Dcentウォレットハッキング：「冷たい」保存方法が、実際にはどうしても冷たくならないかという教訓

9月15日の午後4時29分から6時34分の間に。自動スクリプトによって、1,552件のモバイルウォレットアドレスから約200万XRPが消費されました。その価値は約250万ドルから280万ドルです。数時間以内に、その多くが取引所へ移動していった。これはXRPネットワークへの攻撃ではなく、巨大な取引所のハッキングでもなかった。Dcentが被害を受けたのだ。サイバーセキュリティ企業IoTrustが提供する、韓国を拠点とするウォレットアプリです。そして、それはユーザーの特定のサブセットに影響を与えます。XRPを持っている人、または持ち続けるかどうかを考えている人なら、考えるべき問題は「XRPは安全か？」ということではなく、「実際にどの種類のウォレットでXRPを保管しているのか？」ということです。

なぜなら、その区別こそが、すべての問題なのです。デント自身の表記によって、同じ名前を持つ二つの全く異なる製品を明確に区別しているからです。この妥協案は「アプリウォレット」にも影響を与えました。それは、スマホ上で動作するソフトウェアウォレットであり、鍵をそこで生成したりインポートしたりすることができ、その鍵をインターネットと接続させている。ハードウェアウォレットには一切干渉していない。ハードウェアウォレットとは、プライベートキーをオフラインで保存する物理的なデバイスである。Dcentの報告によると、お金を失った人々というのは、アプリを使った人や、アプリとハードウェアウォレットの両方に同じリカバリーフレーズを入力した人たちだった。ハードウェアウォレットを使用し、そのシードフレーズを一度もアプリに入力しなかった人々は、実質的に安全だと判断された。

最後の注意点こそが、全体の問題の核心です。まずは用語について少し説明しましょう。なぜなら、ここで使われる言葉が実際に重要だからです。暗号通貨の場合、コインは実際にはウォレットの中に存在するわけではありません。コインはブロックチェーン上に存在し、ウォレットはそのコインを移動させるための秘密鍵を管理しているだけです。「ホット」ウォレットとは、その秘密鍵をインターネットに接続されたデバイス上に保管するもので、便利ですが外部からアクセス可能です。一方、「コールド」ウォレットとは、インターネットに接続されないハードウェア上に鍵を保管するもので、ハッカーが遠隔からアクセスできないようになります。「自己管理」という概念全体、つまり「あなたの鍵でなく、あなたのコインもない」というスローガンは、このアイラップによって成り立っています。

Dcentの例からわかるのは、空間的な隔離が実際には一つのルールによってのみ成り立つということです。つまり、プライベートキーを生成するためのシードフレーズや、単語のリストは、正確に一箇所に存在している必要があります。もし、ハードウェアウォレットのシードをスマホアプリに入力したとしても、コインをより安全な場所に移動したわけではありません。実際には、マスターキーがインターネットに接続されたデバイスにコピーされてしまったのです。今では、二つのウォレットは同じキーを共有しているため、アプリが破られるとハードウェアも破られてしまいます。Dcentはユーザーに対して、同じメモリックがアプリとデバイスの両方で使用される場合、ハードウェアウォレットは、そのリスクから独立していませんでした。.

このような失敗は以前にも起きていました。つまり、これは単発の出来事ではなく、常態的な現象であることを知っておくべきです。昨年10月には、ノースカロライナ州の退職者はCoinDeskに対し、約300万ドル分のXRPがあると述べました。彼の退職後の貯金のほぼ全てが、冷蔵型ウォレットから消えてしまった。ウォレットメーカーの説明によると、彼はそのデバイスのシードフレーズをモバイルアプリに入力し、それによって冷蔵型ウォレットをホット型ウォレットに変換したという。つまり、ハードウェアウォレットが詐欺的なものだというわけではなく、シードフレーズを適切でない場所に再利用すると、その保護機能が失われてしまうのだ。

Dcentのケースには、同じ方向を指す法医学的な詳細もあり、XRP自体が非難されることはない。1,552個のウォレットが利用されたことを示すアンチチェーン分析によると、攻撃者の手口は、ウォレットの残高よりも、ウォレットの有効期限を重視していることがわかった。これは、ネットワーク上でターゲットを探すのではなく、事前に用意されたキーリストに基づいて行動している証拠である。そして最も重要な点は…2024年3月以降、被害者アカウントは作成されていません。つまり、これはアプリのキー処理に関する特定の時代に起因する問題のようです。後から修正されたものであり、まだ新しいウォレットを破壊し続けているような状態ではありません。Dcentの指導方針も同じです。これは、v8.1.0以前のアプリケーションバージョンのみを警告するだけです。しかし、キーの流出がどのような経路で起こったのかについては、まだ確定していない。調査も続けられている。このような不確実性は重要だ。つまり、投資家は「旧アカウントが標的だった」という情報を、何も問題がないという意味として受け取ってはならないのだ。

これらのことによってXRP自体は変わりませんでした。初心者にとっては、これが最も安心できる状況です。価格はその日には上昇し、過去2ヶ月間で約4分の1上昇しています。52週間の価格範囲は約0.99ドルから3.18ドルです。つまり、このトークンは最高値からは離れていますが、最低値よりは高い位置にあるのです。レジャーベースは侵害されていません。攻撃は特定のプロバイダに限定されており、市場の価格もそれを反映しています。大きな盗難のニュースが報じられても、基盤となるトークンが動かない場合、その違い自体が重要な情報です。市場はこれを、ネットワーク全体ではなく、あるウォレット会社に関する話と解釈します。

では、将来のまたは現在のXRP保有者は、これから何を得るべきでしょうか？コインを売却する理由ではありません。自分のお金が実際にどこにあるかを正直に明かす理由です。もし「取引所のアカウント」という答えなら、リスクは取引所やその保管方法にあります。それはあなたのシードには関係ありません。別の問題であり、既知の問題です。もし「ハードウェアウォレット」という答えなら、保護はそのシードが他の何かに入力されたり、保存されたり、写真に撮られたりされることがない限りのみ有効です。確信が持てない場合は、最も安い解決策を選ぶしかありません。Dcent自身の推奨事項としては、バランスを新しいシードフレーズを基にしたウォレットに移動することを推奨しています。そして、その種を正確に1か所のオフライン場所に保管しておくこと。

これが、持続可能な教訓だと思います。そして、それは「Dcent」よりも重要なことです。暗号通貨業界は、取引所の崩壊から身を守るために、自己保管という手段を長年推奨してきました。「自分の鍵は自分が持つべきだ」というわけです。しかし、このような出来事が示しているのは、実際には保管自体がリスクの原因であり、その失敗の可能性もあるし、問題が発生した時に補償してくれる銀行もないということです。自分のコインを持つことが、他者の記録を信頼するよりも安全です。ただし、どのウォレットを使っているのか、そしてその鍵がどこにあるかを理解している場合に限ります。それはパニックになる理由ではなく、過度に考えすぎる理由でもありません。単に、普通の投資家が本当に損失を被らない状態になるための、数分間の準備時間に過ぎません。