ブロックチェーン診断
ブロックチェーン技術に関連するWebアプリケーション、もしくはブロックチェーンやスマートコントラクトを直接使用するWebアプリケーションに脆弱性がないか、経験豊富な診断員が検証します。Webアプリケーション側だけでなく、より踏み込んでSolidity等で実装されたスマートコントラクトやその他のブロックチェーン実装の脆弱性を調査することも可能です。
ブロックチェーン技術に関連するサービスの脅威
ブロックチェーン技術を活用したサービスの市場は急速な拡大を見せていますが、その開発に携わるエンジニアの全てがセキュリティに精通しているわけではなく、脆弱性が生まれてしまうのは珍しいことではありません。
しかも、その脆弱性はブロックチェーンやスマートコントラクト側だけでなく、ブロックチェーンを利用するためのWebサービス側にも発生し得ます。
どちら側に存在する脆弱性であれ、悪用されて生まれた不正なデータ・取引履歴は「高い改ざん耐性」というブロックチェーンの特徴により、しばしば後から修正できない被害へとつながります。データベースの修正が容易な通常のWebサービスとは比較にならない大きなリスクを孕むブロックチェーン関連サービスのセキュリティ対策は必須となっています。
インシデント事例
-
The DAO への攻撃
リエントラントを悪用した攻撃により、The DAOと呼ばれるプロジェクトから約360万ETHが盗まれました。
-
Beanstalk への攻撃
フラッシュローンを使用して投票権限を確保し、自身とウクライナの寄付アドレスに対する送金案を承認させ、Beanstalkと呼ばれるプロジェクトから7700万ドルほどが盗まれました。
Chainopticのブロックチェーン診断
ブロックチェーン技術を使用するWebサービスは、ブロックチェーンやスマートコントラクトがバックエンドとして、Webアプリケーションがユーザーとのインターフェイスであるフロントエンドとして機能します。
どちら側もブロックチェーン上に記録される修正不可能な被害を生む原因になり得るので、予算やサービスの仕様に応じてどちらを診断するかもしくは両方を診断するか選択する必要があります。
また、ブロックチェーンを直接使用はしないWebアプリケーションであっても、この分野に精通したセキュリティエンジニアがサービスの仕様を十分に理解してWebアプリケーション診断を行うことが可能です。
是非お気軽にChainopticにご相談ください。
サンプル報告書のダウンロード
診断観点
| リエントラント |
攻撃対象のコントラクトが攻撃者によって制御可能なコントラクトを呼び出す際に、攻撃者のコントラクトから攻撃対象のコントラクトを再度呼び出します。すると、その時点で実行されている攻撃対象のコントラクト内の処理が完全に完了する前に同一コントラクト内の処理を実行し、意図しない挙動を引き起こすことが可能な場合があります。 |
|---|---|
| フロントランニング |
いくつかのブロックチェーンにおいて、実行前のトランザクションがmempoolと呼ばれる場所で公開されることを利用し、攻撃者にとって有利な取引を行うことが可能な場合があります。 |
| その他のロジックの不備 |
上記以外に関してもリスクにつながるロジックの不備がないか、サービスの仕様やユースケースと照らし合わせながら実際にデプロイされた/される予定のコードを読み検証します。 |
料金・プラン
脆弱性診断
100万円〜
グレーボックスまたはブラックボックス形式で脆弱性診断を実施します。ご予算に応じて深刻度が高いと見込まれる箇所から優先的に診断し、ビジネスリスクの高い脆弱性を可能な限り検出します。OWASP Top 10やOWASP ASVS等でカバーされる典型的な脆弱性に加え、仕様を踏まえたビジネスロジックの脆弱性も検出対象です。
お見積もりは無料です。
診断のご依頼はお気軽にお問い合わせください。