Dogecoin (DOGE)、Mishaboarがソーシャルサインインのウォレットリスクを警告

Mishaboarがソーシャルサインインの危険性を指摘

Dogecoin (DOGE)コミュニティの古参発信者Mishaboarが、ソーシャルサインインをセキュリティ上の重大な欠陥として批判した。警告が出された時点で、こうしたログインを支える主要インフラ事業者はすでにサービスを停止していた。Dogecoin生態系で長く発信を続けるMishaboarは土曜日、X上で投稿を行い、シードフレーズの管理を不要にし、Googleアカウント、Apple ID、Telegramアカウント、メールアドレスだけで暗号資産ウォレットの作成とアクセスを可能にする機能を名指しで批判した。同氏のX投稿には「ソーシャルサインインとは、ユーザーを憎む開発者だけがウォレットに実装すべき機能だ」との文言がある。ワンクリックでのログインを選びがちなのは、初めて仮想通貨に触れる初心者層であり、個人のアカウントをウォレットサービスに接続することで何を手渡すのかを理解していない可能性が高い、と同氏は指摘する。リスクはウォレット内の資産にとどまらない。同じ経路でデータが流出すれば、実社会の身元とオンチェーンの保有資産が紐付けられ、深刻な結果を招きかねないという。さらに警告は、鍵を「クラウド」にバックアップするウォレットにも及んだ。同氏いわく、クラウドとは「他人のサーバー」にすぎない。シードフレーズを設定する工程は、鍵を自分だけが保有しているという自覚を利用者に持たせる重要な関門であり、利便性の高い機能はまさにその関門を取り除く。だからこそ危険なのだ、というのが同氏の論理だ。この警告は、すでに重圧を受ける市場に届いた。Dogecoinの価格は10月に20.1%下落して引け、2年連続のUptober下落となった。ミームコインが依存する小口の新規参加者を遠ざけかねない出来事に対し、コミュニティの感度が異常に高まっている。

KeplrがWeb3Authに事案を報告

Cosmos、ビットコイン、Ethereum、Starknetに対応するマルチチェーンウォレットKeplrが、警告の背景にある現実の事故を公式に認めた。同社の声明によると、GoogleまたはAppleのログインで作成された一部のKeplrアカウントで不正な取引が報告されており、Web3Authチームへ事案を引き継ぎ、両社で共同調査を進めているという。当該ログインが依存する組み込みウォレットインフラを提供するWeb3Authは、公表前から対応を進めていた。一部の第三者による利用に影響するセキュリティ問題を把握したとして、組み込みウォレットサービスを一時停止したと発表している。初期調査の結果、MetaMaskユーザーへの影響を裏付ける証拠は見つからなかったと同社は明言した。設計が批判を浴びる理由は仕組みそのものにある。ソーシャルサインインでは、本来ユーザー側だけに存在するはずの鍵が、事業者の管理するインフラ内で生成・保管され、アクセスは日常用アカウントのセキュリティ水準に委ねられる。この構造は、ほとんどの購入者が選んでいると思い込んでいる自己管理モデルではなく、第三者が運用するホットウォレットに近い。リスクは、侵入された一つのサービスに集中する。セキュリティ関係者が長年推奨してきた代替策は、シードフレーズが決して手元を離れないハードウェアウォレットだ。管理の連鎖から事業者を排除できる点が理由である。公表されている情報は依然として乏しい。事後のブロックチェーンセキュリティ監査は発表されておらず、Keplrは影響を受けたアカウント数や流出額を明示しておらず、Web3Authも停止中のサービスの再開時期を示していない。

両事業者とも公表していない数字

Dogecoin (DOGE)保有者にとって実務的な教訓は狭いが明確だ。ソーシャルサインインは鍵の管理権限と引き換えに迅速なオンボーディングを得る仕組みであり、その取引を提供した事業者は事故が起きても損失を負わない。Mishaboarが指摘する身元の紐付けの問題は、侵入されても資金が無事だった場合でも成り立つ。警告をFUDとして軽視できないのは実績があるからだ。同氏は過去に、Trezorの不審な植入の疑いを根拠に、Dogecoin保有者へ資金移動を助言したことがある。FUDとの差は明確だ。依然として不明なのは、誰も公表していない部分である。影響を受けたアカウントの数、停止中のサービスに依存するウォレットの全リスト、そしてサービス再開の日付。事業者のいずれかがこれらを明らかにするまで、ログイン用アカウントそのものを鍵として扱うべきだ。