WALLETの登録情報が流出!?ウォレットのセキュリティについて考察してみました。WALLETの登録情報が流出!?ウォレットのセキュリティについて考察してみました。2018/06/19ツイートシェアはてブGoogle+PocketLINEこの記事は、佐藤(低カロリー)さんから寄稿頂きました。先日サポートからアカウント情報が流出している可能性があるとのお知らせが来ました。情報が流出したのか?サポートの対応は適切だったか?今後使い続けても大丈夫なのか?といった内容をセキュリティの観点から考察してみました。Walletのサポートから「BitZenyオンラインウォレットより緊急のご連絡」という件名でメールが来ていることを確認しました。メールの内容は要約すると、「IDとパスワードの組み合わせが流出している可能性があります。早急にパスワードを変更してください。パスワードを変更するまでは通貨の送金処理はできません。現在アカウントロックされている方はサポートまでご連絡ください。私はアカウントロックされていたのでサポートに返信し、ロック解除してもらいました。本当にIDとパスワードが流出しているとしたら、すでに残高すべて盗られている可能性がありましたが、すぐに確認したところ幸いにも残高に変化はありませんでした。流出したの?どうやって判明したの?翌日、以下の内容の詳細メールが届きました。他のサイトから流出したIDパスワードの組み合わせで大量のログイン試行があったというわけではなく、このウェブウォレットにアクセスしたときのデータのやり取りに不備があり、情報が流出したようです。通常は生のパスワードを送信することはないがブラウザ側の挙動かタイミングかで現象が稀に発生していたパスワードだけでなくニーモニック(秘密鍵)も流出していたら現在パスワードを変更していたとしても関係なく不正ログインされる可能性がある現在使用中のウォレットは破棄し、新しいアカウントを作成するかほかのウォレットを使用してくださいこの事件の問題点この事件を振り返って、いくつか気になる点があったので下に記載します。サポートは最初のメールでウォレットの移動を指示するべきだったサポートの初期対応はアカウントロック、およびパスワードの変更依頼でした。アカウントロックを解除するためには登録したメールアドレスに届いたメールが見れることが条件なので容易ではありません。ニーモニックが流出していた場合は、アカウントをロックしようが、パスワードを変更しようが、容易に別の環境から該当のウォレットにアクセスが可能です。ニーモニックとは秘密鍵に相当するもので、それがあるだけで別環境に残高そのままでアカウントにログインが可能です。ニーモニックは人によっては紙に印刷して金庫に保管しておくぐらい大切なものなので、それが流出するというのは非常に危ないことです。WALLETに二段階認証が実装されていれば被害を防げたサポートからメールが来た段階ですでに不正ログインされており、ウォレットの中身がすべて盗まれていた方もいるかと思います。サポートがアカウントロックをする前に、流出したID、パスワードで不正ログインができてしまえば容易に通貨を盗める状態でした。その状態でも二段階認証が実装されていればログインは可能でも、通貨の送金は防げた可能性があります。二段階認証とは、ログイン時の認証とは別に通貨の送金時などに別の方法で認証をすることです。一般的には、二段階認証用アプリやSMS、登録したメールアドレスに送信されたURLを押下するなどの方法があります。通常のパスワードと違って、処理実行時に一時的に発行されるものなので、OTP(ワンタイムパスワード)といわれる場合もあります。WALLETを使用している方へサポートからメールが届いた方は、メールにも記載してあると思いますが、すぐにウォレットを変えることを推奨します。メールが届いていない方も、念のためウォレットを変える必要があるかもしれません。ウェブウォレットは自己責任のため不正ログインされたとしても保証などはありません。BitZenyの受取アドレスも変わってしまいますが、アカウントを作り直すだけで別のニーモニックに代わるので、アカウント再作成の手間と不正ログインされた時の被害を比較して、対応を検討してみてください。※2018年3月4日時点で、ニーモニックも流出している旨のメールがサポートから届きました。該当のウォレットはすでにハッキングされたも同然なので、二度と使用しないようにしてください。ウォレットのセキュリティ性能を比較ウォレットにはいくつかの種類がありますが、それぞれのセキュリティ面での性能を比較してみました。ID、パスワードのみで認証しているため、簡単なパスワードを使用している場合、総当たり攻撃で不正ログインされる可能性がある。ID、パスワードが流出してもすぐには被害につながらないが、取引所自体がハッキングされた場合、利用者すべてに影響がでる。デスクトップウォレットの場合は、PCのローカルで個人で管理しているため、運営がハッキングされるといった心配はありませんが、PC自体がウイルスに感染した場合は、影響を受ける可能性があります。取引所の場合は、逆にPCがウイルスに感染しても二段階認証を実装している場合は被害を防げる可能性がありますが、取引所自体がハッキングされた場合はいくらこちら側でセキュリティ対策をしていても影響を受ける可能性があります。ウェブウォレットの場合は、現状最もセキュリティ性能が低いです。PCのウイルス感染、運営に対するサイバー攻撃ともに影響を受ける可能性があります。二段階認証が実装されるまでは全額をウェブウォレットに保管するのは危ないかもしれません。結局どれがいいの?結論として、デスクトップウォレットが一番安全だと個人的に思っていますが、各性能は一長一短です。それぞれの仮想通貨や取引所によって二段階認証や、保証の有無などは違いがあります。所持している仮想通貨のウォレットを調べて安心できそうなものを選ぶのがいいかもしれません。私の場合は、各取引所や公式ウォレットに分散して保管するようにしています。この保管方法は、一度の被害で受ける影響を小さくできますが、その代わりに被害を受ける可能性は上がってしまいますので注意は必要です。zaifで買ったNEMをリスク分散のため半分コインチェックに送った結果、コインチェックがハッキングされる...ということもあり得ますので自己責任でお願いします。おまけ使用しているウォレットのサポートや取引所から「不正ログインされた可能性があるため、IDとパスワードを教えてください」といった内容のメールが来た場合でも、すぐにそれを信用するのは危険です。登録情報を要求してくるメールは標的型メール攻撃の可能性があります。メールの送信元(From)が正しいとしても、メールのFromヘッダーも容易に改ざんが可能なので、本物だと思っても実は全然違う人が送ってる場合がありますので。佐藤(低カロリー)ネットワーク、セキュリティ寄りのエンジニアです。次はブロックチェーン業界に興味持っており、利用する側よりも運営する側になることを目指しています。20代の若造ですが、皆さんに有益な情報を提供できたらと思います。その正確性や適切性については保証致しかねます。情報の誤りや不適切な表現があった場合には予告なしに記事の編集・削除を行うこともございます。ご自身の判断にてご覧頂くようにお願い致します。当ブログの記載内容によって被った損害・損失については一切の責任を負いかねます。