毎月、MetaMaskのセキュリティディレクターであるLukerが、最新の暗号資産攻撃と知っておくべき新たなリスクについてレポートします。
2024年11月は、思わず戸締まりを確認したくなるようなニュースが相次ぎました。トロント中心部で暗号資産企業のCEOが誘拐され、100万ドルの身代金を要求される事件が発生。ZachXBTは650万ドル規模のCoinbaseサポートなりすまし詐欺の実態を暴露。MicrosoftはCYBERWARCONで北朝鮮（DPRK）による10年にわたるサイバー能力の進化を詳細に解説しました。一方、AIおばあちゃんが救世主になるかもしれない？英国の通信会社O2は、電話詐欺師への対抗策として、猫の話を延々と続けるAIおばあちゃんを投入するという奇策に打って出ました。
今月はプロアクティブなセキュリティアップデートも盛りだくさんでした。MetaMaskはSignature Insight Snapsをリリース、LavaMoatはGitNationで新たなデモを披露、SEALはDIYウォーゲーム演習テンプレートを公開、そしてThe Red GuildはPhishing Dojoをローンチし、ユーザーが実際の詐欺シナリオに対してトレーニングできる環境を提供しました。詳細は以下をご覧ください。その前に…
Jude Milhonは「cypherpunk」という言葉を生み出した人物として知られ、ハッカーたちの守護聖人と称されています。
2024年11月にバンコクで開催されたDevcon 7では、追いきれないほど多くのセッションが行われました。そんな中、MetaMaskのTaylor Monahanがセキュリティトラックからお気に入りを厳選してくれました。ポップコーンを用意してください。このスレッドはかなりのボリュームです。
ユーザーのセキュリティ強化に役立つ最新タイプのMetaMask Snaps、Signature Insight Snapsをご紹介します。これらのSnapsは署名リクエストを分析し、その目的と潜在的なリスクについてユーザーに情報を提供することで、フィッシング詐欺や不正アクセスの防止に役立ちます。
初期ラインナップには、署名リクエストをデコードして関連するコントラクトを特定し、潜在的な脅威をユーザーに警告するKleros Scoutと、paymasterに関連するトランザクションの詳細情報を提供することでzkSyncエコシステムにおける署名トランザクションの可読性を向上させるZyFi Paymaster Insightsが含まれています。これらのSnapsはMetaMask Extension 12.4.2以降を使用して、MetaMask Snapsディレクトリからインストールできます。
Drainer、トランザクションシミュレーション、豚の屠殺（pig butchering）詐欺など…MetaMask SecurityのOhmによるDevcon 2024ライトニングトークは、暗号資産詐欺の手口が凝縮された内容となっています。
またやってくれました。LavaMoatオープンソースツールキットが悪意あるNPMパッケージのリスクをどのように軽減するかについて、ZbigniewのGitNationでの最新トークが公開されています。LavaMoatは各パッケージを独自のコンパートメントに隔離し、厳格なアクセスポリシーを定義するためのツールを提供します。クッキーの盗難や機密性の高いグローバル変数への不正アクセスといった脅威を防ぎます。期間限定で、LavaMoatをプロジェクトに統合するためのサポートを提供していますので、アプリケーションのセキュリティを手軽に強化できます。ご質問は[email protected]までZBにお問い合わせください。
Security Alliance Wargames Drill Scenario Templateについて、Kelsie Nabbenの解説記事をご覧ください。The Security Allianceが設計・公開したこのオープンソースGitHubリポジトリは、プロトコルチームが独自のセキュリティ演習を実施するためのテンプレートです。このテンプレートはウォーゲームシナリオの計画・実行に関する包括的なガイダンスを提供しており、以下の内容が含まれています：
演習の企画・実施に関するステップバイステップの手順
ローカルフォーク上でFoundryとHardhatを使用した開発・テスト環境のセットアップ
Tenderly上でのライブフォークの設定
Prometheus、Grafana、OpsGenieと連携した卓上演習および監視ボットサービスのテンプレート
このイニシアチブは、ブロックチェーンエコシステム内でプロアクティブなセキュリティ文化を育むことを重視し、進化する脅威に対する継続的な備えを促進しています。テンプレートの詳細とアクセスについては、GitHubリポジトリをご覧ください。
英国の通信会社O2が、電話詐欺師に一泡吹かせるAI搭載のおばあちゃん「Daisy」を投入しました。Daisyは詐欺師を編み物や猫、「懐かしい思い出」についての笑えるほど的外れな会話に引き込み、彼らの時間を無駄にしながら実際の被害者を守ります。詐欺師がだまそうとする間、Daisyは彼らの手口に関する情報を収集し、最もチャーミングな方法で形勢を逆転させます。おばあちゃんのおしゃべりが秘密兵器になるとは、誰が想像したでしょうか？
セキュリティ研究・教育グループのThe Red Guildが、暗号資産空間におけるフィッシング詐欺の識別と回避をユーザーが学べるインタラクティブプラットフォームPhishing Dojoをローンチしました。この教育ツールは、詐欺メール、不正なエアドロップサイト、悪意あるトランザクション承認などのシナリオを提示し、一般的な脅威の認識と対応を実践できます。このイニシアチブは、暗号資産エコシステムを標的とする高度化するサイバー攻撃に対するコミュニティの意識と耐性を高めることを目的としています。
MicrosoftのThreat Intelligenceアナリストが、CYBERWARCON 2024において北朝鮮および中国のサイバー脅威アクターに関する詳細な調査結果を発表しました。「DPRK – all grown up（北朝鮮、ついに大人に）」と題されたセッションでは、北朝鮮が10年にわたって高度なサイバー能力を発展させ、大規模な暗号資産窃取を可能にし、衛星や兵器システムに関連する組織を標的にしていることが明らかにされました。また、「中国のサイバー作戦の進化」と題した発表では、中国が活動を隠蔽するために脆弱なSOHO（小規模オフィス/家庭用オフィス）デバイスを悪用するなど、作戦上のセキュリティを強化する新たな戦術を採用していることが検証されました。これらの知見は、これらの国家によるサイバー脅威の高度化と適応能力の向上を浮き彫りにしています。
何が起きたか
暗号資産調査員でSEALメンバー、そして真のhoopy froodであるZachXBTが、詐欺師Ronald Spektorが主導する巧妙なフィッシング作戦を暴露しました。Spektorは2024年10月にCoinbaseサポートを装い、650万ドル以上を窃取しました。被害者を公式サポートを装って誘い込み、盗んだ資金をTON連携ウォレットを通じてマネーロンダリングし、発覚を逃れるためにSNSアカウントを削除しました。こうした努力にもかかわらず、ZachXBTの調査により追跡されていない資金と潜在的な共犯者が特定され、被害者と当局が盗まれた資産を回収するための新たな手がかりが得られることへの期待が高まっています。
ユーザーが自身を守る方法
暗号資産空間でカスタマーサポートを装う詐欺師から身を守るには、警戒心と積極的なセキュリティ対策が必要です。主な対策を以下に示します：
情報源を確認する：サポートへの連絡には公式ウェブサイトやアプリのみを使用する。メールやSNSのリンクは避ける。
不審な連絡は無視する：正規の企業が突然連絡してきたり、緊急の対応を求めたりすることはない。
機密情報を守る：秘密鍵、リカバリーフレーズ、パスワードは絶対に共有しない。画面共有も避ける。
情報を常に収集する：一般的な詐欺の手口を学び、信頼できるセキュリティ専門家をフォローする。
追加のセキュリティを活用する：利用可能な場合は2FAとフィッシング対策ツールを有効にする。
リクエストを二重確認する：対応する前に公式チャネルを通じてサポートの主張を確認する。
2024年11月初旬、トロントを拠点とする暗号資産企業WonderFiのCEO、Dean Skurkaがトロント中心部で誘拐され、100万ドルの身代金を要求されました。事件は午後6時前、University AvenueとRichmond Street Westの近くで発生しました。誘拐犯はSkurkaを車に乗せ、身代金を要求し、電子的に支払われました。Skurkaはその後、EtobicokeのCentennial Parkで無事に発見されました。同氏はWonderFiのクライアント資金とデータは安全であり、事件の影響を受けていないことを公表しました。専門家は、このような攻撃はまれではあるものの、暗号資産の価値が急騰する時期と重なることがあり、犯罪者が暗号資産業界の著名人物を高額な標的と見なす可能性があると指摘しています。
ユーザーが自身を守る方法
5ドルのレンチ攻撃（物理的な強制力、例えば脅迫や暴力を使って秘密鍵の開示や暗号資産へのアクセスを強要する手口）を決して軽視しないでください。できる限り目立たないようにし、公の場で保有資産を誇示することは避けましょう。複数のソフトウェアウォレットとハードウェアウォレットに資金を分散させ、保有資産の大部分をコールドストレージに保管することで、ストレージを多様化しましょう。マルチシグウォレットとタイムロックトランザクションの活用も検討してください。そして、もしこのような状況に直面した場合、あなたの命は暗号資産よりも大切だということを忘れないでください。
MetaMaskの2024年11月暗号資産セキュリティレポートでは、WonderFiのCEOが100万ドルの暗号資産身代金目的で誘拐された事件、ZachXBTが暴露した650万ドル規模のCoinbaseサポートなりすまし詐欺、MicrosoftがCYBERWARCONで明らかにした北朝鮮・中国のサイバー能力、そしてMetaMaskによるSignature Insight Snapsのローンチを取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
