- セキュリティ企業SlowMistは、JavaScript楕円曲線ライブラリにおける脆弱性を特定しました。
- この欠陥により、攻撃者は単一の署名操作だけで秘密鍵を抽出できます。
- 影響を受けるライブラリは、暗号化ウォレットやWeb3アプリケーションで広く使用されています。
ブロックチェーンセキュリティ企業のSlowMistは、広く使用されているJavaScript暗号化ライブラリの脆弱性を特定しました。これにより、ユーザーの秘密鍵が攻撃者にさらされる可能性があります。
このセキュリティ上の欠陥は、複数の暗号通貨ウォレット、アイデンティティシステム、Web3アプリケーションに楕円曲線暗号化機能を提供する人気のある「elliptic」ライブラリに影響を与えます。
SlowMistの分析によると、この脆弱性は、署名操作における非標準的な入力の処理におけるライブラリの欠陥に起因しています。このフローにより、ECDSA署名で乱数が再利用される可能性があります。これらの署名のセキュリティはこれらの乱数の一意性に完全に依存しているため、再利用が発生すると、攻撃者が数学的に秘密鍵を導き出すことが可能になります。
脆弱性により、最小限の相互作用で秘密鍵の抽出が可能に
この欠陥の原因は、楕円曲線ライブラリが暗号学者が「k値」と呼ぶものを生成する方法にあります。これは、異なる署名間で決して再利用すべきではない乱数です。SlowMistの分析により、攻撃者が特定の入力を構成してライブラリをだまし、この値を再利用させることができることが明らかになりました。「kを生成する際、一意性を確保するために、秘密鍵とメッセージがシードとして使用されます」とSlowMistのレポートは説明しています。
この欠陥は、被害者との相互作用が最小限で済むため、危険な攻撃ベクトルを生み出します。攻撃者は、正当な署名を1つ観察し、ターゲットをだまして特別に作成されたメッセージに署名させるだけでよいのです。これらの2つの署名を比較することで、攻撃者は比較的単純な数式を使用して被害者の秘密鍵を数学的に導き出すことができます。
広範な採用により、多数のWeb3アプリケーションがリスクに晒される
JavaScriptコミュニティによるellipticライブラリの使用により、脆弱性の潜在的な影響は大きくなります。SlowMistによると、この脆弱性はバージョン6.6.0までのすべてのバージョンに存在し、さまざまな楕円曲線を使用するアプリケーションに影響を与えます。
外部から提供された入力に対してECDSA署名を行うあらゆるアプリケーションがリスクに晒されます。これには、暗号通貨ウォレット、分散型金融（DeFi）アプリ、NFTプラットフォーム、Web3ベースのアイデンティティ認証アプリが含まれる可能性があります。
デジタル通貨空間におけるライブラリの利用は攻撃対象領域をもたらします。秘密鍵が侵害されると、攻撃者は対応する資産を完全に制御できるようになります。ハッカーは不正な送信、所有権記録の変更、または分散型アプリでのユーザーになりすましを実行できます。
SlowMistは、セキュリティ上の脅威を軽減するためのユーザーおよび開発者向けの緊急提案も投稿しました。開発者はまず、ellipticライブラリをバージョン6.6.1以上に更新する必要があります。これは、脆弱性が最新のリリースで公式に対処されたためです。
ライブラリの更新に加え、SlowMistは開発者にアプリケーション内にさらなるセキュリティ対策を含めることを推奨しています。影響を受けたアプリのユーザーにとって、最大の懸念は、秘密鍵がすでにリスクに晒されている可能性です。SlowMistは、悪意のあるまたは不明なメッセージに署名した可能性のあるユーザーに、秘密鍵を置き換えるという予防策を取ることを推奨しています。
フィッシング攻撃が沈静化し、技術的な脆弱性が主役となる
SlowMistの発見は技術的な脆弱性からの脅威を示していますが、Scam Snifferのデータによると、従来のフィッシング攻撃は3ヶ月連続で減少しています。2025年2月には、7,442人の被害者から532万ドルが損失しました。これは1月の1,025万ドルから48%減少し、12月の2,358万ドルから77%減少したことになります。
🧵 [1/4] 🚨 ScamSniffer 2月 2025 フィッシングレポート
2月の損失：$5.32M | 7,442人の被害者
1月の損失：$10.25M | 9,220人の被害者
(-48% 前月比) pic.twitter.com/HsZZSlYKJC— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 2025年3月5日
この下降傾向は明らかですが、いくつかの攻撃ベクトルは依然として非常に強力です。ハッカーが正当なものと視覚的に区別できないウォレットアドレスを作成する「パーミット許可」攻撃により、ETHで77万1,000ドルという単一の損失として最大の損失が発生しました。
パーミットベースの攻撃は61万1,000ドルの損失で続き、BSC上の取り消されていないフィッシング承認による61万ドルの横領資金が続きました。IncreaseApprovalの悪用は、ETHで32万6,000ドルの損失をもたらすトップ攻撃ベクトルを完成させました。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ヴィグネシュ・カラヌニディ
ヴィグネシュは暗号通貨コンテンツライター、暗号通貨ジャーナリスト、コンテンツ編集者、ソーシャルメディアマネージャーです。Watcher.guru、BeInCrypto、CoinGape、Milkroad、Airdropsなどで6年以上活動してきました。商学修士号を取得し、テクノロジー、ロボティクス、ビジネス、AIニュースのカバー力を磨いてきました。
