ウォレットの安全性

約1.3億ドルのビットコイン損失に関わるウォレットセキュリティ事件が、暗号業界における資産管理モデルの再考を引き起こしています：ビットコイン保有者は個人での自己管理に依存すべきか、それとも機関による管理に移行すべきか。ハードウェアウォレットメーカーのColdcardは、2021年にランダム数生成の脆弱性が存在し、デバイスが生成した一部のリカバリーフレーズに予測可能なリスクがあったことが判明しました。この脆弱性は数年後に発見され、現在約5200以上のアドレス、約2000枚のBTCが盗まれ、損失規模は約1.3億ドルに達しています。事件発生後、一部の投資家はウォール街の管理商品に移行し始めました。データによると、アメリカの現物ビットコインETFは事件後数日内に約6.26億ドルの純流入がありました。ブルームバーグのETFアナリスト、エリック・バルチュナスは、このようなセキュリティ事件が資金をETFにさらに流入させる可能性があると述べています。しかし、ビットコインのコアコミュニティは依然として自己管理の理念を堅持しています。Casaの共同創設者、ジェイムソン・ロップは、最近の事件がユーザーの自己管理に対する信頼を損なうべきではないとし、第三者による管理にもリスクが存在することを指摘しました。ビットコインコアの初期開発者、ピーター・トッドも自己管理の長期的な安全記録は中央集権的な機関よりも優れていると考えています。ビットコイン管理プラットフォームOnrampの共同創設者、マイケル・タンガマは、両方の選択肢に欠陥があると考えています。彼は、大量の資産を単一の機関に集中させることは「ハニーポット」を形成し、ハードウェアウォレットはサプライチェーン、ファームウェア、ランダム数生成などのリスクに直面すると述べています。タンガマは「マルチ機関管理」プランを提案しており、複数の規制された機関がそれぞれ鍵を保有し、すべての取引には複数の機関の共同署名が必要であることで単一障害点のリスクを低減します。しかし、このモデルは論争を引き起こしています。批評家は、マルチ機関管理は安全性を高める一方で、許可制の管理を導入し、ビットコインが最初に追求していた分散型の理念と矛盾すると主張しています。ビットコインが徐々に年金、信託、機関資産の配分分野に進出する中で、業界は長期的な資産管理に適した新しい管理プランを模索しています。このColdcardの脆弱性事件は、安全性、分散化、使いやすさの間でバランスを取る方法が、ビットコインエコシステムが直面する核心的な課題であることを再び浮き彫りにしています。

Bitcoin News は X プラットフォームで、Trezor ユーザーが Trezor を装った Google のスポンサー検索結果をクリックした後、生涯の貯蓄が盗まれたと報告したと述べています。このフィッシングページは Google Sites にホストされており、被害者にウォレットの復元シードを入力させるように仕向けているとされています。Trezor は、この報告の処理を進めており、当該サイトの削除を進めていると述べ、ユーザーに対して、どのサイトやオンラインフォームでもウォレットのバックアップやリカバリーフレーズを入力しないよう警告しています。Google のスポンサーによるフィッシング広告は、暗号ユーザーが直面する継続的な攻撃手段であり続けています。

ブラジルのサンパウロ州の裁判所は、Coinbaseに対し、ユーザーがCoinbase Walletに預けた資金が無断取引で消失したと主張したため、約10万ドルを返還するよう判決を下しました。Coinbaseは、そのウォレットの秘密鍵は完全にユーザーが管理していると主張しましたが、その取引がウォレットの保有者によって開始されたことを証明できず、またその結果を防ぐためのセキュリティ対策が存在することも証明できませんでした。裁判所は「消費者保護法」に基づいて判決を下し、Coinbaseに全額と法定利息の返還を求めました。

チェーン上のアナリストSpecterの監視によると、Humanity Protocolに関連または相互作用したウォレットが侵害されています。現在、Hトークンを保有する17以上のウォレットが盗まれ、総損失は1,900万ドルを超えています。盗まれた理由は不明ですが、攻撃のパターンは影響を受けたウォレットがHumanity Protocolに関連する共通のリスクエクスポージャーを持っている可能性を示唆しています。

暗号分析家Wazzによると、数百のウォレット（その多くは7年以上休眠している）で、同じアドレスによってETHメインネット上の資金が空にされた。Aragonチームのメンバー@TheTakenUserも、自身のウォレットの資金が不明な理由で移動されたことを確認する投稿をしました。現在、この事件の発端はまだ明らかになっておらず、コミュニティの分析では、2017年から2020年の間の古いリカバリーフレーズ、秘密鍵、またはLastPassなどのストレージの漏洩や以前の危険な権限付与が原因であると考えられています。新しいスマートコントラクトの脆弱性ではありません。

慢雾の創業者である余弦はツイートで次のように述べています。「NoFxというオープンソースの自動取引システムを使用している友人たちは注意してください。私たちが開示したリスクが実際の盗難事件として現れました。一部のユーザーのウォレットの秘密鍵やCEX/DEXのAPIキーが漏洩しました。リスクを最小限に抑えるために、私たちは関連するセキュリティチームと連携し、影響を受けたユーザーに可能な限り通知を行った後に、この文を発表して詳細を開示します。」

ChainCatcher のメッセージによると、OneKey の中国語 Twitter によれば、最近の "Milk Sad 事件" に関連する乱数の脆弱性について、OneKey チームはこの脆弱性が OneKey のソフトウェアおよびハードウェアウォレットのニーモニックフレーズと秘密鍵の安全性に影響を与えないことを明らかにしました。脆弱性は、Libbitcoin Explorer (bx) 3.x バージョンがシステム時間と Mersenne Twister-32 アルゴリズムに基づく擬似乱数生成器を使用していることに起因し、シード空間はわずか 2³² ビットであり、攻撃者は予測またはブルートフォースで秘密鍵を導き出すことができます。影響を受ける範囲には、一部の古い Trust Wallet とすべての bx 3.x または古い Trust Wallet Core を使用している製品が含まれます。OneKey は、そのハードウェアウォレットが EAL6+ セキュリティチップに内蔵された TRNG 真の乱数生成器を採用していると述べています；古いデバイスも SP800-22 および FIPS140-2 エントロピー テストを通過しています；ソフトウェアウォレットはシステムレベルの CSPRNG エントロピーソースを使用して乱数を生成し、暗号学的基準に準拠しています。チームは、ユーザーに資産を管理するためにハードウェアウォレットを使用することを推奨し、ソフトウェアウォレットで生成されたニーモニックフレーズをハードウェアウォレットにインポートしないようにすることで、最高の安全性を確保することを強調しています。

ChainCatcher のメッセージによると、Trust Wallet の中国語チャンネルが発表したところによれば、チームはコミュニティの最近の2018年初期ウォレットバージョンの脆弱性に関する議論について明確にしました。この脆弱性は当時業界で一般的に使用されていた第三者のオープンソースの乱数ライブラリに起因しており、2018年7月に修正され、Wallet Core ライブラリにオープンソースとして記録されています。公式によれば、約1万人の初期ユーザーが影響を受け、全員に通知され、資産の移行が完了しており、損失は発生していません。2018年7月以降、新しく作成されたウォレットは影響を受けていません。現在、Trust Wallet は監査済みの暗号ライブラリと高強度の乱数アルゴリズムを採用しており、独立したセキュリティ監査およびバグ報奨プログラムを通じてセキュリティを強化し続けています。チームはまた、「ウォレットセキュリティ認識シリーズ」を発表し、ニーモニックフレーズと乱数のセキュリティ原理についての啓蒙を行い、「透明性と安全性は核心的な約束である」と再確認します。

ChainCatcher のメッセージ、Worldcoin はツイートで、各 World App ユーザーがイーサリアムのスマートコントラクトウォレットを持つことになり、そのウォレットはアカウント抽象を使用してセキュリティを向上させ、基盤には Safe のアカウント抽象スタックが使用されると述べています。さらに、World App は Polygon 上で最大の Safe ウォレットデプロイヤーとなりました。（出典リンク）

ChainCatcher のメッセージによると、安全機関 DilationEffect の研究は、他人の Apple ID を購入することが、他の人がデータを復元することでウォレット内の暗号資産を盗む原因になる可能性があることを示しています。現在、成熟した犯罪グループが存在し、ブロックチェーン上のデータは、盗まれた資金が 1000 万ドルを超えていることを示しています。DilationEffect は、App Store からアプリをダウンロードする際に国や地域の制限があることを指摘しています。例えば、中国本土のアカウントでは一部のアプリをダウンロードできず、多くのユーザーが（淘宝で）他人が提供するアメリカの Apple ID を購入したり、オンラインで共有されたものを使用したりしています。iPhone のバックアップ機能は、携帯電話のアプリデータをクラウドにバックアップするため、攻撃者があなたと同じ Apple ID を使用すると、彼の携帯電話上であなたのウォレットアプリデータを復元することができます。Dilation Effect は、iPhone を使用し、ウォレットアプリをインストールしているユーザーに対し、他人が提供した Apple ID を購入または使用した場合は、直ちに使用を停止し、ウォレット資産をすぐに移動するように警告しています。(出典リンク)

ChainCatcher のメッセージによると、The Block が報じたところでは、前 BitGo、Curv の幹部 Josh Schwartz が新しい暗号ウォレットセキュリティ会社 Fordefi を立ち上げました。Fordefi は、機関がさまざまなチェーンに参加できるウォレットプラットフォームを提供しています。Fordefi は、安全なマルチパーティ計算 (MPC) を使用して、ユーザーの秘密鍵をより妥協しにくい方法で分配し、ユーザーがブロックチェーンやスマートコントラクトとのインタラクションを自動化できるようにします。Fordefi の 25 人のチームは、イスラエルとニューヨークに拠点を置いており、Michael Volfman と Dima Kogan が含まれています。同社は、スタンフォード大学の暗号通貨教授 Dan Boneh と前 Curv CEO の Itay Malinger を顧問として雇っています。（出典リンク）

链捕手メッセージ、TokenPocketウォレットが発表したところによると、最近そのウォレットユーザーから、プラットフォームから送信されたトークンを受け取ったとのフィードバックがありました（この詐欺手法は任意のプラットフォームのラベルを模倣できます）が、実際には購入できるが売却できないといった状況が発生しています。これに対してTokenPocketのセキュリティ部門は、ユーザーからのフィードバックに基づいてオンチェーン情報を分析しました。これは、ブラウザ/ウォレットを利用して送金取引記録を解析し、任意のアドレス間の送金取引記録を偽造する新しいタイプの詐欺です。この取引記録の偽造は詐欺者が発行したトークンに対してのみ行われ、主流のトークン送信記録などの情報は詐欺者が偽造することはできません。TokenPocketはユーザーに警戒を呼びかけています。（出典リンク）