreetBetsはXアカウントが侵害された後、ミームコインで220万ドルを失いました。プロアクティブなセキュリティの面では、Immunefiが150万ドルの報酬プールを持つEthereum Protocol Attackathonを開始し、LukerはDevcon SEAのステージに立ち、あらゆる脅威レベルにわたるソーシャルエンジニアリングの仕組みを解説しました。詳細は以下の通りですが、まず最初に…
Clifford Stoll、別名「ハッカーの追い方を書いた本のマッドサイエンティスト」がカリフォルニア州の自身のワークショップでポーズをとっている。
見逃した方のために：Lukerが概要を説明しました。スクリプトキディ、犯罪カルテル、高度持続的脅威（APT）がどのようにソーシャルエンジニアリングを活用しているかについてです。ユーザーがどのように騙されるか、暗号資産企業や開発者がどのように欺かれるか、そして彼女が夜も眠れないほど心配している豚の屠殺詐欺の悪質な手口について学べます。ぜひご覧ください！（補足：豚の屠殺詐欺（Pig Butchering）とは、攻撃者が数週間から数ヶ月にわたって被害者との関係を築き、信頼を得て、親密さを演じ、偽の収益を見せた後、詐欺師が管理するプラットフォームに資金を移すよう説得する長期的な暗号資産詐欺です。この名称は、最終的な窃盗の前にターゲットを「太らせる」という考え方に由来しています。豚が傷つけられることはありません。詐欺の標的となるのは人間です。）
同一オリジンレルム（Same-origin realms）は、ブラウザが同じソースから来た異なるウェブページのスクリプトを安全に実行し、分離するための仕組みです。iframeなどの埋め込みコンテンツを扱う場合や、信頼できないスクリプトを読み込む際のセキュリティ向上に特に役立ちます。
Gal Weizmanの記事では、開発者がこれらのレルムを使用して、より安全で効率的なウェブアプリケーションを作成する方法を探っています。彼は、開発者がスクリプトの初期化方法を制御できるようにするRealms-Initialization-Control（RIC）を取り上げており、これによりセキュリティの層が追加されます。これにより、一般的なウェブの脆弱性を防ぎ、アプリケーションをより堅牢にすることができます。セキュリティと開発のしやすさのバランスを取ることが課題ですが、こうした進歩がより安全なウェブへの道を切り開いています。
Taylor Monahanが最近明らかにしたところによると、北朝鮮に関連するLazarus Groupは、ソーシャルメディアやメッセージングアプリを通じて従業員に接触し、求人オファーや技術支援を装ってGitHubリポジトリに誘導し、個人のデバイスを侵害して企業インフラへのアクセスを得るといった高度なソーシャルエンジニアリング戦術を使用しています。
実際の事例として、ある従業員がLinkedIn上の偽のペルソナとやり取りした後、デバイスが侵害されました。攻撃者は信頼を築くために暗号資産で報酬を支払うなど、コミュニケーションを維持し続け、最終的にそのアクセスを悪用して200万ドル以上を窃取しました。
フォローアップとして、MetaMaskはオンラインで誰かから連絡を受けた際に注意すべき点をわかりやすいリストとして共有しました。
Evan Boehs氏が概説しているように、ダークウェブは匿名性と正当な用途を提供する一方で、リスクも多く存在します。詐欺、マルウェア、信頼の問題が日常的に発生しています。匿名の売り手は取引の途中で姿を消す可能性があり、悪意のあるリンクが至る所に潜んでおり、一つのミスで身元が露出する可能性があります。
安全を保つためには、Torなどのツールを使用し、暗号資産の適切な管理を実践し、ゼロトラストの考え方を維持することが重要です。
ImmunifiのAttackathonが正式に開始されました。2025年1月20日まで開催されるこの大規模なクラウドソーシング型セキュリティ監査コンペティションは、Ethereumプロトコルのセキュリティ強化を目的としています。このイベントには、プロの監査会社から独立したセキュリティ研究者まで幅広い参加者が招待され、150万ドルの報酬プールをかけて競います。
何が起きたか
Solanaは、広く利用されている@solana/web3.js npmライブラリを標的としたサプライチェーン攻撃を受け、プライベートキーの侵害と資金の流出を狙われました。悪意のあるバージョン（1.95.6および1.95.7として特定）は、2024年12月2日に一時的に公開された後、迅速に流通から削除されました。
攻撃者はフィッシング技術を通じてアクセスを得たと考えられており、ライブラリに有害なコードを注入することに成功しました。このコードは、侵害の数日前に登録されたsol-rpc[.]xyzというサーバーにプライベートキーを流出させるよう設計されていました。クラウドセキュリティ研究者のChristophe Tafani-Dereeper氏が、パッケージ内に「addToQueue」という名前のバックドア関数を発見し、これがキーに関わる重要な操作を特に標的にしていたことを明らかにしました。
ユーザーが自身を守る方法
この攻撃を受けて、Solana Labsはセキュリティ専門家とともに、侵害されたライブラリバージョンの影響を受けた可能性のある開発者向けに推奨事項を発表しました。具体的には、依存関係の徹底的な監査を実施して悪意のあるバージョンの使用箇所を特定すること、安全なバージョン1.95.8に直ちに更新すること、侵害が疑われる場合はキーをローテーションすることが含まれます。
何が起きたか
詐欺師たちは現在、AIのトレーニングデータを標的にし、悪意のある暗号資産コードを埋め込んでユーザーを悪用しています。この事例では、@OpenAIが推奨するAPIを通じてプライベートキーを送信するコードが使用されました。詐欺は迅速に実行され、APIを使用してから30分以内にユーザーの資産が窃盗犯のウォレットに流出しました。
ユーザーが自身を守る方法
このインシデントは、特に暗号資産においてAIが生成したコードを使用する際に細心の注意が必要であることを示しています。AIの推奨事項を常に再確認し、AIサービスが提案するウェブサイトやAPIの正当性を検証してください。新しいツールやコードを試す際は、エラーや脆弱性が発生した場合の潜在的な損失を最小限に抑えるために、最小限の資金しか入っていないテスト用ウォレットを使用してください。また、暗号資産コミュニティ内の一般的な手口や既知の悪意のあるサイトについて情報を収集し、詐欺に関する最新情報を把握しておいてください。
何が起きたか
WallStreetBetsのXアカウントへの重大な侵害において、ハッカーはSolanaブロックチェーン上で220万米ドル以上相当のミームコインを持ち去りました。ブロックチェーン探偵のZachXBTによって特定されたこのエクスプロイトは、Xのモバイルアプリケーション内の脆弱性に起因していました。盗まれた資産には、1,430,000 PNUTトークン、400,000 ZEREBROトークン、130,000 ALCHトークンが含まれていました。ハッカーはWallStreetBetsがアクセスを削除した後も、パスキーを組み込んでWallStreetBetsのアカウントを制御し続けました。
ユーザーが自身を守る方法
ソーシャルメディアで新しいトークン投資を宣伝するリンクを見かけた場合は、クリックする前にその正当性を確認する時間を取ってください。これらのリンクは、大きなリターンや早期参加の独占的なチャンスを約束するため非常に魅力的に見えますが、それこそが人々が被害を受ける原因です。リンクの遷移先を必ず確認し、約束されている内容の正当性を検証するためのデューデリジェンスを行ってください。
何が起きたか
ZachXBTが「LastPass脅威アクター」による重大な暗号資産窃盗を暴露しました。40以上の被害者アドレスから約536万ドルの損失が発生しています。LastPassが暗号化されたボルトデータへの不正アクセスを報告した2022年12月の事件に関連するこの侵害は、現在までに暗号資産の総損失額が2億5,000万ドルを超えるまでに至っています。攻撃者は、LastPassのボルトにプライベートキーやシークレットリカバリーフレーズ（SRP）を保存していたユーザーを特に標的にし、集中型ストレージの脆弱性を悪用しました。
ユーザーが自身を守る方法
定期的な監査：デジタル資産がどこにどのように保管されているかを定期的に確認してください。使用しているストレージソリューションが最高水準のセキュリティ基準を満たしていることを確認してください。
安全な保管：プライベートキーやSRPを集中型パスワードマネージャーに保存することは避けてください。機密情報にはハードウェアウォレットやその他の安全なオフラインストレージ方法の使用を検討してください。
即時対応：暗号資産関連のデータをLastPassに保存していた場合は、予防措置として資産を新しいウォレットに移し、コントラクトやマルチシグウォレットの所有権を変更することを検討してください。
情報収集：評判の高いサイバーセキュリティの専門家やプラットフォームをフォローし、セキュリティの脅威と資産を守るためのベストプラクティスに関する最新情報を入手してください。
MetaMaskの2024年12月暗号資産セキュリティレポートでは、操作されたトレーニングデータを通じて暗号資産開発者を標的にしたAIコードポイズニング、偽のLinkedIn求人オファーを使って200万ドルを盗んだLazarus Group、Solanaの@solana/web3.jsライブラリへのサプライチェーン攻撃、そしてLastPassの侵害による損失が2億5,000万ドルを超えた件を取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
