ニア(NEAR)ウォレット、秘密鍵情報の流出もホワイトハッカーが予防

NEAR Walletが過去事例を報告

暗号資産(仮想通貨)ニアプロトコル(NEAR)のエコシステムを支援するNEAR財団は4日、NEAR Walletで対処済みのセキュリティ上のバグについて報告した。

NEAR Walletにおいて、EメールやSMSを使ったウォレットの新規作成や復元時に、機密データがサードパーティに流出していたことが明らかになった。

この情報共有は、ソラナ(SOL)のSlopeウォレットで最近起きたセキュリティ侵害を受けての動きとなる。今週3日以降、ソラナ関連のウォレットからSOL等の資産が流出。被害額は推定10億円(800万ドル)で約8,000件のアドレスが影響を受けていた。

原因は定かではないが、ソラナ対応ウォレットの一つ「Slope」の中央サーバーに「平文(暗号化されていないデータ)」で秘密鍵とニーモニックが送信されていたことが分かっており、ハッカーに突かれたと見られている。また、Slopeが使用するアプリケーション監視サービス「Sentry」が、秘密鍵情報を収集する媒介になったとの見方もある。

NEAR財団はソラナについて言及していないが、機密情報が中央サーバーに保存されている事がわかり、速やかに対処したと報告。不正流出の被害は出なかったが、ホワイトハッカーに報奨金を支払ったとした。財団は以下のように述べている。

他のプラットフォームでの最近のウォレットハックは、Web3で一般的に使用される分析ツールに関して、深刻なセキュリティ上の懸念を浮き彫りにした。これらのハックを踏まえて、我々は同様のツールを含む、最近の経験について共有する。

NEAR Walletチームは22年6月6日、ホワイトハッカーのHacxyk氏からバグ報告を受け、機密情報がサードパーティと共有されている事態を把握したと説明。特定のアップグレード後に、メールやSMSを使ったウォレット復元を行ったユーザーの機密情報が収集される状況になったとした。

関連:ソラナの仮想通貨ウォレットが標的に、ハッキングによる大量被害

被害は出ていない

Hacxyk氏もまた、NEAR Walletでの事象とソラナSlopeウォレットのハッキング事件との類似性を指摘。Near walletのユーザーがウォレットの復元方法として「メール」を選択すると、シードフレーズがサードパーティに流出する状態になっていたと加えた。

当時、NEAR Walletチームは即座に問題を修正し、収集された機密データを全て消去。また、収集された機密データにアクセス可能な人物も特定。現在までに、この件に由来するセキュリティ侵害は起きておらず、収集された機密情報も全て削除済みとされている。

執筆時点では、メールやSMSを使った新規ウォレット作成は不可能。NEAR財団は「(現在)侵害されている証拠はない」と強調した上で、過去にメールやSMSを使ったリカバリー機能を使用した経験のある人にLedgerウォレットを使用するか、設定画面から同機能をオフに切り替えておくよう推奨している。NEAR財団は以下のようにまとめた。

ユーザーの選択と行動もセキュリティに影響を与えます。ウォレットを保護するため、Ledgerのようなハードウェアデバイスの使用を検討してください。

ウォレットの作成とアクセスには、信頼と安全性の高いデバイスのみを使用してください。リカバリーフレーズや秘密鍵は絶対に口外しないでください。

関連:ソラナ財団、ハッキングの原因特定に成功

24時間上昇率ランキング(国内)
24時間下落率ランキング(国内)
1週間上昇率ランキング(国内)
1週間下落率ランキング(国内)
時価総額ランキング(国内)

画像はShutterstockのライセンス許諾により使用
「仮想通貨」とは「暗号資産」のことを指します