イーサリアム(ETH)ウォレットMetaMask、北朝鮮関連の開発者に約1カ月間侵入される

イーサリアム (ETH)向けの暗号資産ウォレットMetaMaskを開発するConsensysは、北朝鮮とのつながりが疑われる開発者が同社の社内システムに約1カ月間潜入し、特定・排除されるまでアクセスを保持していたと認めた。この人物は外部の人材派遣を通じて採用され、MetaMaskの社内ソースコードが保管されるコードベースへ一時的にアクセスしていた。同社は、制裁対象のサイバー活動との関連が判明した直後にこの人物を隔離したとしている。MetaMaskは数千万人規模の保有者が利用する標準的なインフラであるだけに、この公表は秘密鍵やオンチェーン残高が露出した兆候を警戒するWeb3の現場に即座に緊張を走らせた。

Consensysは被害拡大の封じ込めに素早く動き、フォレンジック調査の結果、ユーザー資金の盗難、個人情報の流出、製品への悪意あるコードの混入はいずれも確認されなかったとする公式声明を発表した。同社自身の開示によれば、この委託先が到達したのはコードベースの一部のみで、中核となるメインネットのセキュリティ層、秘密鍵インフラ、顧客情報を保持するサーバーには一切触れていない。解雇に先立ってアクセス権は剥奪され、監査の実施中は新機能のリリースが一時的に凍結された。同社は関係当局にも通報し、今後は外部委託エンジニアの審査・管理体制を全面的に見直すとしている。

今回の侵入は、米連邦捜査当局が繰り返し警告してきた手口に合致する。北朝鮮の工作員が正規のリモートエンジニアを装い、政権の資金調達やサイバー諜報を担うというものだ。こうしたいわゆる「偽のIT労働者」は、企業の人事審査を通過するために、シンガポールや欧米の国籍を主張するなど、綿密に偽造した経歴書や身分証明書を用いるのが通例とされる。ひとたび内部に入り込めば、通常のコードに紛れ込ませた不正なアクセス経路であるバックドアを密かに仕込み、数カ月後に大規模な窃取を発動させる恐れがある。厳格なセキュリティで知られるConsensysにまで到達した事実は、こうした侵入工作が最高水準の採用パイプラインに対してさえ、いかに高度化しているかを浮き彫りにする。

MetaMaskの中心的な立ち位置が、事態の重みを一段と大きくする。このブラウザ・モバイルウォレットは、多くのユーザーが分散型金融(DeFi)とやり取りする際の標準的な入り口であり、Aaveのような融資市場、0xプロトコルといった分散型取引の基盤、そしてイーサリアム (ETH)上のNFTプラットフォームに接続する。ウォレットコードの単一の層が侵害されれば、それは即座に数億ドル規模のエクスプロイトへ転化し得る。ソフトウェアがユーザーとオンチェーン資産のあいだに直接介在しているからだ。イーサリアムのツールを基盤とするあらゆるアルトコインのエコシステムがこの露出を引き継ぐため、今回の公表はMetaMaskの直接の利用者層をはるかに超えて反響し、DeFi参加者全体を動揺させた。

セキュリティ研究者は、この一件を「危うく難を逃れた事案」として軽く扱うべきではないと警告する。彼らが最も懸念するのは、潜伏したサボタージュだ。通常の開発過程で紛れ込んだ脆弱な一行が気づかれぬまま眠り続け、いざ武器化された時点で、多数のウォレットが同じ共有コードに依存しているだけに壊滅的な被害をもたらしかねない。専門家はまた、大手Web3企業に対し、問題の人物が自社のプロジェクトに関与したことがあるか否かを公に開示するよう促し、透明性はいまやセキュリティの最低限の義務だと主張した。委託先に紐づくオンライン上のアカウントは、各社が自社の採用記録と照合できるよう共有された。

この確認を受け、暗号資産コミュニティ全体に防御的な問いが広がった。ユーザーのあいだでは、残高をコールドストレージのハードウェアウォレットへ移すべきか、あるいは念のため新しいシードフレーズを生成すべきか、といった議論が交わされた。個人投資家に助言するアナリストは、取引の承認をめぐる慎重さを強調した。悪意あるコードを抱えたウォレットは偽の確認画面を表示しかねないため、詳細が判明するまでは、ステーキングの誘導やエアドロップのキャンペーンに紐づく承認を急いで進めないよう呼びかけた。主流の指針は、ウォレット衛生そのものを捉え直すものとなった。すなわち、単一のメインウォレットを常在的なリスクとみなし、一つの長寿命アドレスを無期限に信頼するのではなく、定期的に資金をローテーションするという考え方だ。

これらを束ねて読むと、一本の筋が浮かび上がる。暗号資産リスクの最前線は、スマートコントラクトのバグから、コードを書く人間のサプライチェーンへと移った。COINOTAG独自の総合市場データを読み解くと、この神経質さがよく見て取れる。恐怖・強欲指数は100点満点中29と明確に「恐怖」の領域にあり、ビットコインドミナンスは69.8%を維持、暗号資産の時価総額全体は約1兆8,600億ドル近辺にある。これはインフラへのショックに対する許容度をほとんど残さない防御的な地合いだ。Consensys自身の開示は資金が動いていないことを確認したが、国家に紐づく侵入が中核的なウォレットベンダーに到達したという確定した事実は、本人確認プロトコルとウォレットセキュリティを最大限の監視下に置き続けるだろう。