Bitcoin Forum
November 18, 2018, 01:00:35 AM *
News: Latest Bitcoin Core release: 0.17.0 [Torrent].
 
   Home   Help Search Login Register More  
Pages: [1] 2 3  All
  Print  
Author Topic: [セキュリティ] 事例、情報まとめスレッド  (Read 1527 times)
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
May 16, 2018, 11:51:14 PM
Merited by Anon11073 (3), sncc (1), hakka (1), tactac (1)
 #1

仮想通貨の世界では、自分の身は自分で守らなくてはなりません。
一方で、攻撃者による攻撃は高度になり続けています。全員が少しずつ気を付ければ、被害を回避したり緩和したりできるはずです。そんな想いでスレッドを立ち上げました。
各種の事例を報告しつつ、可能な範囲でインシデントをユーザー側からの視点で確認し、ユーザーがどんなことに気を付ければいいか、というところに重点を置きます。足りない情報や最新事例などお持ちの方はぜひお寄せください。ご指摘も歓迎です。

以下、一般的な内容ではありますが参考にしてください。

* ひとつの取引所に多くのトークンを置かない
事例: MtGox, CoinCheck のような取引所からの盗難

* 利用するサービスのパスワードは強固なものにする
- 使い回さない(Lastpass, 1password 等の利用、文字列を分割して「よく使う文字列+α」でαはメモ帳に書くとか)
- 辞書にあるような文字列の並びは避け、組み合わせる場合もできれば 3つ以上にする
- gmail だとプラスでメールアドレスを変えられるので、ID も都度変えてもいいかもしれません

* セキュリティ機能は必ず設定する
- Metamask など、開発者チームが推奨する対策は必ず実施する
- MFA を設定し、そのバックアップも取ること(複数端末でスキャン、バックアップ用文字列を紙に手書き等)
- セキュリティ機能が十分でないサービスは、そもそも使うべきではありません。

* 扱う機器にも注意を。
- 不必要なものはインストールしない。特にブラウザアドオンやスマホアプリは、インストールユーザ数やレビューも確認します。一方で、過信しすぎてはいけません
- Windows Updateなど OS のアップデートは放置せず適用すること ※まれに起動しなくなるバグとかあるので諸刃の剣ですが。
- 自宅内のDNSはセキュリティ特化型のもの(Neustar UltraRecursive等)とか使うと良いかもしれません

* 秘密鍵はオフラインに
- 資金があればハードウェアウォレット、難しければ USBメモリ等。可能ならば紙への印刷。喪失に備えてバックアップも。

* 情報は裏を取る
- エアドロップやICOのお知らせ等、メールやDMで得た情報をうのみにせず、必ずウェブサイトやホワイトペーパーなど一次情報に当たるようにしましょう。
- Google検索から取引所に飛んでませんか?URLは間違いありませんか?証明書エラーは出てませんか?
- 「支払いが必要」、「秘密鍵を入力してください」などは99%詐欺です。不安に思ったらSNSや検索で他の人が同じことをやっているか確認します
- 電話や SNS で気軽に仮想通貨のことを話していませんか?自分から情報を垂れ流していることを自覚してセーブしましょう。

* もし SCAM(詐欺)や攻撃に遭った場合も、まずは被害を見極める
- 被害者を狙った詐欺もあります。冷静になり、ダメージコントロールに努めましょう
1542502835
Hero Member
*
Offline Offline

Posts: 1542502835

View Profile Personal Message (Offline)

Ignore
1542502835
Reply with quote  #2

1542502835
Report to moderator
1542502835
Hero Member
*
Offline Offline

Posts: 1542502835

View Profile Personal Message (Offline)

Ignore
1542502835
Reply with quote  #2

1542502835
Report to moderator
1542502835
Hero Member
*
Offline Offline

Posts: 1542502835

View Profile Personal Message (Offline)

Ignore
1542502835
Reply with quote  #2

1542502835
Report to moderator
Advertised sites are not endorsed by the Bitcoin Forum. They may be unsafe, untrustworthy, or illegal in your jurisdiction. Advertise here.
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
May 16, 2018, 11:57:58 PM
 #2

最初は事例ベースでまとめようかと思ったのですが、調べるとあまりにも多くの例が見つかったので断念しました。
今のところ一般的な観点にとどめ、まとめてみました。追記や指摘は大歓迎です。(もしスレッドが重複していたらご容赦ください)
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
May 20, 2018, 11:48:14 AM
 #3

今週の事例まとめ:

- モナコインで 51%攻撃が観測されました。
取引所に送金したのち、非常に大きなハッシュパワーを使って掘り進めていたフォークを公開。送金をなかったものとして、1千万円単位の利益を不正に得たという理解です。

日本語記事: http://www.itmedia.co.jp/news/articles/1805/18/news071.html
reddit のスレッド: https://www.reddit.com/r/monacoin/comments/8k7640/51_attack_on_monacoin/

- Coinhive を設置したことにより、警察の捜査を受けているという報告があるそうです
http://takagi-hiromitsu.jp/diary/20180519.html

- コインチェック関連では SNS を使って半年前から情報収集等が行われていたことが明らかになりました。
https://security.srad.jp/story/18/05/15/0924228/
hakka
Full Member
***
Offline Offline

Activity: 322
Merit: 102


To live is to think


View Profile WWW
May 20, 2018, 01:47:26 PM
 #4

今週の事例まとめ:

- モナコインで 51%攻撃が観測されました。
取引所に送金したのち、非常に大きなハッシュパワーを使って掘り進めていたフォークを公開。送金をなかったものとして、1千万円単位の利益を不正に得たという理解です。

日本語記事: http://www.itmedia.co.jp/news/articles/1805/18/news071.html
reddit のスレッド: https://www.reddit.com/r/monacoin/comments/8k7640/51_attack_on_monacoin/

- Coinhive を設置したことにより、警察の捜査を受けているという報告があるそうです
http://takagi-hiromitsu.jp/diary/20180519.html

- コインチェック関連では SNS を使って半年前から情報収集等が行われていたことが明らかになりました。
https://security.srad.jp/story/18/05/15/0924228/
週ごとにまとめて頂くと確かに振り返りやすくていいですね。
セキュリティ関係は最近のトレンドでもありますし Smiley

今週についてはBitcoinGoldも攻撃を受けたようでPOW界隈が大騒ぎですね。
私も簡単に経緯について次のスレ(暗号通貨のニュース・規制情報スレ)で以下の通りまとめました。
(このスレの趣旨的に、以下のレベルのセキュリティ関係の情報は今後こちらに投稿しても大丈夫でしょうか?)。

MONACOINに続きBitcoinGoldもハッシュパワーによる攻撃を受けたようですね。
今度は51%攻撃とのことでかなり自信を持った攻撃者だったように考えられます。
https://twitter.com/bitcoingold/status/997466283653455872
また、標的にされた取引所によると今回の攻撃は以前にもBitcoinに対して
51%攻撃を仕掛けた人物/グループと同様とのこと。
https://forum.bitcoingold.org/t/double-spend-attack-on-exchanges/1362
その後の報告によると、BitcoinGold側が取引所に呼び掛けて承認回数
を上げることにより、幸い被害は出なかったとのことです。
https://twitter.com/bitcoingold/status/997544334508548096

これはMONACOINの教訓を受けての成果の可能性もあるため、
ポジティブに考えれば、POW系暗号通貨特有の問題と一般的な
対策方法の周知が推し進められたものと言えるかもしれません。

この昨今の流れを受けてPOW系の暗号通貨の運営は、
事前に取引所に対して承認回数の増加を要求する等も考えられます。
(各通貨にとってセキュリティと利便性の天秤の掛け方は、今後も課題となりそうです。)

kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
May 20, 2018, 03:06:38 PM
 #5

今週の事例まとめ:

- モナコインで 51%攻撃が観測されました。
取引所に送金したのち、非常に大きなハッシュパワーを使って掘り進めていたフォークを公開。送金をなかったものとして、1千万円単位の利益を不正に得たという理解です。

日本語記事: http://www.itmedia.co.jp/news/articles/1805/18/news071.html
reddit のスレッド: https://www.reddit.com/r/monacoin/comments/8k7640/51_attack_on_monacoin/

- Coinhive を設置したことにより、警察の捜査を受けているという報告があるそうです
http://takagi-hiromitsu.jp/diary/20180519.html

- コインチェック関連では SNS を使って半年前から情報収集等が行われていたことが明らかになりました。
https://security.srad.jp/story/18/05/15/0924228/
週ごとにまとめて頂くと確かに振り返りやすくていいですね。
セキュリティ関係は最近のトレンドでもありますし Smiley

今週についてはBitcoinGoldも攻撃を受けたようでPOW界隈が大騒ぎですね。
私も簡単に経緯について次のスレ(暗号通貨のニュース・規制情報スレ)で以下の通りまとめました。
(このスレの趣旨的に、以下のレベルのセキュリティ関係の情報は今後こちらに投稿しても大丈夫でしょうか?)。

MONACOINに続きBitcoinGoldもハッシュパワーによる攻撃を受けたようですね。
今度は51%攻撃とのことでかなり自信を持った攻撃者だったように考えられます。
https://twitter.com/bitcoingold/status/997466283653455872
また、標的にされた取引所によると今回の攻撃は以前にもBitcoinに対して
51%攻撃を仕掛けた人物/グループと同様とのこと。
https://forum.bitcoingold.org/t/double-spend-attack-on-exchanges/1362
その後の報告によると、BitcoinGold側が取引所に呼び掛けて承認回数
を上げることにより、幸い被害は出なかったとのことです。
https://twitter.com/bitcoingold/status/997544334508548096

これはMONACOINの教訓を受けての成果の可能性もあるため、
ポジティブに考えれば、POW系暗号通貨特有の問題と一般的な
対策方法の周知が推し進められたものと言えるかもしれません。

この昨今の流れを受けてPOW系の暗号通貨の運営は、
事前に取引所に対して承認回数の増加を要求する等も考えられます。
(各通貨にとってセキュリティと利便性の天秤の掛け方は、今後も課題となりそうです。)


hakkaさん、ありがとうございます!はい、セキュリティ周りの情報は、こちらに投稿あるいは転記いただけると良いと思います。
個人的に一週間で騒ぎになったニュースを振り返ってみようと思い、簡単に、記事を探してまとめてみた次第です。あとからタイムラインを追える、というメリットはあるかもしれません。

モナコインの件は、PoW系のコインにとっては本質的に回避しえない問題ですが、承認回数が長ければ長いほど取引できるようになるまでのタイムラグが発生するわけで、難しいですね。
動かした金額(価値)に応じて承認回数を変える、などの対策が本質的にはうまくいきそうな気もしますが、各取引所はそこまで賢い仕組みは実装できていない、というのが現状でしょうか。
tactac
Member
**
Offline Offline

Activity: 266
Merit: 75


View Profile
May 22, 2018, 03:56:49 PM
 #6

twitterで拡散されていましたがwavesのウォレットに勝手にコインを送りつけて
フィッシングサイトに誘導する詐欺があったようですね。
手口としてはhttp://やhttps://で始まる名前のトークンを送り付け
そのトークンの名前のURLにアクセスすると、そこから自動的にwaves clientや
waves light clientのアカウント復元画面にそっくりのページにとび、そこでseedを打ち込ませる、という手法だそうです。
自分のwaves clientには幸い送られてきていませんでしたが、
身に覚えのないコインが送られてきた際には、当たり前のことですが注意が必要ですね。

popomaru
Member
**
Offline Offline

Activity: 304
Merit: 10


View Profile WWW
May 23, 2018, 11:19:55 PM
 #7

怪しいURLの書かれたWavesトークンのアドレスは、アクセスしただけでも危険らしいです。
もしかすると何かウイルスやスクリプトが埋め込まれてるのかも?
今の所被害には遭ってないですが、気をつけた方がよさそうですね。
多分ですが、Airdropで応募してるWavesアドレスを収集して送りつけてるような気がします。
tactac
Member
**
Offline Offline

Activity: 266
Merit: 75


View Profile
May 24, 2018, 05:11:38 AM
 #8

怪しいURLの書かれたWavesトークンのアドレスは、アクセスしただけでも危険らしいです。
もしかすると何かウイルスやスクリプトが埋め込まれてるのかも?
今の所被害には遭ってないですが、気をつけた方がよさそうですね。
多分ですが、Airdropで応募してるWavesアドレスを収集して送りつけてるような気がします。

Airdropに参加するにも、やはり皆がリテラシーを身を高めることは必要ですね。
そういう意味でもこういった、セキュリティ関係をまとめてくださっているスレッドは有意義だと感じます。

HBV
Newbie
*
Offline Offline

Activity: 26
Merit: 4


View Profile
May 24, 2018, 04:38:26 PM
 #9

今回のHBウォレットの件に関しては…どう対策すべきですかねぇ…
いつ何時でも出金できるようETHを常備しておくとか、その際焦ってセルフGOXしないとか…
最終的にはソフトウォレットではなくハードウォレットを使用するというところに行き着くとは思いますが、あるいはソフトウォレットはエアドロップ用の不安定な金庫であると認識して、こういうこともあると覚悟しておく心構えとかですかね。
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
May 28, 2018, 10:06:37 AM
 #10

先週の事例まとめ

- HB Wallet 関連
https://bacoor.co/hb/
結局、内部犯でしたね。スパイウェア的な機能を埋め込まれてしまう手口は、回避は難しそうです。。。
コインチェックで話題になった保険などもあるのではと思って調べてみましたが、(仮に契約していたとしても)現状では対応しきれないユースケースのようなので、複数の場所に分散しておくぐらいがリスク回避策になるでしょうか。

- HDAC マイニングプールのハッキング
http://virtualmoney.jp/I0003255
マイニングプールへの攻撃も、これまで以上に本格化しそうですね。
ため込んでいる通貨を奪う可能性に加え、ハッシュパワーを一時的にでも悪用できれば多額の収益を得られる可能性が示されていますし。

http://www.icomegamarket.com/研究者が51%攻撃のコスト試算、etcなら60億円のコス/?lang=ja
51%攻撃は、研究によると 16倍以上の収益につながる可能性があるそうです。こういった研究からも、攻撃が続くことは示唆されると思います。
tactac
Member
**
Offline Offline

Activity: 266
Merit: 75


View Profile
May 30, 2018, 04:44:15 PM
 #11

MEW公式を装ったメールでsupport@myethervvallet~~~のアドレスから
「プライバシーポリシーがアップデートされ新しいアドレスが生成されたので
そちらに資金を移動してください。」というメールが来るフィッシング詐欺案件があるようですね。ご注意を。

https://twitter.com/myetherwallet/status/1001540981978644480

先ほどzaifからも取引所の名前を騙ったフィッシング詐欺が流行している旨の注意喚起のメールが届きましたし
この界隈毎日何かしらの詐欺案件が横行しているような。。。 Embarrassed

kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 04, 2018, 03:22:48 PM
 #12

先週は Taylor のハッキングが騒がれたぐらいで、目新しいものはありませんでした。
https://japan.zdnet.com/article/35119962/

個人的には、EOS関連のフィッシングメールが多かったように感じました。
送信元やリンク先を注意深く確認するのはもちろん、秘密鍵を保持したパソコンで作業をしない等、対策は怠らないようにしましょう。

ちなみに51%攻撃に関する記事はbloombergにも載りました。中身はあまりありませんが。
https://www.bloomberg.co.jp/news/articles/2018-05-30/P9IRYR6K50XS01
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 04, 2018, 03:53:09 PM
 #13

EOS(block.one) が問い合わせ窓口の zendesk 経由でハッキングされ、投資家が数百万ドルを失ったそうです。
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り(これはシステム的に見た目上eos[.]comのように表示される)、秘密鍵の入力を求めたというものです。
 https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/


それから、ZenCash が 51% 攻撃を受けたそうです。
(恥ずかしながら把握していなかったのですが)verge の事例に続いた事例になってしまいました。
攻撃者は今回1時間にわたって3万ドルを費やして攻撃を行ったとのことです。
 https://coinspectator.com/news/494498/zencash-suffered-a-51-attack19600-zen-were-stolen

51%攻撃のコストをまとめたサイトも作られています。
https://www.crypto51.app
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 06, 2018, 02:15:55 PM
 #14

日本のシンジケートが shopin の TGE 絡みで集めた資金が盗まれたそうですね。
https://www.hackread.com/syndicate-wallet-hacked-10-million-dollars-stolen/
hakka
Full Member
***
Offline Offline

Activity: 322
Merit: 102


To live is to think


View Profile WWW
June 07, 2018, 09:03:01 AM
 #15

Litecoin  Cashも51%攻撃を受けたようですね。
対策は施したため被害はなかったのこと(取引所連絡後、承認数を100に変更することで対応)。
http://www.livebitcoinnews.com/litecoin-cash-51-attack-highlights-insecurity-of-smaller-pow-coins/

今後も同様の攻撃は起こる可能性は高いでしょうが、
攻撃側も更に手を変えてくることも考えられるため、
気は抜けない状況が続きそうです。

kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 11, 2018, 10:42:13 AM
 #16

韓国の取引所Coinrailがハッキング被害を受け、被害は4000万ドルに達する見込みだそうです。この影響を受けて昨日から、かなり値下がりしています。
手口など詳細は公開されておらず、1か月は調査に要するとの見解が出ていますが、"cyber intrusion"と報告されているので、コインチェックと似たような話かもしれません。
https://techcrunch.com/2018/06/10/korean-crypto-exchange-coinrail-loses-over-40m-in-tokens-following-a-hack/?guccounter=1

それから、地味ですがセキュリティ絡みのネタとして、ロシアの政府系サイトがマイニング目的でハッキングされたりしています。
https://www.coindesk.com/russian-countys-website-hacked-mine-cryptocurrency/
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 11, 2018, 02:39:12 PM
 #17

EOS(block.one) が問い合わせ窓口の zendesk 経由でハッキングされ、投資家が数百万ドルを失ったそうです。
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り(これはシステム的に見た目上eos[.]comのように表示される)、秘密鍵の入力を求めたというものです。
 https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/

EOSの事例に続き、別の ICO ですが公式のメールアドレスが攻撃を受けた模様です。先ほど怪しいメールが来ました。
このように、公式からのメールであっても信用ならないので、注意しましょう。こんな分かりやすいものばかりじゃありませんので。

hakka
Full Member
***
Offline Offline

Activity: 322
Merit: 102


To live is to think


View Profile WWW
June 13, 2018, 01:56:37 AM
 #18

Memberへの昇進おめでとうございます Cheesy

次の引用はICOのトークン保管方法に問題があったために、ICO側がハッキングをされ、資金の大半を失ってしまった例です。
プロジェクトに資金が必要だからこそ集めたのは当然であるため、今後全うに開発等されていくか心配ですね。
この事例からは、個人レベルでセキュリティに気を付けるのは当然ですが、
ICOに参加する場合、運営側がトークンを適切に保管しているか問い合わせる事も効果的かと思われました(自分の利益に関する他者への配慮という意味合いで。)。

2ヶ月前にICOセールが終了し、プロダクト開発中であったTaylor (https://smarttaylor.io/)がハッキング被害に合い、調達した資金の全て(2,500ETH以上)と発行したトークンの7%を失ってしまった様です。犯人は CypheriumChain (被害額17,000ETH) をハッキングしたグループと同一であるとの事です。今後の計画については現在議論中との事ですが、先行きは不安ですね。
知識のあるプロが管理しても盗まれる可能性があるので、皆さんも仮想通貨の管理は注意が必要です。
 --> https://medium.com/smarttaylor/this-is-a-dark-day-for-taylor-ded587463da7
悲惨ですね Sad
管理の方法に問題があったのか、狙われたらどうしようもないのか、気になるところです。
自分が参加したICOも同じ被害に遭う可能性があるかと思うと怖いですね。
Taylorの事件の詳細が出ましたが、ウォレットのパスワードを管理していたPCがハッキングを受けて資金を盗まれた、との事でした。
狙った側が悪いのは当然ですが、ハッキングを受けてしまう環境に保管していたTaylor側にも責任があると思います。
ICO終了前にそこまで予見するのは難しいですが、コールドウォレットで保管している等、資金の管理に関してホワイトペーパーに書かれていたらより安心かもしれませんね。
Taylorの続報が出ました。資金のほぼ全て+Taylorトークンも盗まれてしまっているので、トークンは新トークンへのスワップで対応。開発資金に関しては、運営側が保有しているトークンの一部を新たなトークンセールにて販売する様です。その際に集める額は、ベータ版開発までに必要な最小金額にとどめるとの事です。ロードマップは初期の予定より大幅に遅れてしまっていますが、運営が逃げずに開発を続ける姿勢を見せているところは評価できるかと思います。
 -->https://medium.com/smarttaylor/taylor-phoenix-rising-from-the-ashes-743bab57545e

kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 13, 2018, 10:25:58 AM
Merited by Anon11073 (2), nanna (1)
 #19

Memberへの昇進おめでとうございます Cheesy

hakkaさん、温かいお言葉ありがとうございます。
意外とセキュリティに関して日本語の事例、情報が少ないと感じているので、多少なりともお役に立てればと思っております。


先週から今週にかけて一番大きかった出来事は coinhive の裁判でしょう。
警察のやり方が極めてずさんで見せしめ的なものだと思いますので、ぜひ応援したいと思っています。
https://doocts.com/3403

ツイッターで「ether無料であげます」系のキャンペーンが行われているそうです。主に英語だと思いますが、美味しい話にはご注意ください。
https://bitcoinexchangeguide.com/ethereum-giveaway-scams-totaling-5-million-worth-of-eth-stolen-via-fake-twitter-accounts/

SIMハック(キャリアのサポートに電話して対象のSIMを無効化し、乗っ取る技法)での攻撃も報告されています。
この手法は直近だと3文字のインスタグラムアカウントを乗っ取り際に用いられたりしていて、日本の居住者は今のところ事例は無いと思いますが、存在自体は知っておいて損無いと思います。
https://ethereumworldnews.com/this-binance-users-account-with-50k-in-crypto-was-hacked-through-a-sim-swap/
 当たり前ですが SMS 認証は、あまり強くありません。MFA についても考えて行動するのが良いと思います。
kazuki.t
Member
**
Offline Offline

Activity: 280
Merit: 19


View Profile WWW
June 14, 2018, 08:54:39 AM
 #20

設定が雑な場合、マイニングリグからも Ethereum が盗難されるという報告があるようです。
https://www.bleepingcomputer.com/news/security/hackers-stole-over-20-million-from-misconfigured-ethereum-clients/
Pages: [1] 2 3  All
  Print  
 
Jump to:  

Sponsored by , a Bitcoin-accepting VPN.
Powered by MySQL Powered by PHP Powered by SMF 1.1.19 | SMF © 2006-2009, Simple Machines Valid XHTML 1.0! Valid CSS!