昨日、暗号資産界隈で最も話題になったハッキング事件は、取引所とはまったく関係がありません。被害に遭ったのはRailway。開発者向けのアプリデプロイ用クラウドプラットフォームで、利用者は200万人にのぼるとされています。
10月21日の朝、Railwayはユーザーの環境変数を保存するシステムに異常が発生していることを検知し、直後に全サイトのビルドとデプロイを停止しました。環境変数とは何かというと、要するにアプリの実行に必要な秘密の設定情報です。APIキー、データベースのパスワード、コンテナレジストリの認証情報などが含まれます。中には手軽さを優先して、秘密鍵をそのまま入れていた人も少なくありません。公式発表は慎重な表現で、「権限のない第三者が暗号化された環境変数にアクセスし、その一部について復号後の内容を取得した可能性がある」としています。含みのある言い方ですね。あとはご想像にお任せします。
事態を裏付けたのは、セキュリティ研究者のTaylor Monahanです。彼女はハッカーのアドレス0xd9773325282874d18cb83f1fe50f14c39750b2eeを追跡。最初の暗号資産窃盗取引は10月21日19:36 UTCに発生しました。その後、500件を超える取引が200以上のアドレスを巡り、19のEVMチェーンにまたがっていました。手口は既製のsweeperスクリプトで、被害額は37万1,000ドルと推定されています。彼女が公開したタイムラインは興味深いものでした。プラットフォームは朝の時点でビルドを停止していたのに、暗号資産の窃盗取引が起きたのは夜。その間の沈黙について、彼女は「弁護士にとって悪夢」と皮肉を言っています。データの不確かな部分を明確にしておくと、37万1,000ドルというのは彼女個人によるオンチェーン上の推定であり、Railway公式はまだ独自に確認していません。
この件は私たち一般の個人投資家にどう関係するのでしょうか。まず、暗号資産を失う原因は、必ずしもスマートコントラクトの脆弱性やフィッシングリンクのクリックとは限りません。自分が直接関わっていないところで問題が起きることもあります。クラウドプラットフォームで取引ボットを動かしたり、ノードを監視したりしている人は多く、秘密鍵や取引所のAPIキーが環境変数に保存されていることもあります。プラットフォームが侵害されれば、あなたのウォレットも侵害されたのと同じです。取引所のAPIキーを盗まれれば、相手が直接出金できる可能性もあります。ボットを使わなければ安全でしょうか？必ずしもそうとは限りません。コピートレードソフトやクオンツツール、資産管理アプリに使用を許可した取引所のAPIキーも、同じように相手のプラットフォームに保存されています。仕組みはまったく同じです。次に、クラウドプラットフォームは金庫ではありません。秘密鍵をクラウドに置いた時点で、それはプラットフォームの秘密鍵になったも同然です。運用に問題が起きないことを祈るしかありません。
私個人の結論は明快です。ボットを動かすなら、できるだけローカルのマシンか、自分で管理するサーバーを使いましょう。どうしてもクラウドを使うなら、取引所APIキーの出金権限を無効にして、取引権限だけを残してください。Railwayは今回の事件について、「AI推論サービス事業者を標的とした一連の攻撃の一環である可能性がある」とも述べています。AIブームには、ハッカーまで目をつけているようです。
第三者ツールに、あなたの取引所APIの使用を許可したことはありますか？コメント欄で正直に教えてください。
#Railway #被黑事件 #私钥安全 #交易机器人 #web3セキュリティ
—— web3韭菜小凯
免責事項：個人の見解であり、投資助言ではありません。
10月21日の朝、Railwayはユーザーの環境変数を保存するシステムに異常が発生していることを検知し、直後に全サイトのビルドとデプロイを停止しました。環境変数とは何かというと、要するにアプリの実行に必要な秘密の設定情報です。APIキー、データベースのパスワード、コンテナレジストリの認証情報などが含まれます。中には手軽さを優先して、秘密鍵をそのまま入れていた人も少なくありません。公式発表は慎重な表現で、「権限のない第三者が暗号化された環境変数にアクセスし、その一部について復号後の内容を取得した可能性がある」としています。含みのある言い方ですね。あとはご想像にお任せします。
事態を裏付けたのは、セキュリティ研究者のTaylor Monahanです。彼女はハッカーのアドレス0xd9773325282874d18cb83f1fe50f14c39750b2eeを追跡。最初の暗号資産窃盗取引は10月21日19:36 UTCに発生しました。その後、500件を超える取引が200以上のアドレスを巡り、19のEVMチェーンにまたがっていました。手口は既製のsweeperスクリプトで、被害額は37万1,000ドルと推定されています。彼女が公開したタイムラインは興味深いものでした。プラットフォームは朝の時点でビルドを停止していたのに、暗号資産の窃盗取引が起きたのは夜。その間の沈黙について、彼女は「弁護士にとって悪夢」と皮肉を言っています。データの不確かな部分を明確にしておくと、37万1,000ドルというのは彼女個人によるオンチェーン上の推定であり、Railway公式はまだ独自に確認していません。
この件は私たち一般の個人投資家にどう関係するのでしょうか。まず、暗号資産を失う原因は、必ずしもスマートコントラクトの脆弱性やフィッシングリンクのクリックとは限りません。自分が直接関わっていないところで問題が起きることもあります。クラウドプラットフォームで取引ボットを動かしたり、ノードを監視したりしている人は多く、秘密鍵や取引所のAPIキーが環境変数に保存されていることもあります。プラットフォームが侵害されれば、あなたのウォレットも侵害されたのと同じです。取引所のAPIキーを盗まれれば、相手が直接出金できる可能性もあります。ボットを使わなければ安全でしょうか？必ずしもそうとは限りません。コピートレードソフトやクオンツツール、資産管理アプリに使用を許可した取引所のAPIキーも、同じように相手のプラットフォームに保存されています。仕組みはまったく同じです。次に、クラウドプラットフォームは金庫ではありません。秘密鍵をクラウドに置いた時点で、それはプラットフォームの秘密鍵になったも同然です。運用に問題が起きないことを祈るしかありません。
私個人の結論は明快です。ボットを動かすなら、できるだけローカルのマシンか、自分で管理するサーバーを使いましょう。どうしてもクラウドを使うなら、取引所APIキーの出金権限を無効にして、取引権限だけを残してください。Railwayは今回の事件について、「AI推論サービス事業者を標的とした一連の攻撃の一環である可能性がある」とも述べています。AIブームには、ハッカーまで目をつけているようです。
第三者ツールに、あなたの取引所APIの使用を許可したことはありますか？コメント欄で正直に教えてください。
#Railway #被黑事件 #私钥安全 #交易机器人 #web3セキュリティ
—— web3韭菜小凯
免責事項：個人の見解であり、投資助言ではありません。