意見提供者：Vikash Singh氏、Stillmarkのプリンシパルインベスター Bybitのハッキングは、暗号通貨取引所におけるサイバー攻撃による過去最大の資金損失をもたらしました。この事件は、デジタル資産分野におけるセキュリティ脅威の現状に甘んじている者たちへの警鐘となりました。誰もがこの強奪事件から学ぶべき教訓は、エンタープライズグレードのカストディソリューションには、技術だけでなく透明性も伴う必要があるということです。 これまでの多くの事件とは異なり、この資金損失は不具合のあるスマートコントラクトや鍵の紛失・誤管理、意図的な資金の不正管理やレポジトリ操作によるものではなく、運用上のセキュリティの脆弱性を突いた高度なソーシャルエンジニアリング攻撃によるものでした。このハッキングは、セキュリティとコンプライアンスを真剣に考慮する主要なグローバル取引所で発生したため、以前の時代の事件とは異なります。暗号資産において「十分な」セキュリティというものは存在しないことを思い起こさせます。 Bybit攻撃の技術的概要は、企業がこうした攻撃に対して如何に積極的にセキュリティを強化できるかを理解する上で重要です。最初に、Bybitが利用するマルチシグEthereumウォレットを提供する資産管理プラットフォームSafeの開発者用マシンが侵害されました。この初期侵害により、攻撃者はSafeのAmazon Web Services（AWS）環境、特にS3ストレージバケットへの不正アクセスを獲得しました。攻撃者は悪意のあるJavaScriptファイルをこのバケットに投入し、その後SafeのUIを通じてユーザーに配布されました。このJavaScriptコードは、署名プロセス中にユーザーに表示されるトランザクション内容を操作し、ユーザーが正当な取引を確認していると信じ込ませながら、攻撃者のウォレットへの送金を承認させるものでした。 このことは、マルチシグのような高度な技術レベルのセキュリティであっても、正しく実装されていなければ脆弱になり得ることを浮き彫りにしています。ユーザーに致命的な誤った安心感を与える可能性があります。マルチシグセキュリティ設定は長らくデジタル資産セキュリティのゴールドスタンダードと考えられてきましたが、Bybitのハッキングは、これらのシステムの実装に関してさらに詳細な分析と透明性が必要であることを示しています。これには、スマートコントラクト自体の検証に加え、運用上のセキュリティや人的要素を突く攻撃を緩和するためのセキュリティ層も含まれます。 デジタル資産を保護するための堅牢なセキュリティフレームワークは、多層の検証を優先し、潜在的なインタラクションの範囲を制限するべきです。このようなフレームワークは、攻撃に対する保護を明確に強化します。例えば、三重チェック検証システムでは、モバイルアプリケーションがサーバーのデータを検証し、サーバーがモバイルアプリのデータをチェックし、ハードウェアウォレットがサーバーのデータを検証します。これらのいずれかの検証に失敗すれば、トランザクションは署名されません。この多層アプローチは、オンチェーン契約と直接やり取りするシステムと対照的であり、重要なサーバー側のチェックが欠如している可能性があります。これらのチェックは、ユーザーのインターフェースが侵害された場合のフォールトトレランスに不可欠です。 安全なフレームワークは、デジタル資産のボールトとの可能なインタラクションの範囲を制限すべきです。送金、受金、署名者管理のような最小限のアクションに限定することで、複雑なスマートコントラクトの改変に伴う潜在的攻撃ベクトルを減少させます。トランザクションの作成や表示のような敏感な操作には専用のモバイルアプリケーションを使うことが、さらにセキュリティレイヤーを追加します。モバイルプラットフォームは、ブラウザベースのウォレットやマルチシグインターフェースよりも妥協やなりすましに対する耐性が高いことが多いです。この専用アプリケーションへの依存は、全体のセキュリティ姿勢を向上させます。 透明性を強化するために、企業はプローフ・オブ・リザーブソフトウェアの機能を活用できます。これにより、マルチシグカストディ設定をUIを標的とした攻撃から守ることができ、チェーン状態や所有権の独立した自己監査可能なビューを提供し、特定のアドレスやコントラクトで資金を費消するために正しい鍵のセットが利用可能であることを検証します（これはheaに類似）。lth check)。Bitcoin（BTC）およびデジタル資産の機関投資家による採用が進む中、カストディプロバイダーはシステムのセキュリティモデルに関する詳細とその設計上の決定を透明に伝える必要があります。これこそが暗号セキュリティの真の「ゴールドスタンダード」です。透明性は、基盤となるプロトコルの性質がカストディ設定の攻撃対象領域にどのように影響するか、マルチシグネチャウォレットを含めて拡大すべきです。Bitcoinは、署名者が複雑なスマートコントラクトの操作ではなく、直接送信先アドレスを人間が検証する転送を優先しており、資金の流れを明らかにするために追加の手順や依存関係を必要としません。Bybitのハックの場合、これによりハードウェアウォレットが表示したアドレスが偽装されたUIと一致しないことを人間の署名者がより容易に検出できます。表現力豊かなスマートコントラクトはアプリケーション設計の幅を広げますが、攻撃対象領域を増やし、正式なセキュリティ監査をより困難にします。Bitcoinのネイティブなマルチシグオペコードを含む確立されたマルチシグ標準は、そのような攻撃に対する追加のセキュリティ障壁を作り出します。Bitcoinプロトコルは歴史的に設計のシンプルさを重視しており、これはスマートコントラクト層だけでなくUXや人間の操作層（ハードウェアウォレットユーザーを含む）でも攻撃対象領域を減らしています。規制の受容が進んでいることは、Bitcoinが初期の広範なハックや詐欺の時代からどれだけ進歩したかを示していますが、Bybitの事例は決して油断してはならないことを示しています。Bitcoinは金融の自由を象徴しており、自由の代償は永遠の警戒です。意見提供者：Stillmarkのプリンシパルインベスター、Vikash Singh。本記事は一般的な情報提供を目的としており、法的または投資アドバイスを意図したものではなく、そのように解釈されるべきではありません。ここで表明された見解、考え、意見は著者個人のものであり、必ずしもCointelegraphの見解や意見を反映または代表するものではありません。