NEAR Walletが過去事例を報告
暗号資産（仮想通貨）ニアプロトコル（NEAR）のエコシステムを支援するNEAR財団は4日、NEAR Walletで対処済みのセキュリティ上のバグについて報告した。
NEAR Walletにおいて、EメールやSMSを使ったウォレットの新規作成や復元時に、機密データがサードパーティに流出していたことが明らかになった。
この情報共有は、ソラナ（SOL）のSlopeウォレットで最近起きたセキュリティ侵害を受けての動きとなる。今週3日以降、ソラナ関連のウォレットからSOL等の資産が流出。被害額は推定10億円（800万ドル）で約8,000件のアドレスが影響を受けていた。
原因は定かではないが、ソラナ対応ウォレットの一つ「Slope」の中央サーバーに「平文（暗号化されていないデータ）」で秘密鍵とニーモニックが送信されていたことが分かっており、ハッカーに突かれたと見られている。また、Slopeが使用するアプリケーション監視サービス「Sentry」が、秘密鍵情報を収集する媒介になったとの見方もある。
NEAR財団はソラナについて言及していないが、機密情報が中央サーバーに保存されている事がわかり、速やかに対処したと報告。不正流出の被害は出なかったが、ホワイトハッカーに報奨金を支払ったとした。財団は以下のように述べている。
他のプラットフォームでの最近のウォレットハックは、Web3で一般的に使用される分析ツールに関して、深刻なセキュリティ上の懸念を浮き彫りにした。これらのハックを踏まえて、我々は同様のツールを含む、最近の経験について共有する。
NEAR Walletチームは22年6月6日、ホワイトハッカーのHacxyk氏からバグ報告を受け、機密情報がサードパーティと共有されている事態を把握したと説明。特定のアップグレード後に、メールやSMSを使ったウォレット復元を行ったユーザーの機密情報が収集される状況になったとした。
関連：ソラナの仮想通貨ウォレットが標的に、ハッキングによる大量被害
被害は出ていない
Hacxyk氏もまた、NEAR Walletでの事象とソラナSlopeウォレットのハッキング事件との類似性を指摘。Near walletのユーザーがウォレットの復元方法として「メール」を選択すると、シードフレーズがサードパーティに流出する状態になっていたと加えた。
Back in June, we found a bug in @NEARProtocol wallet that was almost the same as the recent Solana wallet hack. When a Near wallet user chooses "email" as the seed phrase recovery method, the seed phrase is leaked to a third party site. https://t.co/gHWhmxE3Sm pic.twitter.com/MK31xUeAeL
— Hacxyk. (@Hacxyk) August 4, 2022
当時、NEAR Walletチームは即座に問題を修正し、収集された機密データを全て消去。また、収集された機密データにアクセス可能な人物も特定。現在までに、この件に由来するセキュリティ侵害は起きておらず、収集された機密情報も全て削除済みとされている。
執筆時点では、メールやSMSを使った新規ウォレット作成は不可能。NEAR財団は「（現在）侵害されている証拠はない」と強調した上で、過去にメールやSMSを使ったリカバリー機能を使用した経験のある人にLedgerウォレットを使用するか、設定画面から同機能をオフに切り替えておくよう推奨している。NEAR財団は以下のようにまとめた。
ユーザーの選択と行動もセキュリティに影響を与えます。ウォレットを保護するため、Ledgerのようなハードウェアデバイスの使用を検討してください。
ウォレットの作成とアクセスには、信頼と安全性の高いデバイスのみを使用してください。リカバリーフレーズや秘密鍵は絶対に口外しないでください。
