ブロックチェーンのセキュリティに関して、多くの人が最初に思うのは、契約監査や秘密鍵の保管というありきたりな話題です。 しかし実際には、一晩で財布を空にする本当の脅威は、暗号学の隅々に隠されていることが多いのです。

SlowMistチームは最近、Web3アプリケーションにおける一般的な暗号リスクについて詳細な分析を行い、この問題が思っていたよりも一般的であることを発見しました。 例えば、一部のプロジェクトでは、弱められた暗号化アルゴリズムや鍵生成・管理の省略を恣意的に使用し、強固なセキュリティ防御を突破するのに十分です。

最も胸が痛むのは、多くのアプリケーションが署名検証やメッセージ認証の基本的なリンクに設定の欠陥があることです。 古いハッシュ関数を使うものもあれば、任意に設計されているもの、エントロピーの理解が全くないプロジェクトもあります。 つまり、攻撃者は取引を偽造したりユーザーになりすましたりするのに高度な技術を持つ必要はないということです。

オンチェーンの相互作用のあらゆる段階は、ウォレットアドレス生成やトランザクション署名からスマートコントラクト認証ロジックに至るまで、暗号学的なプリミティブを呼び起こします。 リンクの一つが間違ったアルゴリズムやパラメータを選択すると、リンク全体が切断されるリスクがあります。 DeFiプロトコル、NFTプラットフォーム、クロスチェーンブリッジ、暗号技術に依存するあらゆるシナリオが落とし穴に踏み込む可能性があります。

資産を真に守るためには、これらのリスクを理解する必要があります。 監査コードは論理的な脆弱性を調査するだけでなく、暗号インフラの詳細な評価も必要です。 実績のあるアルゴリズムのライブラリを使い、依存関係を定期的に更新し、鍵を生成する前に乱数生成器の信頼性を確保することなど、これらの詳細がプロジェクトが堅実なのか崩壊しているのかを決定づけます。