四半期で11億8,000万ドルが盗まれた。本当の問題はコードの脆弱性ではない 🦖
📊 进群看每日策略
ブロックチェーンセキュリティ企業Hackenが木曜日に発表した第3四半期レポートによると、7月から9月にかけて暗号資産業界では107件の攻撃が発生し、被害額は11億8,000万ドルに上りました 💥 第2四半期より55％増加し、そのうち9億680万ドルは、サプライヤーや開発ツール、未適用のパッチ、監査対象外のコンポーネントに関連しており、損失総額の77％を占めています。
つまり、多くの人はハッカーがスマートコントラクトから資金を盗んでいると思っていますが、実際には資金の約8割が、プロジェクト側がきちんとテストしていない周辺部分から流出しているのです ⚠️
レポートが指摘する中心的な問題は、監査の範囲です。Hackenの共同創業者Andrii Matiukhin氏によると、資金や経済設計に関わるすべてのコンポーネントを監査対象に含めるには費用がかかりすぎるため、チームは中核部分だけを監査しています。ユーザーは監査済みのバッジを見てシステム全体が対象だと思い込んでしまいますが、結局は秘密鍵やサプライヤー、あるいは一度もテストされていない設定が原因で資金を失うのです。
被害額が最大だったのは9月に発生したある取引所への攻撃で、少なくとも3億5,200万ドルが失われました。侵入経路は秘密鍵の漏えいではなく、サードパーティ製のセキュリティ製品でした。また、Ledgerが今週公表したスパイチップ事件の被害額は約9,300万ドル、Liquid Networkの盗難被害は3億1,900万ドル、Coldcardのウォレットソフトウェアは約1億1,400万ドル、Tectonicは少なくとも7,500万ドルに上ります。7月には3つのクロスチェーンブリッジで、6時間以内に合計3,500万ドル超の被害が発生しました。
さらに注目すべき数字があります。Hackenが12のデリバティブ取引プラットフォームを調査したところ、大手2社では7億ドル超の資産の安全性が、4本の鍵のうち3本をそろえる署名方式、あるいは保有者が公開していない管理鍵に依存していました。レポートでは、現在悪用されている脆弱性は見つからなかったとしていますが、これだけの資金を扱うには、このような鍵の構成では安全性が不十分です。
私の見立てでは、監査済みのラベルは安心させるためのプラセボになりつつあります。それが証明するのは、ある時点で、ある範囲のコードが誰かに確認されたということだけです。ウォレットや署名システム、サードパーティへの依存関係、パッチの適用状況に問題がないことまでは保証しません 🔍 本当に確認すべきなのは、今回の監査で何が対象になったのか、前回見つかった脆弱性にパッチが適用されたのか、資金を何本の鍵で管理しているのか、そして鍵の保有者は誰なのかです。
一般ユーザーがプロジェクトを選ぶときは、監査済みかどうかだけを見るより、監査レポートの対象範囲と修正履歴を確認するほうがよいでしょう。この2つは、バッジよりもはるかに偽造しにくいものです。
プロジェクトを選ぶとき、監査レポートを確認しますか？ それとも「監査済み」という言葉を見ただけで安心しますか？
プロフィール画像をタップしてライブ配信をチェック
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にある仕組みやチャンスもわかりやすく解説します 👀🚀
📊 进群看每日策略
ブロックチェーンセキュリティ企業Hackenが木曜日に発表した第3四半期レポートによると、7月から9月にかけて暗号資産業界では107件の攻撃が発生し、被害額は11億8,000万ドルに上りました 💥 第2四半期より55％増加し、そのうち9億680万ドルは、サプライヤーや開発ツール、未適用のパッチ、監査対象外のコンポーネントに関連しており、損失総額の77％を占めています。
つまり、多くの人はハッカーがスマートコントラクトから資金を盗んでいると思っていますが、実際には資金の約8割が、プロジェクト側がきちんとテストしていない周辺部分から流出しているのです ⚠️
レポートが指摘する中心的な問題は、監査の範囲です。Hackenの共同創業者Andrii Matiukhin氏によると、資金や経済設計に関わるすべてのコンポーネントを監査対象に含めるには費用がかかりすぎるため、チームは中核部分だけを監査しています。ユーザーは監査済みのバッジを見てシステム全体が対象だと思い込んでしまいますが、結局は秘密鍵やサプライヤー、あるいは一度もテストされていない設定が原因で資金を失うのです。
被害額が最大だったのは9月に発生したある取引所への攻撃で、少なくとも3億5,200万ドルが失われました。侵入経路は秘密鍵の漏えいではなく、サードパーティ製のセキュリティ製品でした。また、Ledgerが今週公表したスパイチップ事件の被害額は約9,300万ドル、Liquid Networkの盗難被害は3億1,900万ドル、Coldcardのウォレットソフトウェアは約1億1,400万ドル、Tectonicは少なくとも7,500万ドルに上ります。7月には3つのクロスチェーンブリッジで、6時間以内に合計3,500万ドル超の被害が発生しました。
さらに注目すべき数字があります。Hackenが12のデリバティブ取引プラットフォームを調査したところ、大手2社では7億ドル超の資産の安全性が、4本の鍵のうち3本をそろえる署名方式、あるいは保有者が公開していない管理鍵に依存していました。レポートでは、現在悪用されている脆弱性は見つからなかったとしていますが、これだけの資金を扱うには、このような鍵の構成では安全性が不十分です。
私の見立てでは、監査済みのラベルは安心させるためのプラセボになりつつあります。それが証明するのは、ある時点で、ある範囲のコードが誰かに確認されたということだけです。ウォレットや署名システム、サードパーティへの依存関係、パッチの適用状況に問題がないことまでは保証しません 🔍 本当に確認すべきなのは、今回の監査で何が対象になったのか、前回見つかった脆弱性にパッチが適用されたのか、資金を何本の鍵で管理しているのか、そして鍵の保有者は誰なのかです。
一般ユーザーがプロジェクトを選ぶときは、監査済みかどうかだけを見るより、監査レポートの対象範囲と修正履歴を確認するほうがよいでしょう。この2つは、バッジよりもはるかに偽造しにくいものです。
プロジェクトを選ぶとき、監査レポートを確認しますか？ それとも「監査済み」という言葉を見ただけで安心しますか？
プロフィール画像をタップしてライブ配信をチェック
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にある仕組みやチャンスもわかりやすく解説します 👀🚀