2021年12月、分散型金融（DeFi）プラットフォームのBadgerDAOで、攻撃者がユーザーから約1億2,100万ドルを盗み出しました。この攻撃では、プロジェクトの公式ウェブサイトに悪意のあるコードが埋め込まれ、ユーザーがトークンの移転を許可するよう誘導されました。攻撃者がユーザーの秘密鍵を盗む必要はありませんでした。
この事件は、ウェブサイトのアドレスを確認するだけでは防げないリスクを示しています。正規のウェブサイトであっても侵害される可能性があり、ウォレットに送信されるリクエストが改ざんされることもあります。
BadgerDAOへの攻撃：信頼できるウェブサイトからの悪意あるリクエスト
Microsoftの分析によると、攻撃者はCloudflareのAPIキーを入手しました。これは、BadgerDAOのウェブサイトを支えるサービスを管理するための認証情報です。このアクセス権を利用して、ウェブサイトのフロントエンド、つまり訪問者がプラットフォームを操作するための画面に悪意のあるコードを挿入しました。
改ざんされた画面は、攻撃者が管理するアドレスにトークンの使用を許可するよう、ユーザーに求めました。ユーザーがこの権限を付与すると、攻撃者はその権限を利用して、対象となる資産をユーザーのウォレットから移転できるようになりました。
攻撃者はCloudflareを利用して、どのようにBadgerDAOのウェブサイトを改ざんしたのか
BadgerDAOへの攻撃者は、Cloudflareのアクセスキーを入手しました。これは、ウェブサイトの配信方法を変更できるデジタルキーのようなものです。攻撃者はこのアクセス権を利用し、BadgerDAOの実際のウェブサイトに悪意のあるコードを挿入しました。
正しいアドレスにアクセスしていても、被害に遭う可能性があります。ユーザーが正規のURLにアクセスしていても、トークンの使用権限を攻撃者に与えるウォレットリクエストが表示される可能性がありました。悪意のあるコードは断続的に動作し、特定のウォレットだけを標的にしていたため、発見が困難でした。ここから得られる教訓は明確です。使い慣れたウェブサイトであっても、有名なセキュリティサービスを利用していても、危険な承認リクエストが表示される可能性があります。
Cloudflare、BadgerDAO、そしてウォレット：実践的なセキュリティ対策
長期保有資産はDeFi用ウォレットと分けて管理する。
長期保有する資産は、ハードウェアウォレットで保護し、そのウォレットをDeFiの承認操作に使用することは避けましょう。スワップ、DeFi、トークンの請求には別のアドレスを使用し、それぞれの用途に必要な分だけ資金を入れておくことをおすすめします。
使い慣れたウェブサイトで予期しない要求が表示されたら、操作を止める。
普段どおりの操作中に、理由のわからない承認リクエストが表示された場合は、慎重に確認してください。何年も利用しているウェブサイトであっても例外ではありません。操作を続ける前に、別途アクセスした公式の情報源を通じて確認しましょう。URLが正しくても、そのページの安全性が保証されるわけではありません。
ハードウェアウォレットが保護するものを理解する。
ハードウェアウォレットは秘密鍵を保護します。しかし、悪意のあるトークン承認に署名すると、後から攻撃者が承認済みのトークンを移転する権限を得る可能性があります。この場合、移転のたびにデバイスで再度確認する必要がないこともあります。シードフレーズを秘密にしていても、この種の盗難は防げません。
不審な承認を行ってしまった場合の対処法を知っておく。
疑わしいウェブサイトの利用を中止し、信頼できるツールを使って承認状況を速やかに確認し、不要な権限を取り消してください。Ethereumの場合、Etherscanのトークン承認チェッカーが選択肢の一つです。疑わしいウェブサイトを経由せず、独立してアクセスしてください。ウォレットの接続を解除しても、付与済みの権限は取り消されません。また、権限を取り消しても、すでに完了した資産の移転を元に戻すことはできません。
自己管理型ウォレットの設定について、さらにサポートが必要ですか？
BitcoinVNでは、お客様一人ひとりの状況に合わせた、きめ細かな個別相談を通じて、自己管理型ウォレットの設定を確認し、安全な運用をサポートしています。日常的なアクセス方法からバックアップ、復元手順まで、お客様の状況を理解したうえで全体を丁寧に確認し、経験や優先事項、必要なサポートに合わせたアドバイスをご提供します。
