査読制度を有する学術的なコンピュータセキュリティ会議であるUSENIX Securityで発表された研究により、イーサリアム(Ethereum)およびBNB Smart Chainにおけるアドレスの誤使用に起因する、5億7,480万ドルを超える暗号資産の損失が記録されました。

研究者らはブロックチェーンのアクティビティを分析し、ユーザーが危険なアドレスとどのようにやり取りしているかを調査しました。その結果、約126,983 ETHおよび17,727 BNBの損失に関連する65,340件の高リスクアドレス事例が特定されました。研究では、全体の検出精度は99.11%であると報告されています。

アドレスの誤使用が損失を生む仕組み

研究者らはアドレスの誤使用を、コントラクトアカウントの誤使用とEOA(Externally Owned Account、外部所有アカウント)の誤使用という2つの主要カテゴリに分類しています。

コントラクトアカウントの誤使用は、ユーザーがコントラクトではないアドレスをスマートコントラクトのアドレスと誤認して扱う場合に発生します。EOAの誤使用は、秘密鍵が漏えいしたアドレスとのやり取りに関わるものです。この2つのカテゴリはいずれもイーサリアムのアカウントモデルの中核に位置するもので、このモデルではコントラクトアカウントがコードを保持して実行する一方、EOAは秘密鍵によって管理されます。ただし、この区別はアドレス文字列そのものには見えません。イーサリアムとBNB Smart ChainはどちらもEVM互換のネットワークであり、同じ16進数アドレス形式を共有しているため、一見有効に見えるアドレスからは、コードを保持しているか、誰が管理しているか、どのように動作するかについての手がかりは一切得られません。

研究では、GitHubとStack Exchangeから収集された約1,000万件の候補アドレスと、約1,600万件の漏えいした秘密鍵が利用されました。公開コードリポジトリや開発者フォーラムでは長年にわたり漏えいした認証情報が繰り返し発見されており、これらは漏えい鍵に関するセキュリティ研究の継続的な情報源となっています。研究者らはその後、イーサリアムおよびBNB Smart Chain上の関連トランザクションを追跡しました。

漏えいしたアドレスが大きなセキュリティ脅威に

研究者らの調査では、EOAの誤使用が約104,245 ETHおよび9,045 BNBの損失を占めていることが明らかになりました。調査結果は、ユーザーが、攻撃者に管理されている可能性のあるアドレスであると認識しないまま、漏えいしたアドレスと頻繁にやり取りしている実態を示しています。

研究ではまた、これまで報告されていなかった攻撃ベクトルも特定されました。攻撃者はアドレスのやり取りにおけるミスを悪用して資金を抜き取ることができ、一見通常に見えるブロックチェーン上のアクティビティが盗難の機会に変わる恐れがあります。

研究者らが継続的なリスクを警告

収集されたアドレスの85%以上は、研究時点で誤使用によるやり取りを引き起こしていませんでした。それでも研究者らは、そうした休眠状態のアドレスも、ユーザーが誤った形でやり取りすればリスクをもたらす可能性があると警告しています。

調査結果は、ブロックチェーンセキュリティにおけるより広範な弱点を浮き彫りにしています。ユーザーは、アドレスが正当なコントラクトを表しているのか、その秘密鍵が安全に保たれているのかを十分に理解しないまま、アドレスに依存することが少なくありません。イーサリアムの大文字・小文字を混在させたチェックサムエンコーディング(EIP-55)はアドレスの入力ミスの検出に役立ちますが、アドレスが正当なものか、その鍵が侵害されているかについての情報は一切提供しません。

研究者らは、より良いアドレス検証とより強固なセキュリティ意識によってリスクを低減できると主張しています。実際には、これは取引前に公式プロジェクトのドキュメントやブロックエクスプローラーと照合してコントラクトアドレスを確認するなど、ユーザーがすでに実行できるチェックを指しています。また、研究結果は、ブロックチェーンのアドレスセキュリティが秘密鍵の保護にとどまらず、異なるネットワーク間でアドレスがどのように動作するかをユーザーが理解する必要があることを示しています。