モナコインのウォレットであるmonappyがクラッキングに遭い、サーバ上のホットウォレット内のほぼ全てのコインが盗難されたようです。
http://monappy.jp/index.html今回は前回話題になったBlock withholding attack等とは全く関係なく、ギフトコードを送る機能の欠陥を突いた盗難であったようです。
Monacoinを保有している方にとってはある程度知名度の高いウォレットであったと思われますので、
盗難通貨に対する今後の対応や防止策には注目がまた集まりそうです。
続報です。
IndieSquare社によれば盗難に遭った分のMonaについては対象者に対し全額補償をするとのこと。
対象者は7000人以上とのことなので、影響としてはそこそこ大きかったようですね。
MonappyにおけるMonacoinの不正出金につきましてhakkaさん、ありがとうございます。更新しようとしたところアップデートまでされていて、さすがです。
漏れ出てくる情報によるとレースコンディションの脆弱性を突いたものらしいですね。
セキュリティの専門家でも見つけるのは簡単ではなく、さらに外部から攻撃に利用するとなると、難易度は高いと思いますが、それでも得られる金額が金額ですので、攻撃者にとっては今後もこういった脆弱性は的になりそうと思います。
新しいIT companyになりうる（と個人的に思っている）各ICOでさえ、バグバウンティを実施しているものは多くないので、そのあたりもっと一般的になってほしいです。
サーバ側ですべて対策を講じるのは簡単ではないことから、利用者がオプションとしてコールド/ホットを任意で切り替えられるというのも緩和策としては考えられるのかもしれません。
「ホットウォレットは盗まれる可能性があります」というのはサービスとしては致命的ですし、管理が粗雑な場合はコールドであっても対策になりませんが、そんなことをふと思った次第です。
レースコンディションについてはJAVAの資料ですがIPAのものがあったので、ご参考までに。
https://www.ipa.go.jp/security/awareness/vendor/programmingv1/a03_06_main.htmlおお、これは参考になります。
「レースコンディション問題によりまれにセキュリティ上の防御が緩む瞬間があるアプリケーションがあった場合」
今回のMonappyの問題だと、これがギフトコード部分であったということですかね。
バグバウンティはおっしゃる通り、もっと一般的に広まるべきでしょうね。
昔からですが、プロジェクトを広げることに注力しているものが多すぎます（まあ投機家からは文句がくるかもしれませんが笑）。
各社のウォレットのセキュリティに関してはいたちごっこが続くのでしょうね。
使用されている方は、盗まれる可能性に関して、少なくともハードウェアウォレットを使用するよりも高い事を「恐らく」承知している
と思いますので、利便性をとるかセキュリティをとるかというところでしょうか。
（各社のホットウォレット：コールドウォレット比率等は個人的に気になりますが、実際は明記されていない会社も多そうです。）
