BCCCがCertiKを招き、セキュリティ勉強会を開催
暗号資産を購入した後、その資産をどう守るか。ステーブルコインを送金するとき、ウォレットでDeFiを利用するとき、私たちは何を確認すればよいのだろうか。
ブロックチェーン推進協会（BCCC）は11月5日、DeFi部会とステーブルコイン普及推進部会の合同で、オンライン勉強会「CertiKに学ぶ Web3セキュリティ最新動向」を開催した。70名近い方々にお申し込みを頂き、関心の深さがわかる。
CertiKからJoseph H.氏とYuannan Yang氏を迎え、JPYC代表でBCCC副代表理事の岡部典孝氏、エックスウィンCTOのDaina Tsuru氏が登壇。筆者はDeFi部会長としてファシリテーターを務めた。
講演では、最近の攻撃事例、新たな脅威、事業者が取り組むべき多層防御を取り上げた。本稿では、その論点を整理し、JPYCやエックスウィンキャピタルの利用場面にも当てはめながら、参加していない方にも伝わる形で解説したい。
秘密鍵の管理に加えて、「何を承認するか」が重要
セキュリティを考える出発点は、「誰が、何を根拠に資産を動かせるのか」という問いだ。秘密鍵は、ブロックチェーン上で資産を動かすための重要な情報である。しかし、鍵を厳重に保管することに加え、その鍵で何を承認するかにも注意が必要になる。誤った送金先や悪意のある操作を自分で承認してしまえば、鍵が漏れていなくても資産を失う可能性がある。
講演資料でも、プログラムの欠陥だけでなく、承認手順、外部サービス、製品の流通経路など、複数の場所にリスクが存在することが示された。
事業者には、コードの点検から担当者の教育、監視、緊急時の対応までをつなげて考える姿勢が求められる。
JPYCの例で考える、本人確認と送金時の確認
この問題を、まず日本円ステーブルコインのJPYCで考えてみよう。JPYCの発行・償還を行う公式サービス「JPYC EX」では、登録時に本人確認を行う。利用者は日本円を振り込んで登録済みウォレットでJPYCを受け取り、償還時には所定の手続きを経て銀行口座で日本円を受け取る仕組みだ。
ここでは、本人確認を通じて利用者を確かめることと、送付先や操作内容を確認することの両方が必要になる。
例えば、JPYCを送付する際には、受取先のアドレス、対応するネットワーク、金額を確認する。仮に公式サービスを装った偽サイトへ誘導されれば、正規の発行手続きとは別の場所で、不正な操作を求められる可能性もある。
これは一般的なリスクを説明するための例であり、JPYCで被害が発生したという意味ではない。
本人確認はサービスの適正な利用を支える仕組みであり、ウォレットの秘密鍵の管理や、送金操作の確認には、それぞれ別の対策が必要になる。
エックスウィンキャピタルの例で考える、自己管理のポイント
次に、エックスウィンキャピタルのようなDeFiサービスを考えたい。エックスウィンキャピタルは、事業者が利用者の資産を直接預かる形ではなく、利用者自身のウォレットから利用する非カストディ型のサービスだ。積立や資産配分の調整などを、ブロックチェーン上の仕組みを通じて行う。
こうしたサービスでは、自分のウォレットを管理することに加えて、接続するサイトや、資産を扱うプログラムであるスマートコントラクトを理解する必要がある。
自分で資産を管理できるからこそ、どの仕組みに、どのような権限を与えるのかを確認することが大切になる。
「使用承認」は、資産を動かす権限を与える操作
特に知っておきたいのが、トークンの「使用承認」だ。これは、指定したコントラクトに対し、一定の範囲でトークンを動かす権限を与える操作である。例えば、100 USDCを使うつもりでも、承認画面ではそれより大きな上限が設定されている場合がある。誰に、どのトークンを、いくらまで扱わせるのか。承認する前に確認したい。
また、サイトからウォレットを切断しても、すでに与えた使用承認が残る場合がある。不要になった承認の確認・取り消しも、資産管理の一部になる。
監査の対象と、その後の対応にも目を向ける
第三者監査も、確認材料の一つだ。CertiKの公開ページには、XWIN Capitalの監査履歴が掲載されている。監査を受けた事実に加えて、対象となったコードや範囲、指摘への対応を確認することが重要だ。監査後の変更や日々の運用も含め、安全対策は継続していく必要がある。利用者も、「どの部分を確認した監査なのか」「その後、どのような変更があったのか」という視点を持ちたい。
事業者には、複数の層で守る仕組みが必要
講演では、事業者向けの対策として8層の防御が紹介された。AIの活用、人と組織文化、セキュリティ監視、アプリケーション、端末、インフラ、事故対応、攻撃者の情報収集である。
例えば、プログラムを監査していても、担当者の端末が侵害されたり、外部サービスのアクセス権が悪用されたりすれば、別の場所から攻撃を受ける可能性がある。そのため、複数の対策を組み合わせることが必要になる。
一般の利用者が、これらをすべて自分で実施する必要はない。一方、サービスを選ぶ際には、監査の有無に加え、運営主体や問い合わせ先が明確か、リスクや障害時の対応方針が説明されているか、といった点にも目を向けたい。
利用者の確認習慣と、事業者の説明責任
利用者が日常的にできることもある。公式サイトのURLを確認する。ウォレットの復元に使うリカバリーフレーズを他人へ渡さない。送金先や承認内容を読み、意味が分からない操作はいったん止める。こうした習慣が、被害に遭う機会を減らす。
筆者自身、エックスウィンキャピタルを提供する立場として、利用者に注意を呼びかけるだけでは十分ではないと考えている。
事業者が仕組みを分かりやすく説明し、確認しやすい画面を用意し、問題を早く発見して対応する。その責任を果たしていくことが必要だ。
JPYCによる決済や送金、DeFiによる資産運用が身近になるほど、安全な使い方を学べる機会の価値も高まる。今回のBCCCの勉強会を、利用者と事業者がそれぞれの管理方法を見直すきっかけにしていきたい。
ショート動画
その「承認」で資産が動く！CertiKに学ぶ暗号資産の守り方
【次に読む】
» 米SECの免除措置下で初のトークン化株式取引が成立
» 米下院民主党、「新クラリティ法案」を協議──SECの監督権限拡大も
» 株式トークンにMicrosoftとGoogleが異議
