暗号資産ポートフォリオ管理アプリCoinStatsがセキュリティの脆弱性に遭遇し、1590個のウォレットが影響を受けました。対応策として、CoinStatsは一時的にアプリを閉鎖し、このセキュリティイベントを解決するための対応を行っています。

CoinStatsによると、影響を受けたウォレットの数は総ウォレット数の1.3%に過ぎず、これらのウォレットに接続されている中央集権型取引所（CEX）も影響を受けていません。

セキュリティの脆弱性に対応するため、緊急のセキュリティ対策を開始します

暗号資産ポートフォリオ管理アプリCoinStatsはセキュリティの問題が発生し、サービスを緊急停止しました。この問題は1590人のユーザーウォレットに影響を与え、CoinStatsの総ウォレット数の1.3％を占めています。幸運なことに、これらのウォレットに関連する中央集権型取引所はこのセキュリティの脆弱性の影響を受けていません。同時に、CoinStatsは現在、一部のiOSおよびAndroidユーザーが詐欺通知を受け取った件について調査中です。

CoinStatsの長期ユーザーとして、2022年に作成されたCoinStatsウォレットにはまだ少額の資金があるというユーザーの報告があります。残念ながら、詐欺通知がユーザーに送信されてから約1.5時間前に、これらの資金はすでに引き出されており、そしてこのウォレットは外部アプリに接続されていませんでした。現時点では、このユーザーのイーサリアムとポリゴンウォレットからの資産が攻撃者に盗まれています。

その一方、CoinStatsは、調査が進むにつれて、影響を受けるウォレットのリストが更新される可能性があると述べていますが、変更は大きくはないと予想されています。CoinStatsは、今回のセキュリティイベントに影響を受けたウォレットのユーザーに、事前にエクスポートした秘密鍵を使用して資金を安全な場所に移動することを提案し、影響を受けるウォレットのリストを含むリンク一覧を提供しています。

CoinStats詐欺通知インシデント調査

CoinStatsは最近の詐欺調査の結果を公表しました。最初にユーザーが詐欺通知のメールを受け取り、その通知はユーザーに14.2 ETHの賞金を獲得したと宣伝し、CoinStats AirScoutウォレットにログインするよう誘導しました。

実際には、このリンクはユーザーをDrainerというサイトに誘導し、CoinStatsのプッシュ通知やアプリ内の公式メッセージを利用して宣伝しています。そのため、ユーザーはこれがCoinStatsの公式イベントであると誤解しています。

この詐欺通知はCoinStatsからの祝福を偽造し、ユーザーが200 ETHの総賞金プールで14.2 ETHの大当たりを獲得したと主張しています。通知には、この偽のイベントがCoinStatsユーザー数が200万を超え、CoinStats AirScoutの立ち上げを祝うために行われたとも記載されており、さらにユーザーの暗号資産が誤ってCoinStats AirScoutウォレットに移されたと誤って主張しています。

一方で、CoinStats社は、この事件で盗まれた資金の規模を積極的に調査しており、より詳しい情報を得た後、最新情報を迅速に公開することを約束しています。会社はアプリの正常な機能を回復するために努力しており、この期間中にユーザーが示した忍耐に感謝しています。

詐欺通知が送信された後、すぐにメディアがCoinStatsに連絡を試みましたが、現時点ではまだ何の返答も受け取っていません。一方、CoinStatsはこの詐欺事件の経緯を調査しており、ユーザーに対する不便をお詫びし、できるだけ早くさらなる情報を提供することを保証しています。

秘密鍵の侵害の考えられる原因を調べる

CoinStatsはまだこの攻撃の具体的な原因を公表していませんが、この事件は秘密鍵の保存の安全性やアプリ内ウォレットの生成のランダム性に対する懸念を引き起こしました。特に、CoinStatsで生成されたウォレットだけがこの攻撃の標的になったようです。これがさらにこれらの懸念を深めました。

攻撃者はサーバーに侵入し、悪意のあるプッシュ通知を送信することができ、これは彼らがウォレットの生成メカニズムをすでに把握している可能性を示しています。ウォレットの生成プロセスで使用される乱数生成に潜在的な欠陥がある場合、攻撃者はこれらの弱点を利用してユーザーの秘密鍵を予測し、それによって資金を盗む可能性があります。

現時点では、CoinStatsのポートフォリオアプリと共有されているウォレットやAPI接続は、このイベントの影響を受けていないようです。ただし、一部のユーザーが報告しているところによると、DeFi（分散型金融）機能を使用している他のウォレットに接続されている資金が引き出されたとのことです。これらの状況はまだCoinStatsの公式な確認を得ていないようです。

CoinStatsは事件が発生した後に迅速に反応し、短期間でアプリのアクセス権限を一時停止しました。記事の執筆時点では、このアプリはまだ使用できず、関連する調査作業が続いています。

通常、暗号資産の領域での突然の競争や報奨に対しては、投資家は高度に警戒する必要があります。重要な資金を保護するために、ハードウェアウォレットを安全な保存ソリューションとして使用することをお勧めします。

エピローグ

CoinStatsのセキュリティの脆弱性の問題は、暗号資産のユーザーや業界関係者に注意を喚起し、セキュリティは常にダモクレスの剣であることを示しています。CoinStatsは迅速に対策を講じましたが、イベントの発生は、暗号資産のエコシステムの脆弱性を露呈しました。調査が進むにつれ、CoinStatsはイベントの詳細を透明に公表し、ユーザーに明確な説明と対策を提供することを期待しています。

同時、この事件は個人が暗号資産を管理する際に追加のセキュリティ対策を取る必要があることを強調しました。ハードウェアウォレットなど、より安全なストレージソリューションを使用するなどです。CoinStatsとそのユーザーにとって、これは困難な時ですが、セキュリティ意識を高め、システムの防御能力を向上させる機会でもあります。CoinStatsがこの経験から回復し、ユーザーの信頼を取り戻し、業界全体に貴重なセキュリティの経験と教訓を提供することを期待しています。