ブロックチェーンセキュリティ企業CertiKによると、大手テクノロジー企業が緊急修正を行ったにもかかわらず、暗号資産取引ボットや取引所アプリは、eMudhraの証明書に関するセキュリティ上の欠陥にさらされたままの可能性がある。

火曜日までに、Google、Apple、Microsoftなどの大手テクノロジー企業は、インドのeMudhraが発行した脆弱な証明書8件をブロックした。しかし、別のセキュリティシステムを使う暗号資産アプリは、修正によって保護されない可能性があると、CertiKでデジタル資産セキュリティを担当するシニアディレクターのPeiyu Wang氏がCointelegraphに語った。

「主要なブラウザーによるブロックは、それを受け取り適用するクライアントのリスクを大幅に低減します」とWang氏は述べた。「ブラウザーのエコシステム外にある一部のアプリケーションは、Certificate Transparencyを適用しておらず、同等の失効保護も受けていません。」

Wang氏は、暗号資産サービスが他の業界よりも本質的にこの脆弱性の影響を受けやすいわけではないと強調した。しかし、攻撃者は侵害された証明書を悪用し、取引所、ウォレットのインターフェース、APIで使用されるHTTPS接続になりすます可能性がある。

Wang氏によると、攻撃者は暗号資産サービスになりすまして入金先アドレスを差し替えたり、ユーザーをだまして悪意のある取引を承認させたりする可能性がある。こうした攻撃には、ユーザーのインターネット通信を傍受またはリダイレクトする必要もある。一方、侵害された認証局の鍵だけでは、ウォレットの秘密鍵が漏えいすることはない。

Wang氏は、暗号資産事業者に対し、ソフトウェアと証明書の信頼ストアを更新し、アプリケーションが影響を受けた証明書を拒否することを確認するよう呼びかけた。

Felix Ngが取材に協力した。