Squads 緊急警告：アドレスへの毒物注入による偽造マルチシグ口座、ホワイトリスト機構が公開予定

ソラナ 生態系 マルチシグ協定 Squads が 4 月 14 日に X プラットフォーム上で警告を発出し、攻撃者が Squads ユーザーに対してアドレス・ポイズニング攻撃を実施していることを発見したと伝えました。偽のアカウントを作成し、偽のマルチシグ・アドレスの先頭と末尾の文字が実際のマルチシグ・アドレスと一致するように偽装することで、ユーザーをだまして悪意のあるアドレスに送金したり、権限のない取引に署名させたりします。Squads は、ユーザーファンドに損害が出た証拠はまだないことを確認し、これはプロトコル層のセキュリティ脆弱性ではなく、インターフェース層におけるソーシャルエンジニアリング攻撃だと述べました。

攻撃メカニズム解析：二重の欺き構造が偽アカウントをどう作り出すか

攻撃者は、ブロックチェーン上で公開されている公開鍵データを利用して、二重の欺きの仕組みを設計しました。

第 1 層：偽造マルチシグ・アカウントに目標ユーザーを自動的に追加 攻撃者は、チェーン上から既存の Squads ユーザーの公開鍵を読み取り、目標ユーザーをメンバーとして含む新しいマルチシグ・アカウントをプログラム化して作成します。これにより、偽アカウントがインターフェース上で「ユーザーが合法的に参加している」組織のように見える状態を作り、目標ユーザーの警戒心を下げます。

第 2 層：先頭と末尾が一致する“見栄え”のアドレスを衝突生成 攻撃者はアドレスの衝突計算によって、ユーザーの実際のマルチシグ・アドレスの先頭・末尾の文字と完全に一致する公開鍵を生成します。さらに、多くのユーザーがアドレスの先頭と末尾のみを確認するという操作習慣に結び付けることで、偽アカウントは視覚的な欺きの成功率がかなり高くなります。

Squads は、上記の手法では攻撃者がユーザー資金に直接アクセスしたり、制御したりできないことを明確に示しています。すべての損失リスクは、ユーザーが騙された後に自ら行った操作に起因しており、技術的なプロトコル侵入によるものではありません。

Squads の段階別対応措置

即時警告バナー：攻撃を発見してから 2 時間以内に、インターフェース上で疑わしいアカウントに対する攻撃警告バナーを掲載

未交互アカウント警報：これまでユーザーと一度もやり取りしたことのないマルチシグ・アカウントに専用の注意喚起表示を追加し、誤操作のリスクを低減

ホワイトリスト機能の導入：今後数日以内にホワイトリスト機能を提供し、ユーザーが既知で信頼できるマルチシグ・アカウントを明確にマークできるようにします。システムは未知のアカウントを自動でフィルタリングします

即時のユーザー防護推奨：自分が作成していない、また信頼できるメンバーから明確に追加されていないマルチシグ・アカウントはすべて無視してください。アドレスを確認するときは、文字をすべて逐一照合し、先頭と末尾の文字による視覚的な一致に頼ることは決してしないでください。

より広い背景：Solana 生態系のソーシャルエンジニアリング脅威が継続的に加熱

今回の Squads アドレス・ポイズニング攻撃は、最近の Solana 生態系におけるソーシャルエンジニアリングの安全脅威が悪化している一部です。これまでに、Drift プロトコルで 2.85 億ドルが盗まれた事件が起きており、調査機関は主な原因がソーシャルエンジニアリングであって、スマートコントラクトのコード欠陥ではないと認定しました。攻撃者は合法的な取引会社を装って数か月をかけて信頼を段階的に獲得し、その後システムへのアクセス権限に接触しました。

Solana 基金会と Asymmetric Research は、これに対する STRIDE の安全計画を開始し、従来の一度きりの監査に代わる形で継続的な監視と形式検証を行います。また、Solana イベント・レスポンス・ネットワーク（SIRN）を構築し、全ネットワークでの即時の危機対応を調整します。Drift の事件の後、エコシステム内のマルチシグおよび高価値プロトコルは、より厳格な安全面での精査に直面しています。Squads の迅速な対応モデルは、生態系の他のプロトコルにとって危機対応の参照テンプレートを提供します。

よくある質問

アドレス・ポイズニング攻撃とは何ですか？Squads の事例にはどのような特別な点がありますか？

アドレス・ポイズニング攻撃は通常、攻撃者が目標アドレスと非常に似た偽のアドレスを作成し、ユーザーの誤操作を誘導することを指します。Squads の事例の特殊性は、攻撃者が先頭と末尾が一致する“見栄え”のアドレスを衝突させるだけでなく、目標ユーザーを自動的に偽のマルチシグ・アカウントへ追加している点にあります。これにより、偽アカウントがユーザーが「参加している」合法的な組織のように見え、欺きの階層がさらに複雑になります。

Squads のマルチシグ協定そのものにセキュリティ上の脆弱性はありますか？

Squads は協定上の脆弱性があることを明確に否定しています。攻撃者は、アドレス・ポイズニングの手法によって既存ユーザーのマルチシグ・アカウント資金にアクセスしたり、既存のマルチシグのメンバー設定を変更したりすることはできません。今回の攻撃はインターフェース層におけるソーシャルエンジニアリングであり、技術的な侵入ではなく、ユーザーの能動的な誤操作を利用しています。

ユーザーはこの種のアドレス・ポイズニング攻撃をどのように識別し、防ぐことができますか？

中核となる防護の原則は 3 つあります。1 つ目：本人が作成したもの、または信頼できるメンバーが明確に追加したものではないマルチシグ・アカウントはすべて無視すること。2 つ目：アドレスを照合するときは、完全な文字列を 1 文字ずつ照合し、先頭と末尾の文字による視覚的な一致だけに頼らないこと。3 つ目：Squads のホワイトリスト機能が導入されるまで待ち、その後ホワイトリストを通じて信頼できるアカウントを能動的にマークし、アカウント識別の信頼性を高めること。