#EthereumWarnsonAddressPoisoning

The $50M USDTフィッシング事件は、見た目が似ているEthereumアドレスによるものであり、暗号セキュリティの体系的な問題を露呈しました。これは単なるユーザーの誤操作を超えたものであり、切り詰められたウォレットアドレスは敵対的な環境では本質的に安全ではありません。エコシステムはこの危険な慣行に長い間依存してきました。ほとんどのウォレットはアドレスの最初の数文字と最後の数文字だけを表示し、暗黙のうちにユーザーに対して、表示されている部分だけを検証すれば十分だと訓練しています。攻撃者はこの予測可能性を利用し、同じプレフィックスとサフィックスを持ち、中央部分だけが異なるアドレスを生成します。これは計算コストが低く、大規模に実行可能なタスクです。このような見た目が似ているアドレスがワークフローに導入されると—それが侵害されたメッセージ、フィッシングリンク、コピーされた取引履歴、または悪意のある変更された連絡先リストを通じてであっても—ウォレットのUIは通常、宛先が間違っていることを示す有意義なシグナルを提供しません。一度クリックするだけで、何百万ドルも取り返しのつかない移動が行われてしまいます。これは危険な認知の罠を生み出します。ユーザーは合理的に検査できない長い16進数文字列を検証することを期待されており、インターフェースは便利さやミニマリズム、可読性を優先し、セキュリティを犠牲にしたショートカットを積極的に奨励しています。ほとんどの人はアドレス全体を検証しないのは怠慢ではなく、ツール自体が部分的な検証を標準化し、ホスト環境での安全性よりも利便性を最適化しているからです。これらの事件を防ぐには、ウォレットのUXとセキュリティの根本的な見直しが必要です。全アドレスはデフォルトで完全に表示されるべきであり、貼り付けや選択されたアドレスは差分を明確にハイライトして視覚的に比較されるべきです。ウォレットは、新しい宛先や以前に使用したアドレスに非常に似ている場合に警告を出す必要があります。また、保存された連絡先は静かに変更または置換されることから保護されるべきです。ENSのような人間可読の命名システムは役立ちますが、それは名前が信頼できるチャネルを通じて検証され、解決されたアドレスが名前とともに明示的に表示される場合に限ります。これらの安全策が広く実施されるまでは、ユーザー、DAO、財務管理者は厳格な運用規律を採用しなければなりません。具体的には、新しい受取人ごとに少なくとも一度はアドレス全体を手動で検証し、安全なアウトオブバンド通信チャネルを通じて送金を確認し、高額な送金にはテスト取引を行い、財務や組織のウォレットには複数人の承認ポリシーを徹底することです。これらの即時の対策を超えて、この事件はEthereumエコシステムと暗号全体にとってより広範な教訓を示しています。利便性を優先しセキュリティを犠牲にしたUXの決定は、予測可能な攻撃ベクトルを生み出し、今や設計上の選択がかつては許容されていたものでも、実際には危険なものとなっています。これは例外的なケースではなく、「ユーザーの誤操作」の問題だけでもありません。これは、知的で動機付けられた攻撃者を考慮しない設計パターンの予測可能な結果です。教訓は明確であり、全アドレスが検証されていなければ、その取引は本当に検証されたとは言えず、エコシステムはアドレスの表示と検証を重要なセキュリティの要素として扱う必要があります。ウォレット、命名システム、運用慣行がこの現実と一致するまで、見た目が似ているアドレスを悪用したフィッシング攻撃は、暗号の中で最も効率的かつ壊滅的な窃盗手段の一つであり、高額ユーザーや組織は、ウォレットが現在強制できていない慣行に責任を持つ必要があります。