同じ四半期に、2社のセキュリティ企業が異なる数字を発表した。

Hacken：Q3の盗難被害は約11.8億ドル、107件。
CertiK：約12.6億ドル、247件。

金額はほぼ同じなのに、事件数は倍以上違う。「1件の事件」をどう数えるかは各社が独自に決めている。だから、こうした四半期レポートを統計局のデータのように見るべきではない。まずはマーケティング資料だ。

本当に注目すべきなのは、Hacken自身が書いているこの一文だ。約9.07億ドルの損失は、インフラへの侵入、修正すべき脆弱性の放置、あるいはそもそも監査対象外だったコンポーネントに関連している。つまり、プロジェクトの公式サイトに掲げられた「監査済み」バッジは、コントラクトのほんの一部しか監査していない可能性がある。資金が流出したのは、バックエンドや秘密鍵の管理、開発ツール、サプライヤー側だったりする。

そして皮肉なのは、「監査が誤った安心感を与える」と言っているのが、監査を売る会社だということ。結論は当然、「もっと監査を、もっと監視を、もっと年額サービスを」という方向に導かれる。こうしたデータを拡散するコントラクト速報アカウントの投稿には、取引所へのリンクも貼られ、集客まで一貫している。

データは参考にしても、結論は割り引いて受け止めよう。監査ロゴを見かけたら、まずレポートを開いて、対象範囲に何が書かれているか、いつ監査されたのか、監査後にコードが変更されていないかを確認しよう。資金の大半は天才ハッカーに盗まれるのではなく、「誰も責任を持たない部分」から流出している。

#安全 #監査