背景

前回のWeb3セキュリティガイドでは、ウォレットのダウンロードや購入に伴うリスク、公式サイトの探し方、ウォレットの真正性を確認する方法、秘密鍵/シードフレーズの漏洩の危険性について説明しました。「Not your keys, not your coins」というフレーズは、秘密鍵を管理することの重要性を強調しています。ただし、秘密鍵やシードフレーズを所有していても、悪意のあるマルチシグ設定によってウォレットが侵害された場合など、資産の管理が保証されない状況があります。

MistTrackの盗難資金レポートから収集したデータに基づくと、一部のユーザーはウォレットに資金が含まれていることを発見しますが、悪意のあるマルチサイン構成のためにそれらを転送することができません。このガイドでは、TRONウォレットを例に取り、マルチサインフィッシングの概念、マルチサインシステムの仕組み、ハッカーが使用する一般的な戦術、およびウォレットが悪意のあるマルチサイン設定で構成されるのを防ぐ戦略について説明します。

マルチシグネチャメカニズム

マルチシグネチャ（マルチシグ）メカニズムは、複数のユーザーがデジタル資産ウォレットへのアクセスを共同で管理および制御できるように設計されており、ウォレットのセキュリティを向上させるために使用されます。この設定により、一部の管理者がプライベートキー/シードフレーズを紛失または漏洩した場合でも、ウォレット内の資産は安全に保たれる可能性があります。

TRONのマルチサインシステムには、所有者、証人、アクティブの3つの異なる権限レベルが含まれており、それぞれ特定の機能と目的を果たしています。

所有者の権限：

• 最高レベルの権限を持ち、すべての契約と操作を実行できる能力を持っています。

• 所有者のみが、署名者の追加や削除を含む他の権限を変更できます。

• 新しいアカウントが作成されると、アカウント自体はデフォルトで所有者権限が割り当てられます。

証人権限：

• Super Representativesに主に関連付けられており、この権限によりアカウントはSuper Representativesの選挙や投票プロセスに参加し、それらに関連する操作を管理することができます。

アクティブな権限:

• 送金やスマートコントラクトの実行などの日常業務に使用されます。所有者はこれらの権限を設定および変更でき、通常、特定のタスクを実行する必要があるアカウントに割り当てます。アクティブな権限には、TRXの送金やアセットのステーキングなど、様々な認可されたアクションが含まれます。

前述のように、新しいアカウントのアドレスはデフォルトで所有者権限（最高レベル）を自動的に受け取ります。この所有者は、アカウントの権限構造を調整し、どのアドレスに権限を与えるか、これらの権限の重みを設定し、閾値を設定することができます。閾値は、特定の操作を実行するために必要な署名の重みを決定します。例えば、閾値が2に設定され、3つの承認済みアドレスのそれぞれの重みが1である場合、少なくとも2つの署名者の承認が必要です。

悪意のあるマルチシグのプロセス

ハッカーがユーザーの秘密鍵またはシードフレーズを入手し、ユーザーがマルチサインのメカニズムを実装していない場合（つまり、ウォレットがユーザーだけによって制御されている）、ハッカーは自分自身に所有者/アクティブ権限を付与するか、ユーザーの所有者/アクティブ権限を自分自身のアドレスに転送することができます。これらの行動は一般的に悪意のあるマルチサインと呼ばれますが、この用語は広く定義されることがあります。実際には、ユーザーがまだ所有者/アクティブ権限を保持しているかどうかに基づいて状況を分類することができます。

マルチサインの仕組みの悪用

以下に描かれているシナリオでは、ユーザーの所有者/アクティブ権限は削除されていません。代わりに、ハッカーが独自のアドレスを所有者/アクティブなパーティとして追加しました。アカウントは今やユーザーとハッカーの両方によって共同で制御され、しきい値は2に設定されています。ユーザーとハッカーの両方のアドレスのウェイトは1です。ユーザーは秘密鍵/シードフレーズを所有し、所有者/アクティブの権限を保持しているにもかかわらず、自分の資産を移動することができません。これは、資産を移動するためにはユーザーとハッカーの両方の承認が必要であり、両方の署名が操作を進めるために必要であるためです。

マルチシグウォレットから資産を移動するプロセスでは複数の署名が必要ですが、ウォレットへの資金の預け入れには必要ありません。ユーザーが定期的にアカウントの権限を確認しないか、最近の送金を行っていない場合、ウォレットの権限の変更に気付かない可能性があり、それが長期間の損失につながることがあります。ウォレットにはわずかな資産しか含まれていない場合、ハッカーは資産が蓄積されるまで待ち、一度にすべてを盗むことがあります。

TRONの許可管理システムの悪用

別のシナリオでは、ハッカーはユーザーのOwner/Active権限を直接ハッカーのアドレスに移行し、しきい値を1のままにすることで、TRONの権限管理システムを悪用しています。 この行動により、ユーザーはOwner/Active権限を失い、アカウントに対する制御権を事実上奪われます。 これは厳密には悪意のあるマルチサインとは言えませんが、一般的にそう呼ばれています。

どちらの場合も、ユーザーが所有者/アクティブ権限を保持しているかどうかに関係なく、彼らはアカウントの実際の管理権限を失います。ハッカーは今や最高の権限を持っており、アカウントの設定を変更したり、資産を移動したりすることができます。これにより正当な所有者はウォレットを管理できなくなります。

悪意のあるマルチサイン攻撃の方法

MistTrackの盗まれた資金レポートから収集されたデータに基づいて、悪意のあるマルチサイン攻撃の一般的な原因をいくつか特定しました。ユーザーは以下の状況に注意する必要があります:

1. 偽のウォレットのダウンロード：Telegram、Twitter、またはその他のソースから送信された詐欺Webサイトへのリンクをクリックすることで、ユーザーは偽のウォレットをダウンロードする可能性があります。これにより、秘密鍵やシードフレーズが漏洩し、悪意のあるマルチシグ攻撃が発生する可能性があります。

2. フィッシングサイトにプライベートキーを入力する: 燃料カード、ギフトカード、またはVPNなどのサービスを提供するフィッシングサイトにプライベートキーまたはシードフレーズを入力するユーザーは、ウォレットの制御を失う可能性があります。

3. OTC取引：OTC（オーバーザカウンター）取引中には、誰かがユーザーの秘密鍵や権限をキャプチャーまたは取得し、悪意のあるマルチシグネチャ攻撃を引き起こす可能性があります。

4. プライベートキーに関連する詐欺：詐欺師は、資産を引き出せないと主張し、支援の見返りとしてプライベートキーを提供する場合があります。関連するウォレットには資金があるように見えますが、引き出し権限は別のアドレスに設定されており、いかなる転送もできません。

1. TRON上のフィッシングリンク：ユーザーがTRON上のフィッシングリンクをクリックし、悪意のあるデータにサインすることで、悪意のあるマルチシグセットアップが発生する可能性があります。

結論

このガイドでは、マルチサインのメカニズム、ハッカーが悪意のあるマルチサイン攻撃を行う方法、および一般的なタクティクスについて説明するために、TRONウォレットを例に使用しました。この情報は、悪意のあるマルチサイン攻撃に対する理解と予防を向上させることを目的としています。また、一部のユーザー、特に初心者は、誤ってウォレットをマルチサインに設定してしまう場合があり、送金に複数の署名が必要となります。そのような場合、ユーザーはマルチサインの要件を満たすか、Owner/Activeの権限を1つのアドレスにのみ割り当てることで、単一の署名に戻す必要があります。

免責事項：

1. この記事は[から転載されました].すべての著作権は原著作者[**]に帰属します。この転載に異議がある場合は、Gate Learnチームはそれを迅速に処理します。
2. 免責事項：この記事に表明されている見解および意見は著者個人のものであり、投資アドバイスを意味するものではありません。
3. 他の言語への記事の翻訳は、Gate Learnチームによって行われます。特に記載されていない限り、翻訳された記事のコピー、配布、または盗用は禁止されています。