フレンドテックのセキュリティ弱点とSIMスワップ攻撃の危険性とは？

Friend.tech、設計上のセキュリティに懸念

ソーシャルファイ（SocialFi）分野のアプリ「Friend.Tech」について、そのセキュリティリスクに対する懸念がユーザー間で高まっている。

利用者であるDaren氏は3日、自身のアカウントがハッキングを受け、保有していた「キー（Keys）」35個全てが売却され、ウォレットから暗号資産（仮想通貨）イーサリアム、22 ETH（約550万円相当）が不正に流出したと公表した。

Friend.Techは、ユーザーがソーシャルトークン「Keys」を発行し取引できるソーシャルメディアプラットフォームで、ツイッターアカウントと連携が可能だ。

ブロックチェーンセキュリティ専門企業SlowMistの創設者Evilcos氏は、Friend.Techが集中管理型で、そのセキュリティ設計が脆弱であることを指摘。

アカウントへのアクセスはEメールまたは電話番号という単一の要素に依存しており、二要素認証（2FA）のオプションがないため、SIMカードの交換やEメールアドレスの漏洩により、攻撃者がアカウントに容易にアクセスできるという。

先月、DeFiLlamaの共同創設者0xngmi氏も、Friend.Techとそのフォーク製品において警告。ウェブページを埋め込むHTML要素「iframe」を使用してETHを直接送信でき、ユーザー資金を不正に抜き取る可能性があるとの見解を示した。

出典：@evilcos（Xアカウント）

このiframeは、ユーザーの秘密鍵を保持する「Privy iframe」に紐づき、ユーザーの資金に直接アクセスできるものと分析された。

Friend.Techとは

レイヤー2ネットワーク「Base」を基盤にした招待制ベータテスト版として2023年8月にローンチ。瞬く間に10万ユーザーを獲得。アジア圏に拡大するとユーザー規模はさらに成長していた。

関連：SIMスワップ攻撃で米仮想通貨企業から1億円盗んだハッカーに懲役判決

SIMスワップ攻撃の可能性

被害を訴えるDaren氏の話によれば、SIMスワップ攻撃を受けたという。彼は2日未明にスパム電話の嵐に見舞われ、その影響で携帯をマナーモードに変更した。これが攻撃者の策略であった可能性があり、アカウントアクセスの試みを知らせる米国の通信会社ベライゾンからの警告テキストを見落とす結果となった。

資産流出の影響は、Daren氏が発行したKeysの所有者にも及んでおり、彼は被害を受けたユーザーに対して謝罪を行っている。結果的に、彼が詐欺を働いたように見える状況となり、無実を証明する手段がないと訴えている。

なお、Daren氏の証言の信憑性は定かではなく、被害にあった他のユーザーも執筆時点に確認されていない。

しかし、専門家の見立てでは、Friend.Techのセキュリティ設計はフロントエンドの侵害にも脆弱だ。つまり、ハッカーがウェブサイトやアプリケーションの表面部分に不正アクセスし、ログイン画面を偽造したり、フィッシング詐欺を仕掛けたり、ウイルスやマルウェアを注入することで、ユーザーの資金が盗まれるリスクも存在する。

Friend.Techユーザーにとっては、資産を安全に保つ上で、接続するウォレットを新たに設けるなどの慎重な対応が重要となる。

SIMスワップ攻撃とは

悪意のある攻撃者が被害者の携帯電話番号を不正取得し、オンラインアカウントやサービスにアクセスしようとする詐欺手法。自分が管理するSIMカードにリンクさせることにより、被害者の通話やメッセージを犯罪者のデバイスに送る犯罪行為だ。