秘密鍵が盗まれていたのは20か月間。8つのウォレットが空になるまで、誰も気づかなかった
⚡ 有大动静群里说
Fearless Walletというブラウザー拡張機能が、2025年2月からユーザーのシードフレーズと秘密鍵を外部に送信し始め、今年10月まで続けていました。Polkadotコミュニティ財団が10月21日にようやくセキュリティ警告を発表。すでに8人のユーザーが被害を届け出ており、合計17,286 DOTが盗まれました。現在の価格で約1万7,700ドル相当です 💥
手口自体は目新しくありませんが、巧妙に隠されていました。ユーザーがウォレットのロックを解除した瞬間、拡張機能に仕込まれた悪意あるコードがシードフレーズ、秘密鍵、keystoreファイルをまとめ、HTTPリクエストで外部サーバーに送信します。さらに厄介なのは、遠隔操作できるスイッチが仕込まれていたこと。攻撃者はいつでも有効・無効を切り替えられるため、一般のユーザーは情報を抜き取られていることにまったく気づけません 🦖
その後、セキュリティ企業SlowMistが、影響を受けたバージョンは3.0.1と3.0.3〜3.0.5だと特定しました。悪意あるコードは6月にはソースコードから削除されていましたが、遠隔スイッチがオフになったのは10月。すでに盗まれたものは取り戻せません ⚠️
この問題をさらに深刻にしたのは、7月6日に発効したReferendum 1910です。Polkadotはノミネーターの解除期間を最長28日から約2日に短縮しました。早ければ24〜48時間で資産を引き出せます。ステーキングの使い勝手は向上しましたが、秘密鍵が他人の手に渡った場合、被害者が異常に気づき、助けを求め、資産を移動される前に食い止めるための猶予も、4週間から2日に縮まったのです 📉
ただし、ここは明確にしておく必要があります。公式は、解除期間の短縮が今回の盗難の原因だと示す証拠は現時点でないと明言しています。一部のアカウントでは、7月のアップグレード前に解除リクエストが出されており、旧ルールが適用されていました。それでも、リスクの方向性は明らかです。6月30日にはPAPI Rescueが、28日間を2エラに短縮すると対応に使える時間が足りなくなると警告していました。この救援サービスは、すでに25万ドル以上を取り戻したとしています。
私の見方では、これはPolkadotだけの問題ではありません。出金を速くし、ロック解除をスムーズにするすべてのパブリックチェーンが、向き合わなければならない課題です。流動性はプロダクトの強みであり、救援に使える時間は安全性のための予算です。どちらも同時に削られていくのに、ユーザーの目に映るのはたいてい前者だけです。
もうひとつ、間違った対処をする人が少なくありません。パスワードの変更、拡張機能の再インストール、同じシードフレーズを新しいウォレットにインポートすること。これらでは、情報が漏れたという事実は解決しません。秘密鍵が一度でも外部に送信されていたなら、唯一の方法は新しい鍵ペアを作り、資産を移すことです。公式も、向こうから接触してくる救援チームを信用しないこと、誰にも秘密鍵を渡さないことを呼びかけています。
スマホやブラウザーに、自分でもよく分かっていない拡張機能がいくつ入っていますか？ コメント欄で教えてください。
アバターをタップしてライブ配信を見る
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にあるロジックやチャンスも一緒に読み解きます 👀🚀
⚡ 有大动静群里说
Fearless Walletというブラウザー拡張機能が、2025年2月からユーザーのシードフレーズと秘密鍵を外部に送信し始め、今年10月まで続けていました。Polkadotコミュニティ財団が10月21日にようやくセキュリティ警告を発表。すでに8人のユーザーが被害を届け出ており、合計17,286 DOTが盗まれました。現在の価格で約1万7,700ドル相当です 💥
手口自体は目新しくありませんが、巧妙に隠されていました。ユーザーがウォレットのロックを解除した瞬間、拡張機能に仕込まれた悪意あるコードがシードフレーズ、秘密鍵、keystoreファイルをまとめ、HTTPリクエストで外部サーバーに送信します。さらに厄介なのは、遠隔操作できるスイッチが仕込まれていたこと。攻撃者はいつでも有効・無効を切り替えられるため、一般のユーザーは情報を抜き取られていることにまったく気づけません 🦖
その後、セキュリティ企業SlowMistが、影響を受けたバージョンは3.0.1と3.0.3〜3.0.5だと特定しました。悪意あるコードは6月にはソースコードから削除されていましたが、遠隔スイッチがオフになったのは10月。すでに盗まれたものは取り戻せません ⚠️
この問題をさらに深刻にしたのは、7月6日に発効したReferendum 1910です。Polkadotはノミネーターの解除期間を最長28日から約2日に短縮しました。早ければ24〜48時間で資産を引き出せます。ステーキングの使い勝手は向上しましたが、秘密鍵が他人の手に渡った場合、被害者が異常に気づき、助けを求め、資産を移動される前に食い止めるための猶予も、4週間から2日に縮まったのです 📉
ただし、ここは明確にしておく必要があります。公式は、解除期間の短縮が今回の盗難の原因だと示す証拠は現時点でないと明言しています。一部のアカウントでは、7月のアップグレード前に解除リクエストが出されており、旧ルールが適用されていました。それでも、リスクの方向性は明らかです。6月30日にはPAPI Rescueが、28日間を2エラに短縮すると対応に使える時間が足りなくなると警告していました。この救援サービスは、すでに25万ドル以上を取り戻したとしています。
私の見方では、これはPolkadotだけの問題ではありません。出金を速くし、ロック解除をスムーズにするすべてのパブリックチェーンが、向き合わなければならない課題です。流動性はプロダクトの強みであり、救援に使える時間は安全性のための予算です。どちらも同時に削られていくのに、ユーザーの目に映るのはたいてい前者だけです。
もうひとつ、間違った対処をする人が少なくありません。パスワードの変更、拡張機能の再インストール、同じシードフレーズを新しいウォレットにインポートすること。これらでは、情報が漏れたという事実は解決しません。秘密鍵が一度でも外部に送信されていたなら、唯一の方法は新しい鍵ペアを作り、資産を移すことです。公式も、向こうから接触してくる救援チームを信用しないこと、誰にも秘密鍵を渡さないことを呼びかけています。
スマホやブラウザーに、自分でもよく分かっていない拡張機能がいくつ入っていますか？ コメント欄で教えてください。
アバターをタップしてライブ配信を見る
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にあるロジックやチャンスも一緒に読み解きます 👀🚀