Guarda Walletのレビュー

Guardaは有能なマルチチェーンウォレットであり、異例なほど率直なインシデント報告を行っています。そしてその報告は、注意すべき点をまっすぐ指し示しています。2020年12月30日、攻撃者がGuardaのドメイン登録事業者であるGoDaddy上のGuardaのアカウントを乗っ取り、guarda.coとguarda.comのDNSを書き換え、「当社のホームページとまったく同じデザイン」で、唯一の機能がバックアップのアップロードフォームであるページを公開しました。デスクトップ版、ウェブ版、Chrome拡張機能版のユーザーがバックアップをアップロードすると、アドレスと秘密鍵を渡すことになりました。モバイルアプリのユーザーはトランザクションの遅延だけを経験しました。モバイルアプリのリソースは攻撃者が書き換えていないサブドメイン上にあったためです。

GuardaのCEOは、登録事業者自身のログを添えて時系列を自ら公表しました。11:55に二要素認証が解除され、その前にログインの記録はなく、その後メールアドレス、電話番号、PINがすべて変更されました。Guardaは数分以内にソーシャルメディアでユーザーに通知し、数分以内にGoDaddyへ書類を送付し、エストニアのサイバー警察と財務警察に陳述書を提出したと述べています。また、エンジニアがフィッシングページをその時間帯のおよそ90%の間エラーを出し続けさせ、その夜にアカウントを回復したと述べています。攻撃の原因として、暗号資産サービスへの攻撃にGoDaddyの従業員が利用されたというKrebsOnSecurityの報道を挙げています。

何が侵害されなかったかに注目してください。Guarda自身のものは何も侵害されていません。教訓は構造的なものであり、このインシデントを経ても変わりません。「暗号化したバックアップを当社のウェブサイトにアップロードしてください」という手順を含むウォレットは、DNSレコード1つ分の距離で説得力のある偽物になり得ます。自分でファイルを渡してしまえば、ローカルでの暗号化がどれほど強固でも役に立ちません。Guardaを使う場合は、デスクトップアプリまたはモバイルアプリを使い、アドレスバーに何と表示されていても、ウェブページ上でバックアップを入力したりアップロードしたりしないでください。

現在の製品は幅広いものです。Guardaは2017年から運営されており、自社サイトで70以上のブロックチェーン、100万以上の対応トークン、100万人以上のアクティブユーザーを主張しています。Windows、macOS、Linux、iOS、Androidで動作し、ウェブアプリおよびChrome拡張機能としても提供されています。カードとApple Payで購入でき、14のネットワークでステーキングでき、マルチシグに対応し、保有資産を担保に貸付を行い、現在は第三者による無期限先物と予測市場をウォレット内に搭載しています。ビットコインには対応していますが、これは多くの異なる資産を保有する人向けのウォレットです。