EthersphereのSwarmが高度なサプライチェーン攻撃の被害に
TREE NEWS 報道： 分散型ストレージプロジェクトEthersphere（Swarm）は、ハッカーがGitHubアカウントを侵害し、公式リリースプロセスを乗っ取ってnpmパッケージ@ethersphereに悪意のあるコードを注入したソフトウェアサプライチェーン攻撃を受けたと、セキュリティ企業SlowMistとSocketが報告した。攻撃者はイーサリアムスマートコントラクトを使用してバックドアを制御し、ユーザーの秘密鍵を暴露する可能性があるという。
攻撃の経緯
侵害はSwarmプロジェクトに関連するGitHubアカウントの侵害から始まり、攻撃者がリリースパイプラインを操作できるようになった。その後、悪意のあるコードがJavaScriptライブラリの一般的な配布チャネルであるnpmレジストリに公開された。インストールされると、バックドアはSwarmノードを実行する開発者やユーザーから秘密鍵を含む機密データを流出させる可能性があった。
この攻撃が特に注目されるのは、イーサリアムスマートコントラクトをコマンドアンドコントロール（C2）メカニズムとして使用した点である。分散型で不変のコントラクトを活用することで、攻撃者はセキュリティチームがバックドアインフラを停止することを困難にした。ブロックチェーンを耐性のあるC2チャネルとして使用するこの手法は、高度な脅威アクターの間で増加傾向にある。
業界への影響
サプライチェーン攻撃は、オープンソースのコラボレーションとパッケージマネージャーが開発に不可欠な暗号資産エコシステムにおいて、増大する脅威となっている。Swarmの事件はいくつかの重要な問題を浮き彫りにしている：
- 依存関係のリスク：開発者は厳格な検証なしにサードパーティのパッケージに依存することが多く、広範な攻撃対象領域を生み出している。
- リリースプロセスのセキュリティ：プロジェクトはCI/CDパイプラインとGitHubアカウントを多要素認証とコード署名で保護する必要がある。
- 分散型C2：悪意のある目的でスマートコントラクトを使用することは、ブロックチェーン技術の二重用途の性質を浮き彫りにしている。
Swarmのネイティブトークン（BZZ）は、コミュニティが被害を評価する中で短期的なボラティリティに直面する可能性がある。しかし、プロジェクトの分散型ストレージの使命は intact であり、迅速な修復は長期的な評判の損害を軽減する可能性がある。
今後の展望
この攻撃はWeb3業界全体への警鐘となる。分散型インフラプロジェクトが成熟するにつれ、そのセキュリティプラクティスもそれに追いつく必要がある。ソフトウェアサプライチェーンへの監視強化、パッケージ署名のためのSigstoreのようなツールの採用拡大、リリースプロセスの標準化されたセキュリティ監査の推進が期待される。ユーザーにとって、この事件は一見評判の良いプロジェクトとやり取りする場合でも、ハードウェアウォレットと警戒心のある鍵管理の重要性を再認識させるものである。暗号資産コミュニティはサプライチェーンセキュリティを集団的責任として扱わなければならず、さもなければ分散型技術の基盤そのものへの信頼を損なうリスクがある。
