仮想通貨ウォレットのトラストウォレットは、一部のユーザーに約17万ドルの損失をもたらしたセキュリティの脆弱性を明らかにした。同社によれば、この脆弱性は既に修正されている。
トラストウォレットは海外仮想通貨取引所大手バイナンスが2018年に買収しており、バイナンス傘下のウォレットといえる。
トラストウォレットは、ユーザーが脆弱性を発見した場合に運営に通知することで報酬を得られる仕組み「バグバウンティプログラム」を通じてこの問題に気付いた。2022年11月にセキュリティ研究者が、オープンソースライブラリ「ウォレットコア」のWebAssemblyの脆弱性を報告したのがきっかけだ。
同社は声明で「2022年11月14日から23日にかけてブラウザ拡張機能によって生成された新しいウォレットアドレスにこの脆弱性が含まれている」とし、それ以前および以後に作成されたすべてのアドレスは安全であると付け加えた。
1/10 Trust Wallet is built on security & trust. So we're sharing a vulnerability affecting new addresses created Nov 14-23,22 using the Browser Extension.
The issue is fixed. Most at-risk funds are secured. Affected users should take actions outlined:
— Trust Wallet (@TrustWallet) April 22, 2023
結果的に二件のハッキングにより約17万ドルの損失が発生した。
トラストウォレットは「脆弱性によるハッキングによる損失を補償し、影響を受けたユーザー向けの払い戻しプロセスを実施」し、「脆弱なアドレス上の残りの約88000ドルの残高をできるだけ早く移動するよう、影響を受けたユーザーに促した」という。
この二回のハッキングによって影響を受けた可能性があるのは、2022年12月下旬から2023年3月下旬にかけて、資金の異常な動きがあったユーザーである。
トラストウォレットは影響を受けた顧客に対して新しいウォレットを作成し、資金を移動するよう促した。脆弱なアドレスを持つユーザーはトラストウォレットのブラウザ拡張機能を通じて通知されるという。
また2022年にウォレットコアライブラリを使用した開発者は、ウォレットコアの最新バージョンを実装すべきだ。
コインテレグラフの読者におかれては、ウォレットのハッキングにも細心の注意を払っていただきたい。