- 1 Wintermuteの秘密鍵流出か？
- 2 Vanity Addressとは？
- 3 ProfanityでのVanity Address生成
- 4 Vanity Addressの欠点
- 5 脆弱性の詳細
- 6 自分のウォレットは安全か？
- 7 まとめ
イーサリアムのDEXアグリゲーターである”1inch（ワンインチ）”が脆弱性のセキュリティ開示を行った”Vanity Address”は深刻なセキュリティ問題となり、”Profanity（プロファニティ）”を利用したユーザーの資産が危険にさらされていると警告しています。
2022年9月20日に発覚したWintermute（ウィンターミュート）のハッキングはこのProfanityのVanity Addressが理由であると見られており、イーサリアムユーザーは注意が必要です。本稿では1inchが発見したVanity Addressの脆弱性についてわかりやすく解説を行います。
Wintermuteのハッキングについては墨汁マガジン「 Wintermuteのハッキング原因をコントラクトの実行履歴から確認する」を参照してください。
Wintermuteの秘密鍵流出か？
約230億円のWBTCやETHを盗まれたWintermuteのハッキングは、コントラクトの実行履歴を分析したところWintermuteの秘密鍵から署名されていることから秘密鍵の流出が原因と考えられています。
秘密鍵の流出原因は
１．クラウドなどの杜撰な管理
２．フィッシング
３．ウォレット側の問題
が考えられます。
１や２では初心者ユーザーが陥りやすいのに対し、Wintermuteはアルゴリズミックマーケットメイカーという特徴からみても、秘密鍵管理はそれなりだったと考えた場合、SolanaのファントムやSlopeなどのウォレット側の問題、サプライチェーン攻撃であったと考えられるのです。
つまりイーサリアムだけに限らず仮想通貨においては
「アカウントを作成するウォレットによってセキュリティが依存する」
ということを理解しておく必要があるでしょう。
サプライチェーン攻撃については墨汁マガジンVol.736「Solana(SOL)の大規模ハッキングの原因と経緯 サプライチェーン攻撃とは？」を参照してください。
Vanity Addressとは？
Vanity Address（バニティアドレス）とは
「ランダム生成に見えない特定の文字列を持つようなイーサリアムアドレス」
を指します。
例えば0x000000000のような0が多く並んでいるアドレスや0x123456のようなランダムで生成していないようなアドレスのことをVanity Address（バニティアドレス）と呼ぶのです。
Vanity Addressを生成するには1inchが脆弱性を指摘したProfinityのようなツールを使用し、
「
