用語集 / プライバシーとセキュリティ
サプライチェーン攻撃
- サプライチェーン攻撃とは？
- サプライチェーン攻撃は、すでに信頼しているもの、つまりインストールしたウォレットのアップデート、その内部のコードライブラリ、または販売店が発送した機器を通じてあなたに届きます。
あなたがミスをする瞬間はどこにもなく、だからこそこの種類の攻撃は防御が難しいのです。2018年11月、広く使われていたnpmパッケージevent-streamがボランティアのメンテナーに引き継がれ、その人物が1つのビットコインウォレットCopayを正面から狙い、特に100BTC超を管理するシードを標的とするコードを追加しました。直接購入することと、インストールするものを検証することは、本当に役立つ2つの習慣です。
仕組み
サプライチェーン攻撃は、被害者の上流、すでに信頼が与えられた地点に悪意のあるコードやハードウェアを挿入します。
依存関係。 現代のウォレットソフトウェアは数百の第三者パッケージを取り込みます。event-streamの事例では、元の作者がメンテナンスに疲れ、公開権をボランティアを申し出た見知らぬ人物に譲渡しました。新しいメンテナーは無害に見える依存関係を追加し、その後、BitPayのCopayウォレットのビルド内でのみ動作するペイロードを持つバージョンを公開し、そのペイロードはシードを復号して外部に送信しました。Copayの5.0.2から5.1.0までのリリースはこれを含んで出荷されました。
配布チャネル。 2023年12月14日、Ledgerの元従業員のnpmアカウントがフィッシングに遭い、LedgerのConnect Kitライブラリの悪意のあるバージョンの公開に使われました。数時間にわたり、コンテンツデリバリーネットワークからこれを読み込んだアプリケーションは、送金をリダイレクトするウォレットドレイナーをユーザーに提供しました。見慣れたサイトを開き、珍しいものは何もクリックしていなかった人々から、およそ600,000ドルが奪われました。
ハードウェア。 マーケットプレイスの出品や第三者販売店を通じて販売される、偽造品またはシードを事前に設定した機器。見分け方はシンプルで絶対的です。正規のハードウェアウォレットは、セットアップ時に機器自体の上で、一度だけリカバリー用の単語を生成します。単語がすでにカードに印刷された状態で届くもの、または箱に入っていたフレーズを入力するよう指示するものは、丁寧な包装をされた窃盗キットです。
ビルド。 ここでの防御は再現性です。Bitcoin Coreは2021年9月のバージョン22.0以降、ブートストラップ可能で決定論的なビルドのためにGuixを使用しており、独立した貢献者がソースからリリースをコンパイルし、その結果に署名します。彼らの証明が一致すれば、ダウンロードページのバイナリは公開されたソースが生成するものと同一であり、侵害されたビルドマシンは隠れることができません。
どこで見られるか
通常のビットコインの設定において、他人の信頼の判断の下流に位置する4つの場所があります。
ソフトウェアのダウンロード。 インストーラーは自分で移動したページから取得し、その後、リリース署名、または少なくともハッシュをプロジェクト自身の署名鍵と照合してください。ウォレットプロジェクトが両方を公開しているのは、まさにこの手順を可能にするためです。
ブラウザ拡張機能。 拡張機能は無言で自己更新し、静かに所有者が変わります。そのため、鍵やアドレスに触れるものは、署名のない実行ファイルに向けるのと同じ疑いを向けられるに値します。
ハードウェアの購入。 メーカー自身のストアまたは指定された正規販売店から購入し、マーケットプレイスの出品、オークション、中古販売業者からは決して購入しないでください。当サイトのハードウェアウォレットのレビューが各機器の公式ストアにリンクしているのは、まさにこの理由からです。
ファームウェアとアップデート。 ベンダー自身のアプリケーションを通じて、あなたが開始して更新し、メール内のリンクや、機器が危険にさらされていると主張するポップアップ内のリンクからは決して更新しないでください。
これら4つの背後には、いずれかが失敗したときの被害を限定する管理策があります。承認する前に、ハードウェアウォレット自身の画面で宛先アドレスと金額を確認してください。侵害されたコンピューターは表示するものを何でも書き換えられますが、別の機器があなたに見せるものは書き換えられません。
サプライチェーン攻撃vsクリップボードマルウェア
クリップボードマルウェアはペイロードであり、サプライチェーン攻撃は配布経路であり、この2つはあたかも選択肢であるかのように名付けられます。アドレスをすり替えるマルウェアは通常、どこか間違った場所から何かがダウンロードされたために届くので、出所に関する通常の注意はそれに対して有効です。サプライチェーン攻撃は、まさに正しい場所からダウンロードされたものの内部に届くので、出所に関する注意は効きません。両方を打ち負かすのは同じ習慣であり、だからこそ、任意のコードの出所を知ることより優先されます。署名を求めた画面ではなく、署名する機器の上でアドレスを確認してください。