インタビュー：ハッカーがなぜDeFiプロトコルを攻撃し続けるのか、その解決策

TL;DR 要約

• ハッカーが暗号通貨およびDeFiプロトコルを攻撃する頻度は依然として増加傾向にあります。
• 暗号通貨業界への攻撃で失われた資金は7億ドル、発生年は2021年。
• ハッカーがなぜ暗号通貨業界を標的とし続けるのか。

ハッカーがDeFi空間や、その延長線上にある暗号通貨業界を攻撃する頻度は、業界にとって引き続き懸念の種となっています。

報道によると、2021年には169件のブロックチェーンハッキング事件が発生し、ハッカーによって約70億ドルの資金が奪われました。過去1ヶ月の間にも、少なくとも5件の暗号通貨ハッキング事件が報告され、その最新事例がDeFiプロトコル「Cream Finance」がハッカーの標的となったことです。1億3,000万ドル以上が盗まれたとされています。

こうした状況を受け、Cryptopolitanは、ビジネスプロセスへのブロックチェーン統合とサイバーセキュリティに注力するR&D企業であるHashExのCEO兼創設者であるDmitry Mishunin氏にインタビューを行いました。Dmitry氏はサイバーセキュリティおよび分散型アプリケーションに関する強力な技術的バックグラウンドを持ち、情報セキュリティシステムの開発において印象的な経験を持っています。

以下はインタビューの抜粋です

Q：最近、ユーザーが直面しているハッキングや脆弱性利用の件数について、驚いていますか？

残念ながら、驚いていません。私たちは、スマートコントラクトを作成する人が増えているのを見ています。しかし、多くの場合、彼らは十分なプログラミングの勘所や、現在Ethereumと互換性のある唯一のプログラミング言語であるSolidityの良好な理解を持っていません。信頼性の高いDeFiプロトコルを作成するには、プログラミング言語の深い理解が必須であり、そのニュアンスの一部を知らないことが、脆弱性利用や資金盗難に直結することがあります。

Q：悪意のあるコードを含むスマートコントラクトを受け入れたり署名したりすることで、どのようにして資産が盗まれるのですか？

すべてのユーザーは、ブロックチェーン取引は取り消し不可能であることを知るべきです：一度ERC-20トークンの特定の量をERC-20スマートコントラクトに承認すると、それは不可逆的にコントラクトに送金されます。コントラクトには検証済みのソースコードが含まれており、脆弱性がなくても、依存関係として検証されていないライブラリを含んでいる場合があります。そのようなコントラクトにトークンを承認することは大きなリスクです。なぜなら、ライブラリの動作を確認できないからです。
これはStableMarketプロジェクトでの事例で、少なくとも2,700万ドル相当のユーザー資金が盗まれました。StableMarketプロジェクトのコントラクトには監査済みのコードが含まれていましたが、検証されていないライブラリを使用してデプロイされていました。このライブラリは悪意のあるもので、プロトコルに保存されていたユーザーのトークンを盗みました。

ユーザーにとってのもう一つのリスクは、アップグレード可能なスマートコントラクトへのトークン承認です。そのようなコントラクトは自動的に悪意のあるコードにアップグレードされ、承認されたトークンを盗む可能性があります。
多くのフロントエンドアプリは、使用するトークン量だけでなく、コントラクトに対してトークンの最大量を承認します。これは、1回のトランザクションでガス代を支払うために行われます。ユーザーがコントラクトにトークンを預け入れる場合、ガス代を別途支払う必要があります。しかし、コントラクトが悪意のある行動をとった場合、ウォレットから任意の量のトークンを引き出すことができます。

したがって、最大限のセキュリティのためのベストプラクティスは、常に承認額を確認し、コントラクトの操作に必要な量のみを承認することです。

Q：ハッカーは賢くなっているのでしょうか、それとも暗号通貨ユーザーはサイバーセキュリティ手順においてより不注意になっているのでしょうか？

両方の主張が真実です。ハッカーは、フラッシュローンプラットフォームと異なるプロトコルを連携させて脆弱性を生成・悪用する点で著しい進歩を遂げました。それらの他のプラットフォーム自体は多くの場合安全ですが、フラッシュローンにより構造的な複雑さが増し、脆弱性がより頻繁に発生するようになります。

このような攻撃は非常に複雑です。その分析だけでさえ多くの時間を要します。また、テストが行われていたり、コードが適切に監査されていれば排除されただろう単純なバグを含む、コード品質の低いプロジェクトのハッキングも多数あります。
責任の一部はユーザーにもあります。彼らの多くは、コールドストレージなど、リスクを最小限に抑えるための安全なプラクティスについて知っています。しかし、彼らはしばしばそれらを無視し、何倍ものROIをもたらす可能性のある機会に夢中になりすぎます。その結果、単にお金を失ってしまうこともあります。

Q：ユーザーはMetaMaskやOpenSea、DeFiなどの関連するdapps上で、どのようにして資産をよりよく保護できますか？

最も良い保護方法は、すべての資産をホットウォレットに保管するのではなく、コールドウォレットに送金することです。コールドウォレットはインターネットにアクセスできません。ホットウォレットには操作に必要な少量の資産のみを保管し、残りはコールドストレージに保管するのが最善です。
さらに、ユーザーは標準的なセキュリティルールに従うべきです：アンチウイルスを使用し、メール内の不審なリンクを開かないようにし、可能であれば二要素認証を使用します。

Q：業界の成長に伴い、ハッキングや脆弱性利用はより一般的になると思いますか？

業界が成長し、より多くのプロジェクトがローンチされるにつれて、より多くのプロジェクトがハッキングされるリスクに直面します。すべてのプロジェクトのすべてのバグを排除することはできませんが、ブロックチェーンセキュリティ企業はそれらを最小限に抑えるために絶えず取り組んでいます。これには、プロジェクトのソースコードの監査だけでなく、バグがそもそも発生しないようにしたり、少なくとも開発の初期段階で見つけたりするのに役立つ分析ツールの開発も含まれます。

Q：HashExは暗号通貨業界の拡大においてどのような役割を果たしていますか？

私たちは、分散型アプリケーションの使用における透明性と安全性について人々に啓蒙しています。その動作ロジックは複雑で不明確であり、平均的なユーザーには理解しがたいものです。また、ピノキオが奇跡の畑で何かを信じるように、理解できないものに自分の金を預ける理性的な人はいません。私たちは複雑な概念を平易な用語で説明し、人々が認識し、回避すべき落とし穴を明らかにするとともに、潜在的な投資家が資金について情報に基づいた決定を下せるよう支援します。

しかし、主に私たちはDeFiと暗号通貨に焦点を当てた監査ファームです。つまり、私たちはスマートコントラクトの多くの監査を行い、投資家がコストのかかるミスから保護されているプロジェクトをより信頼するため、投資家は投資家にとって重大な金銭的損失をもたらす可能性のあるミスから適切に保護されているプロジェクトをより信頼するよう支援します。

Q：G7およびジョー・バイデン米大統領によるランサムウェア、サイバーセキュリティ、頻発する暗号通貨ハッキングの終結に向けた動きについて、どのように考えていますか？

セキュリティ基準の絶え間ない改善は、私たちの日常業務および企業理念の一部です。私たちは、信頼できないDeFi空間に信頼をもたらそうとしています。この問題はDeFiだけでなく、あらゆるITドメインにおいて重要です。新しいソフトウェア製品が急速に登場する中、サイバーセキュリティの側面 unfortunately 十分に注目されていないため、ハッカーが悪用する機会が生まれています。これには主に2つの理由があります：『マウスクリックプログラミング』と、不必要に高い賃金で提供される低品質な労働力です。

これは急速に成長するITビジネスの負の側面です。この過酷な競争環境において、企業は互いに先んじようとし、新製品を提供しますが、その重要性にもかかわらずセキュリティの問題に目をつぶることがしばしばあります。その結果、多くのクライアントに使用されている大規模システムであっても、ユーザーの資金損失につながるバグが残っていることがあります。場合によっては、これらのバグの后果が大陸規模になることもあります。

この観点から、政府の介入は完全に正当化されます。州政府がこれらの問題に関与していなければ、誰が貪欲なビジネスパーソンを締め付け、セキュリティ対策や合理的なソフトウェア開発に努力を捧げるよう説得するでしょうか？

ハッキング事件が政府機関に報告され始めれば、それは良い影響をもたらすでしょう。タイムリーな情報提供により、予期せぬ停止時の影響を最小限に抑えることができます。例えば、米国東海岸への石油供給に関する状況は、この手法の好例として見なすことができます。

業界全体で統一されたセキュリティ基準が導入されれば、さらに良い結果が得られるでしょう。ただし、その基準は外部者ではなく、専門家によって開発される必要があります。DApp開発の初期段階である現在でも、主要な監査業者によってこれらの基準が導入されつつあります。このようなプロトコルの統合は、すべてに利益をもたらします。プログラミングが容易になり、コードの安全性が向上し、ユーザーの資金も保護されます。

Q: これらのハッキングは、暗号通貨業界にどのような影響を与えていますか？

暗号通貨業界へのフィードバックは、盗まれた資金の管理を試みるものです。私はこれは良いことだと思います。現在でも、暗号通貨を通じて現実世界のすべての利便性を享受することはできません。この状況は日々変化していますが、まだ完璧ではありません。そのため、ハッカーたちは依然として、不正に入手した資金を引き出すために、暗号通貨と法定通貨の間の橋渡しを必要としています。

これは犯罪者を特定できる段階です。見つかる犯罪者が増えれば、再び同じことを試みる者は少なくなるでしょう。東洋の文化では、かつて窃盗に対して手足を切断する刑罰が存在していたことを思い出してください。法執行機関によるこのような介入は、暗号通貨業界とその評判に全体的に良い影響を与えています。これらの行動により、人々はより安全だと感じるようになります。

Q: これらの暗号通貨ハッキングの背後にある悪意のある行為者に対して、他の者を抑止するための制裁としてどのようなものを推奨しますか？

以前述べたように、私はこのような個人に対する処罰に賛成です。私はこのような行為を、 severity の異なる金融詐欺と見なし、それに応じた法的措置を講じるべきだと考えます。現時点で新しい法律を作成しようとするつもりはありません。

Q: ハッキングのない暗号通貨の世界はほぼ実現不可能ですが、暗号通貨の利害関係者、政策立案者、およびその他の関係者は、攻撃を最小限に抑えるためにどのようにすればよいでしょうか？

IT分野はサイバー脅威なしには考えられません。しかし、通常のビジネスについては、氷山の一角しか見ておらず、全体像を把握できていないのが実情です。企業の評判を損なう可能性があるため、多くのハッキング事件は表面化していません。暗号通貨では、すべてが透明で公知であるため、マスコミはこれらの事柄をより頻繁に報じます。

サイバーセキュリティは、暗号通貨から法定通貨への出入金ポイントにおける規制枠組み、ユーザー教育、コードをチェックするサイバーセキュリティチームなど、多面的な実践です。この業界はまだ若く、適切な発展の方向性を導くための優れた機会を提供しています。このようにすれば、後で穴を埋めようとするのではなく、最初からより安全な慣行を活用することができます。