アドレスポイズニング攻撃で暗号資産ユーザーから30万5千ドルのDAIが流出
TREE NEWS 報道： GoPlus Securityのオンチェーン監視によると、ある暗号資産ユーザーがアドレスポイズニング攻撃により約305,000 DAIを失った。攻撃者はまず、被害者が頻繁に取引していた正規のアドレスと最初と最後の文字が酷似したアドレスから、ごく少量のトークンを被害者のウォレットに送金することで窃取を実行した。被害者はトランザクション履歴からアドレスをコピーしたとみられ、気づかずに攻撃者のそっくりアドレスへ資金を送ってしまった。
アドレスポイズニングの仕組み
アドレスポイズニングは、長い16進数のウォレットアドレスを検証する際に人間が視覚的な手がかりに頼る傾向を悪用する。攻撃者は、標的が頻繁に取引する相手と同じ先頭および末尾の文字を持つバニティアドレスを生成する。その後、ゼロ値またはダスト取引を被害者に送り、トランザクション履歴を汚染する。被害者が後でその履歴からアドレスをコピーすると、誤って攻撃者のアドレスを選んでしまう可能性がある。
この攻撃手法は、DeFiユーザーが複数のプロトコルやウォレットを利用するにつれて、ますます一般的になっている。スマートコントラクトの脆弱性を突く攻撃とは異なり、アドレスポイズニングはどのプロトコルの脆弱性も必要とせず、もっぱらユーザーの行動を標的にする。
業界への影響
この事件は、暗号資産セキュリティにおける重大なギャップを浮き彫りにしている。プロトコルは厳格な監査を受けている一方で、エンドユーザーの運用セキュリティは依然として弱点である。ウォレットのインターフェースはしばしばアドレスを切り詰めるため、文字列全体を検証するのが難しい。一部のウォレットはこのリスクを軽減するためにアドレス帳やENSドメインなどの機能を導入しているが、普及は一様ではない。
- ウォレットUX：完全なアドレス表示や色分けなど、改善されたアドレス検証ツールが必要である。
- ユーザー教育：ユーザーは接頭辞と接尾辞だけでなく、アドレス全体を検証しなければならない。
- オンチェーン監視：GoPlus Securityのようなサービスは、疑わしい取引の検出と警告に不可欠である。
今後の展望
暗号資産の普及が進むにつれ、アドレスポイズニングは低コスト・高リターンの攻撃として存続する可能性が高い。しかし、アカウント抽象化、ソーシャルリカバリーウォレット、オンチェーンレピュテーションシステムなどの新たなソリューションがその有効性を低下させる可能性がある。それまでは、ユーザーは警戒を怠らず、ウォレット開発者は視覚的ななりすましから保護するセキュリティ機能を優先すべきである。30万5千ドルのDAI損失は、DeFiにおいて完全なアドレスの検証が任意ではなく不可欠であることを痛感させる高価な教訓である。
