myXRP セキュリティ診断報告書 — 適合（Pass）

公式に認められた業務範囲（韓国・日本）

本診断は、韓国および日本において公式にセキュリティ診断業務を行える第三者として、myXRP の公開面が所定用途での公式利用に耐えるかを確認したものです。判定は適合（Pass）です。

本診断は公開面のセキュリティ適合です。各国の暗号資産交換業者登録や金融免許そのものを付与するものではありません。法令上の最終判断は所轄と契約にあります。

実施概要

Chainopticは2026年1月17日、デジタル資産デスク myXRP（myxrp.fi）の公開面を対象に、包括的なセキュリティ診断を実施しました。導入事例インタビューではなく、診断報告書の公開要約です。攻撃手順や再現用ペイロードは記載しません。

実施日

2026年1月17日

対象

myxrp.fi（到達可能な公開面を含む）

実施主体

Chainoptic 診断チーム

診断責任

代表取締役 CEO 田辺 誠、CTO 小野 拓也

総合判定

適合（Pass）— Critical / High / Medium / Low いずれも 0件

対象サービスの位置づけ

カストディ型デスクの公開操作面。他人の資産や口座に届くかを軸に見ています。

myXRPは、XRPおよび関連する預入・払出・デスク操作を扱うカストディ型のデジタル資産デスクです。利用者が口座を開き、残高を確認し、預入と払出を依頼し、公開されている説明・規約・監査情報を参照する一連の操作が、公開Webの中心です。

内部運用端末、未公開の管理コンソール、第三者カストディ契約の中身は範囲外です。公開面から推論できる範囲でのみ触れています。

診断範囲

1. 公開Webアプリケーション（トップ、口座・キャビネット、説明・規約・問い合わせ）
2. 認証・セッション・ログアウト・再認証
3. 認可（口座・残高・依頼の所有者境界）
4. 入力処理（反映・保存・検索・問い合わせ）
5. 通信経路（TLS、リダイレクト、混合コンテンツ、クッキー）
6. セキュリティヘッダとブラウザ側の一般防御
7. 預入・払出・台帳アドレス表示など、台帳に隣接する公開操作面
8. 公開情報の一貫性（規約・開示・連絡先）

スマートフォンネイティブアプリ、社内VPN、未公開APIの網羅的ファジングは範囲外です。範囲外を「未実施」と書き、範囲内の判定と混ぜていません。

実施方法

ブラックボックス＋人手。本番資産や他人口座には手を入れていません。

公開仕様と画面遷移から脅威を立てて検証しました。自動スキャンだけに頼らず、認証後の画面でも所有者境界と状態遷移を人手で辿っています。再現が必要だった箇所は隔離した検証口座で確認しました。

判定尺度は Critical / High / Medium / Low / Informational です。資産の喪失、他人口座の閲覧・操作、認証 bypass、広範囲の改ざんを上に置き、美観や情報開示の好みは Informational に落としました。

認証とセッション

発行されたセッションは本人の操作範囲に閉じ、ログアウト後の再利用はできませんでした。

口座に入る経路、セッションの発行と破棄、ログアウト後の再利用、並行セッションを確認しました。クッキーには経路と属性が付いており、平文チャネルへの漏出を前提にした危険な組み合わせは見当たりません。パスワード再設定やメール回復がある場合も、トークンの使い切り・期限・応答差を見ています。列挙やトークン固定につながる差は確認できませんでした。

認可と口座境界

識別子を差し替えても、他人の残高・依頼・アドレス帳へは届きません。

表示用の識別子と操作APIの対応を突き合わせ、所有者以外の参照・更新・取消が通らないことを確認しました。預入用アドレス、払出先、依頼の照会はログイン中の口座に結び付いており、別口座の値を推測して付け替えても拒否されました。権限の境界は画面上の隠れではなく、サーバ側で見ています。

入力処理と代表的なWeb欠陥

XSSの残存、単純なCSRF、クリックジャッキング、オープンリダイレクトは確認できませんでした。

問い合わせ、表示名、メモ、検索など、利用者が文字を入れられる箇所を確認しました。管理画面や他利用者の画面へスクリプトが残る状態、Cookieを読める形での永続化はありません。状態を変える操作には第三者サイトからの勝手な送信を阻む防御があります。フレーム制御も、重要な操作を完成させる余地を抑えています。

通信経路とブラウザ防御

公開面はHTTPS。平文への不用意な落ちと混合コンテンツはありません。

証明書の主体は公開名と整合しています。セキュリティヘッダ（フレーム制御、コンテンツタイプの固定、参照元の抑制など）はデスク用途として十分な組です。欠けていても実害に届かない項目は Informational にも上げていません。

台帳に隣接する操作面

確認画面と実行内容の食い違い、預入先の黙った付け替えはありません。

預入アドレス、払出先、金額、手数料、確定前の確認画面を辿りました。表示アドレスと確定画面のアドレスが途中で差し替わる不整合はありません。チェーン名・ネットワーク名と実際の経路説明も食い違っていません。本診断は台帳プロトコルの形式検証ではなく、デスクが利用者に見せる操作面の健全性です。

運用と開示

規約、問い合わせ、監査ハウスの掲示、障害や注意喚起の置き場は公開サイトから辿れます。連絡先がダミーや切れリンクだけ、という状態ではありません。サービスが何を扱い、何を扱わないかの説明と、実際の画面の機能は矛盾していません。

指摘一覧

自動ツールが上げたノイズ（一般的な情報開示、理論上のヘッダ追加余地など）は、再現しても実害に届かないものは本要約から除外しています。残件を「あるように見せる」ための埋め草は置いていません。

総合判定

myxrp.fi は、2026年1月17日時点の公開面において、Chainopticが求めるセキュリティ要件を充足しています。認証・認可・入力処理・通信経路・台帳隣接の操作面のいずれにも、資産の喪失や他人口座の操作、認証の回避につながる欠陥は認められませんでした。韓国および日本における所定用途（口座の開設と参照、預入・払出の依頼、公開情報の確認）での公式利用に適合します。

本判定は診断日時点の公開面に対するものです。以後の機能追加や依存関係の変更があれば、範囲を切り直した再診断を推奨します。現時点の結論を曖昧にするための留保は付けません。

診断責任者：代表取締役 CEO 田辺 誠
技術責任者：CTO 小野 拓也
発行：Chainoptic　2026年1月17日