ペーパーウォレットの安全神話を白紙に戻す話

暗号資産を本当に安全に保管したいのなら断然“ペーパーウォレット！”

人に言われるがまま素直にそう信じていた時代がKatakotoさんにもありました。

しかしクリプト界隈の技術進化と共にもはや必ずしもそうとは言えないのです。

そしてこの話題。

老舗のペーパー・ウォレット生成サイトで、秘密鍵を不正に入手していた疑惑が持ち上がっています。

徹底した調査の結果、我々は2018年8月17日以降、WalletGenerator.netを利用して作ったウォレットを利用している人は資産を失う危険性がある十分な理由を確信した。

ペーパーウォレット自体、日本ではあまり使用している人も多くなさそうなので影響はあまりないかと思いますが、何が起こったのかを見てみましょう。

今から2年前、WalletGenerator.netのサイト・オーナーが代わります。その頃から、当初オープンソースとしてgithubで公開されていたコードと、サイトで実際の秘密鍵・公開鍵の生成に使われるコードの整合性が取れなくなった事に気づいたMyCryptoセキュリティ・ディレクターのHarry氏。

詳しくコードを解析すると

オンラインサービス上のコードでは、秘密鍵の生成を完全なランダム性ではなくWebサイト上のイメージファイルを元に行うコードに改変されていた事が判明。

どういうことだってばよ！

つまり、秘密鍵が完全にランダムなものではなく、後から推測可能な状態で生成されユーザーに配布されていたのです！

この事実を指摘すると、この部分のコードはすぐに取り払われたそうです。

Harryさんはこれがサイトオーナーによるものなのか、それともサーバーがハッキングされ他のバッドアクターによる犯行なのかの断定をさけていますが、いずれにしろこのサービス利用者へは、他アドレスへの迅速な資金の移動を推奨しています。

このサイトの月間利用者数は推定14万人。githubからダウンロードしたコードで完全オフラインのPCを使ってウォレットを作成したユーザーはまだ安心なのかもしれませんが、ネットに繋がっている以上、オンラインで作成されるウォレットにもはや絶対安全はないのです。

いいからみんな早いとこハードウェア・ウォレット買っとけってばよ！そしてKatakotoさんはそのうちこれを買う！たったヒトリ行くとこまでイク！うぉっーーー！