監査バッジは、暗号資産業界で最も高価なプラセボかもしれない。

ブロックチェーンセキュリティ企業Hackenが今週発表した第3四半期レポートが、数字を突きつけた。Q3にハッカーが暗号資産プロジェクトから奪ったのは11億8000万ドル。事件は107件で、前四半期比55％増だった。

最も目を引くのは総額ではなく、その内訳だ。損失の約9億680万ドル（77％）は監査の対象範囲外で発生している。侵害されたサプライヤー、汚染された開発ツール、公開済みなのに適用されなかったパッチ、監査対象から除外されていたコンポーネントなどだ。

Hackenの共同創業者、Andrii Matiukhin氏は「問題はいつだって対象範囲にある」とひと言で言い表した。監査では通常、特定のスマートコントラクト数件しか確認しない。ウォレットや署名システム、サードパーティ製ソフトウェアは対象外だ。ユーザーは「監査済み」のバッジを見て、プラットフォーム全体が確認済みだと思い込む。しかし実際には、誰もテストしていない鍵やサプライヤー、設定から資金が失われている。

今四半期の主な被害は、Bitgetが9月に約3億8700万ドル（報道によると、サードパーティ製セキュリティ製品の脆弱性が出金システムに影響）、Liquid Networkが約3億2000万ドル、Tectonicが約1億2000万ドル、Coldcardのファームウェア脆弱性が約1億1500万ドル。スマートコントラクトの脆弱性は、発生件数こそ最多だったが、1件あたりの損失は最小で、71件、約2億2800万ドルだった。

明るい材料は、資金回収の仕組みが機能していることだ。約3億8700万ドルが回収またはロールバックされた（Liquidの事件ではホワイトハットが2億7200万ドルを返還し、CronosのバリデーターがTectonic関連の取引をロールバック）。運営側が約4億1000万ドルを補填し、最終的に行方が分からない資金は約3億8400万ドルで、全体の3割強にとどまった。

私の考えでは、監査に意味がないわけではない。監査が守るのは「コードのロジック」だが、今のハッカーが狙っているのは「人、サプライチェーン、鍵」だ。個人投資家が参考にできる基準はひとつ。もう「監査済み」を免罪符にせず、チームが継続的なパッチ適用やバグ報奨金制度、マルチシグ、ハードウェアキーといった運用対策を実施しているか、よく確認することだ。

次に「監査済み」の大きなバナーを見かけたら、こう尋ねてみてほしい。監査されたのは、具体的にどの部分なのか？

あなたはプロジェクトの監査レポートを確認しますか？それとも利回りだけを見ますか？

#黑客 #安全审计 #安全

以上は投資助言ではありません。DYOR（ご自身で調査してください）。取引にはリスクが伴います。