20カ月続いたFearless Wallet侵害、DOTの早期出金に伴うリスク浮き彫り

20カ月にわたるFearless Walletの侵害により、Polkadotのステーキング出金期間の短縮に伴う潜在的なセキュリティー上の弱点が浮き彫りになった。Polkadot Community Foundationは10月21日、サードパーティー製ブラウザー拡張機能によって2025年2月以降、ユーザーの秘密鍵が漏えいし、不正送金を可能にした恐れがあると警告した。Polkadot Technical Fellowshipの調査では、ウォレットの認証情報を抜き取る悪意あるコードが特定された。同財団によると、8人のユーザーから計1万7286 DOTの不正取引が報告された。同財団は影響を受けたユーザーに対し、別のウォレットを使って新しい秘密鍵を作成し、残りの資金を直ちに移すよう促した。

ブロックチェーンのセキュリティー企業SlowMistは、バージョン3.0.1と3.0.3から3.0.5までの拡張機能が影響を受けたと特定した。SlowMistによると、悪意あるコードはウォレットのロック解除時にリカバリーフレーズ、秘密鍵、キーストアファイルを取得し、HTTPリクエストを通じて外部サーバーに送信する可能性があった。遠隔設定機能によって悪意ある動作を有効化または無効化でき、検出が難しくなっていた可能性がある。調査担当者によると、悪意あるコードは6月にソースコードから削除された。また、遠隔スイッチは10月に無効化されたという。ただし、こうした変更によって、攻撃者がすでに入手した認証情報を無効にすることはできない。

Polkadotは7月6日、提案第1910号を実施し、ノミネーターの最大アンボンディング期間を28日から2日に短縮した。この提案では、ノミネーターに対するスラッシングのペナルティーも撤廃した。これらの変更は、バリデーターが直面するのと同じスラッシングリスクを負わずに資金へより早くアクセスできるようにし、ステーキング参加者を増やすことを狙ったものだった。出金の迅速化はトークン保有者の流動性を高める一方、侵害されたステーキング口座の資金が送金可能になる前に保護するための時間を短縮した。新たに開始されたノミネーターの出金は、ステーキングの日程によって、およそ24～48時間で利用可能になる。

従来の最長4週間の待機期間があれば、口座保有者や復旧専門家が不審なステーキング解除の申請を検知し、介入する時間をより長く確保できる可能性があった。短縮された期間は、攻撃者が保有者による侵害の発見前に資金のロック解除を始めた場合、ステーキング中のDOTを持つ侵害口座に特に影響する。polkadot-apiチームが開発したPAPI Rescueは6月30日、アンボンディング期間を28日から2エラに短縮すると、ユーザーが速やかに復旧専門家に連絡しない限り、介入に必要な時間が不足する恐れがあると警告した。この警告は、7月の実施とPolkadotによる10月のセキュリティー警告のいずれにも先立つものだった。同財団はその後、資産が制限されている影響保有者に対し、ステーキング解除前にPAPI Rescueの利用を検討するよう助言した。資金が送金可能になると、復旧の選択肢が変わる可能性があるためだ。

Fearless Walletのユーザーが報告した不正送金について、短縮されたアンボンディング期間が原因だとは確認されていない。7月のアップグレード前に申請されたアンボンディングには、従来の日程が適用された。バリデーターや、その他一部のロックされた残高には、引き続き異なる制限が適用される。

PAPI Rescueによると、同サービスは侵害された口座から25万ドル超の資産を回収しており、対応した対象案件について成功率100%を掲げている。復旧プロセスでは正当な所有者であることを確認し、Polkadotの取引・ステーキング規則によって、残りのロックまたは予約済み資金を保護できるかを評価する。秘密鍵を持つ者は通常、正当な所有者と同等の署名権限を得る。したがって復旧できるかどうかは、ネットワーク上の制約がなお送金を阻止できるか、また技術的に介入が可能かに左右される。7月の変更により介入のタイミングがより重要になったが、PAPI Rescueは回収を保証できず、資産が適用されるプロトコル上の制限を越えて移動した後は支援できない場合がある。

Polkadotの調査担当者は、調査したモバイルアプリに対応する悪意あるコードは見つからなかったとしている。ただし、漏えいした認証情報を別のアプリに読み込んだ場合、攻撃者がすでに秘密鍵を知っている可能性があるため、ユーザーは依然として危険にさらされる。パスワードの変更、拡張機能の再インストール、同じリカバリーフレーズを別のウォレットで再利用することでは、根本的な漏えいは解消されない。同財団は、求めていない復旧支援の申し出にも注意を促し、復旧チームを含め、誰にも秘密鍵を共有しないよう指示した。ステーキング中またはその他の理由でロックされているDOTを持つ影響保有者は、行動を起こす前に残る出金制限を確認する必要がある。出金を開始すると、攻撃者が資金を移せる時点が早まる可能性があるためだ。復旧サービスは、そうした機会が失われた後も資金を保護できると保証するものではない。