脅威のランドスケープ
暗号資産ウォレットのセキュリティは、大量の暗号資産を保有している人にとって最も重要な実践的なスキルです。フィッシング攻撃は最も一般的な攻撃ベクトルで、毎月MetaMask、Ledger、取引所のログインページを模倣した偽のウェブサイトが数千件作成されます。
シードフレーズの盗難は、攻撃者が「ウォレット復旧」または「セキュリティ検証」を装った悪意のあるフォームにユーザーの12/24ワードのシードフレーズを入力させるときに発生します。承認エクスプロイトは、悪意のあるコントラクトがユーザーの追加アクションなしでウォレットを枯渇させることができます。
SIMスワップは、攻撃者が電話事業者を説得して被害者の電話番号を攻撃者が管理するSIMに転送するときに発生します。クリップボードハイジャックは、クリップボード監視するマルウェアで、貼り付けると暗号資産アドレスを攻撃者が管理するアドレスに置き換えます。
ハードウェアウォレット: 基礎
ハードウェアウォレットは、秘密鍵を専用のセキュアエレメントチップに保存し、インターネット接続されたコンピュータに秘密鍵を公開しません。トランザクションはデバイス上で署名され、秘密鍵はハードウェアを離れることはありません。
主なハードウェアウォレットにはLedger(最も人気で広範なDeFiサポート)、Trezor(オープンソースで堅牢なセキュリティ記録)、Coldcard(ビットコインのみで最大セキュリティ)、Foundation Passport(ビットコインのみでオープンソース)が含まれます。
マルチシグネチャウォレット: 大きな保有額向け
数千ドル以上の保有額の場合、マルチシグネチャウォレットは大幅に優れたセキュリティを提供します。Gnosis Safeは2-of-3または3-of-5などのM-of-N設定を許可します。1つのデバイスが危険にさらされても、必要な署名の閾値なしでは資金を動かすことができません。
実用的な2-of-3設定: 自宅のハードウェアウォレットに1つの鍵、別の場所に1つ、信頼できる弁護士に1つ。1つの鍵の損失は資金の損失を意味しません。1つの鍵の盗難は資金の損失を意味しません。
承認の管理
DeFiユーザーからの暗号資産盗難のほとんどは、以前に付与された無制限のトークン承認から発生します。Revoke.cashなどのツールはすべてのアクティブな承認を表示し、それらを取り消すことができます。積極的に使用していないプロトコルに無制限の承認を与えないでください。
フィッシング攻撃を認識する
公式ウェブサイトをブックマークします。フィッシングサイトはrnetamask.ioまたはmetamásk.ioのような同様のドメインを使用します。各文字を注意深く確認してください。承認する前に、公式ドキュメントに対してコントラクトアドレスを確認してください。Discord/TelegramのDMを通じたサポートリクエストはほぼすべて攻撃です。
長期保有のためのコールドストレージプロトコル
暗号資産を長期貯蓄として使用する場合: オフラインのハードウェアウォレットでシードフレーズを生成し、シードフレーズを金属に書き込み(Cryptosteel、Bilodeau)、地理的に離れた2つの場所に保存し、かなりの資金を転送する前に復旧をテストし、インターネット接続されたデバイスでシードフレーズを入力しないでください。これは深刻な暗号資産保管の標準的なプロフェッショナルプラクティスです。
