BlueWalletのCTOが45のiOS暗号資産ウォレットに深刻なセキュリティリスクを指摘
TREE NEWS 報道： BlueWalletの最高技術責任者（CTO）が、App Store上のiOS暗号資産ウォレットに対する大規模なセキュリティレビューを完了した。その結果は、取り返しのつかない鍵の管理をソフトウェアに委ねるようユーザーに求める業界にとって、居心地の悪いものとなっている。この監査では、ノンカストディアルウォレットと表示された904件のアプリをスクリーニングし、そのうち494件を詳細に調査し、最終的に45件を深刻または高リスクのセキュリティ問題ありとして指摘した。23件は潜在的に重大と判定され、22件は高リスクと評価された。
危険信号の実態
特定された問題は、ウォレット設計の失敗のいくつかのカテゴリーにまたがっている：
- ニーモニックフレーズや秘密鍵がデバイス外にアップロードされている疑い
- ウォレット生成に使用される弱い乱数生成
- 鍵がユーザーのデバイスではなくサーバーに保存されている
- アプリに埋め込まれたハードコードされた暗号化鍵
- 機密性の高いウォレットデータにアクセスできる、実行時に読み込まれる署名なしJavaScript
これらはそれぞれ、潜在的な単一障害点となり得る。弱い乱数はシードフレーズを予測可能にする。サーバー側の鍵保管はノンカストディアルという表示と真っ向から矛盾する。ハードコードされた暗号化鍵は、すべてのインストールが同じ秘密を共有することを意味する。そして署名なしのリモートJavaScriptは、攻撃者にウォレットの最も機密性の高いデータへのライブチャネルを与える。
CTOはまた、この分析には偽陽性が含まれている可能性があると警告し、App Storeの承認とアプリの人気はセキュリティの証明ではないと強調した。この注意書きは重要だ。数百万のダウンロードがあるウォレットでも致命的な欠陥を抱えている可能性があり、Appleの審査プロセスは暗号学的な監査ではない。
ウォレット市場にとってこれが重要な理由
セルフカストディウォレットは暗号資産への玄関口だ。より多くのユーザーが資産をオンチェーンに移し、現実世界資産（RWA）のトークン化がより多くの価値をウォレットに押し込むにつれて、鍵が侵害されるコストは増大する。ウォレットアプリから漏洩したシードフレーズは回復可能な事象ではない——資金の永久喪失である。
この監査はまた、構造的な問題を浮き彫りにしている。App Storeは流通チャネルであり、セキュリティ認証機関ではない。ユーザーは、独立したレビューを受けたウォレットと、単に一般的なアプリ審査を通過しただけのウォレットを区別する簡単な方法を持たない。この情報の非対称性は、悪意のある、または怠慢な開発者に有利に働く。
今後の展望
第三者によるウォレットセキュリティ評価、再現可能なビルド、オープンソース検証を標準慣行とするよう求める圧力が高まるだろう。ハードウェアウォレットメーカーや確立されたソフトウェアウォレットは、差別化要素として監査の透明性を強調するかもしれない。ユーザーにとっての実践的な結論は明快だ。乱数のソースを確認し、鍵がデバイスから出ることがあるかどうかを検証し、公開コードと独立したレビューがあるウォレットを選好すること。App Storeのバッジやダウンロード数はマーケティングの信号であり、セキュリティの保証ではない。
