深層対話：オンチェーン取引はどのようにセキュリティリスクを防ぐのか？取引所の上場評価の次元とプロジェクトリスクの識別

著者：ウー・シュオ

私たちは、Bitgetの研究員TommyとSlow Mistセキュリティチームの運営責任者Lisaを招き、取引所の上場リスク評価、オンチェーンセキュリティ問題、そして投資家がどのように自分の資産を保護するかについて共同で探討しました。二人のゲストは、新しいプロジェクトの評価、上場済みトークンの監視、ハッキング攻撃への対処に関する経験を共有し、現在の暗号通貨市場において投資家や機関が注意すべきセキュリティリスクや新しいツールを活用して安全性を向上させる方法についても議論しました。

開場の紹介

Tommy：

皆さんこんにちは、私は暗号取引所Bitgetで2年半働いている研究員です。Bitgetは、最初は200〜300人のチームで、主な業務は契約とフォロートレーディングでしたが、現在では契約製品の市場占有率が約27%に達し、プラットフォームの月間訪問者数は3000万回を超え、全エコシステムの暗号取引プラットフォームに成長し、世界中の100以上の国と地域で2500万人以上の登録ユーザーを持っています。

私の2年以上の職務経験の中で、VIP顧客向けのシェア会を開催する以外は、ほとんどPPTを作成したことがありません。チームは常に効率と結果指向を重視しており、形式的な展示や煩雑な報告には重きを置いていません。私たちの研究院のチームメンバーは多様なスキルを持ち、DeFi製品の設計と実装に優れたトップタレントや、オンチェーンデータ分析に深い経験を持つ専門家が揃っています。

Lisa：

皆さんこんにちは、私はSlow Mistの運営責任者Lisaです。Slow Mistは業界をリードするブロックチェーンセキュリティ会社で、豊富なオンチェーンおよびオフチェーンのセキュリティ経験を持ち、脅威インテリジェンスにおいても多くの年数を積み重ねています。Slow Mistは、セキュリティ監査やマネーロンダリング追跡など、脅威発見から脅威防御までの統合的なセキュリティソリューションを提供しています。Slow Mistの名前は『三体』に由来しており、Slow Mist区は三体の中で安全な区域を象徴し、危険に満ちたブロックチェーンの「暗黒の森」の中の安全区域を意味しています。また、「Slow Mist区」というホワイトハットコミュニティも設立しており、現在30万人以上が参加しています。

上場前にどのようにリスク評価を行うか？新興プロジェクトと有名プロジェクトの評価戦略に違いはあるか？

Tommy：

Bitgetのリスク評価は研究院が主導し、監査およびリスク管理チームが協力します。まず、私たちはプロジェクトのトラック、チームの背景、資金提供者の歴史を包括的に確認します。プロジェクトがBitgetのリスク管理のレッドラインに関わる場合（例えば、麻薬、賭博、政治的に敏感な要因など）、私たちは直接拒否します。また、SECに訴えられているプロジェクトや悪評があるプロジェクトも拒否します。例えば、Pulsechain（PLS）は、TGE前に非常に注目を集めていましたが、SECとの紛争や悪評のため、私たちは一時的に協力を断りました。

次に、私たちはプロジェクトのトークンエコノミクスモデル、上場時のFDVおよび初期流通時価総額を評価します。これらの数値が高すぎる場合、私たちは拒否するか、調整を求めることがあります。高い時価総額と低い潜在能力のプロジェクトは、散発的な投資家を「受け皿」にすることが多いです。最近では、資金調達が良好なVC Coinが上場後に価格が90%下落するのを見ました。このようなトークンは今後も回避するつもりです。しかし、いずれにせよ、プロジェクトやトークンの将来の動向を正確に予測することは難しく、私たちは方法論を通じてトレーダーの損失をできるだけ減らすことしかできません。

非初発プロジェクト、特に最近上場したMemecoinsについては、特に契約リスク、トークンの集中度、LPプールのロック状況などに特に注意を払います。新興プロジェクトに対しては、より慎重になりますが、同時に革新を受け入れることもあります。例えば、Bitgetが最初に上場したUNIBOTは、プロジェクト自体の設計上の必要性から、「取引税の変更可能性、ブラックリスト/ホワイトリストメカニズム」などの契約権限を保持しており、一定の欠点がありました。しかし、研究チームはUnibotの収益モデルを分析した結果、プロジェクトには持続可能な発展性があると判断し、Rugの理由はないと考え、最終的に上場を決定し、トレーダーに素晴らしいリターンをもたらしました。もう一つの例はORDIで、私たちはBRC-20の革新がビットコインエコシステムを再活性化し、マイナーコミュニティの支持を得ると判断しました。

VCコインとコミュニティコインをどのように評価するか？両者の違いについてどう考えるか？

Tommy：

ビジネスの観点から見ると、Bitgetの核心目標は、リスクがコントロール可能な前提の下で、ユーザーに豊富な資産選択肢と投資機会を提供することです。一部のVC CoinはTGEの際に非常に注目を集めますが、評価の結果、その概念やトークンエコノミクスの設計がFDVを支えるには不十分であると判断されることがあります。しかし、これらのトークンを上場しないと、特に散発的な投資家や大口顧客がこのような選択肢を提供すべきだと考える場合、ユーザーからの疑問が生じる可能性があります。ユーザーが購入するかどうかは彼らの決定であり、私たちもその機会を提供する必要があります。時価総額が高いトークンについては、通常、上場当日または翌日に契約を提供し、トレーダーがロングまたはショートを行えるようにします。

内部では、高い流量と大きな上昇潜在性を持つトッププロジェクトにはSランクの待遇を与えます。プロジェクトの流量が大きく、資金提供者が強力であるが、製品が十分でないか、コミュニティのパフォーマンスが一般的である場合、Aランクに降格します。AランクのプロジェクトはSランクのように強力にプロモーションされることはありませんが、取引所の観点から見ると、このようなプロジェクトは上場する価値があります。

上場後、プロジェクトのパフォーマンスとリスクをどのように継続的に監視するか？

Lisa：

完全なパブリックチェーン監査やスマートコントラクト監査と比較して、取引所の上場評価を支援する際、Slow Mistは資産のセキュリティ脅威により重点を置きます。技術的な考慮は最も重要です。例えば、私たちはソースコードの安全性を確認し、継続的なメンテナンスと更新が行われていることを保証します。私たちは、プライベートキーのランダム数の安全性に注目し、信頼できるランダム数源を使用していることを確認し、暗号学の安全性をチェックし、使用されているアルゴリズムが業界の審査を受けていること、暗号学コンポーネントが成熟して信頼できることを確認します。また、経済モデルのリスク、例えば潜在的なマルチ商法やデススパイラルなどの問題も非常に重要です。もちろん、チームリスクも重要であり、特に特別な権限やトークンが過度に集中している場合、これは逃げ出したり、価格を操作するリスクを引き起こす可能性があります。

取引所はしばしばハッカー攻撃の標的となり、彼らは通常、サーバーを防御システムの背後に配置し、資金を管理するコアサービスはオフラインでホスティングする必要があります。しかし、ブロックチェーンシステムはデータの完全性に対する厳格な要件があるため、一部の悪意のある取引は外部のセキュリティシステムの保護を回避し、偽の入金問題を引き起こす可能性があります。一般的な偽の入金攻撃手法には、偽のコインが含まれ、特に取引所が特定のコインの取引や送金の判断ロジックに欠陥がある場合に発生します。攻撃者は偽の入金取引を構築し、取引所が合法的な入金と誤認するように仕向け、ユーザーに入金を行わせます。さらに、ビットコインプロトコルのRBF機能を利用して偽の入金を行うことも一般的な手法であり、攻撃者は以前の取引を置き換えるために高い手数料を支払うことで、取引所が誤って判断し、資産損失を引き起こすことがあります。

偽の入金攻撃はブロックチェーンの脆弱性ではなく、攻撃者がブロックチェーンの特性を利用して特殊な悪意のある取引を構築することを説明する必要があります。偽の入金攻撃を防ぐためには、特に大口または高リスクの取引に対して追加の審査を行うなど、人工的なレビューを行うことができます。また、外部APIインターフェースのセキュリティ認証と定期的な審査を通じて、APIの安全性を確保することも、未承認のアクセスや潜在的な脆弱性を効果的に回避することができます。

Tommy：

プロジェクトが上場した後にリスクが発生した場合、市場の反応はより迅速になります。Bitget内部では、直ちにそのプロジェクトを緊急に上場廃止するかどうかを議論し、ユーザーを保護するための措置を講じます。私たちはすべての上場トークンのパフォーマンスを常に監視しており、最近この分野の管理を強化し始めており、今後はより多くのST（特別処理）トークンが登場する可能性があります。

これらのSTトークンが規定の期限内に基本面や流動性を改善できない場合、私たちは上場廃止を検討します。多くのプロジェクトは上場後にパフォーマンスが悪く、プロジェクト側が「放置」し、プロジェクトを積極的に推進しなくなることがあります。これにより市場の深度が悪化し、初心者ユーザーが売買時に大きなスリッページに直面し、ユーザー体験に深刻な影響を与えます。私たちはこの問題を積極的に解決しています。

トークンリスクを防ぐために、私たちは上場前に多くの作業を行っています。最初のMemeトークンブームの中で、Bitgetは多くの高リスクのMemeトークンを拒否しました。例えば、配布方法が不合理で、プロジェクト側が過剰にトークンを保有しており、オンチェーンの保有アドレスデータが偽造されている場合です。プロジェクト側が上場費用を支払うことを提案しても、私たちは上場を拒否しました。

Slow Mistはどのような典型的なオンチェーンセキュリティ事件を処理してきたか？

Lisa：

Slow Mistが設立されて以来、私たちは多くのオンチェーンセキュリティ事件を処理してきました。ここでは二つのケースタイプを共有します。一つはプロジェクト側が攻撃を受けた事件、もう一つはユーザー個人が盗まれたケースです。

まず、2021年のPoly Network事件です。これは当時最大の損失をもたらした攻撃事件の一つで、金額は6.1億ドルに達しました。事件発生後、Poly Networkはその日の20時頃に攻撃を受けたことを発表し、21時頃にはTether社が迅速にハッカーアドレス上の一部のUSDTを凍結しました。私たちはその日の23時頃に攻撃者の一部の身元情報とIPアドレスを発見し、資金の流れを追跡し始めました。次の日の午後、ハッカーは資金を返還し始めました。この事件はSlow Mistにとってのマイルストーンでした。この事件を通じて、私たちは迅速な対応とオンチェーンのマネーロンダリング防止を含む一連の緊急警報と防御プロセスをまとめ、損失を減少させ、資産をロックすることができました。

もう一つのケースは、ユーザー個人が盗まれた事件です。今年の2月、あるユーザーが私たちに連絡し、自分が盗まれたと訴えました。ハッカーは有名メディアの記者を装い、被害者に悪意のあるスクリプトを含むリンクをクリックさせ、最終的に被害者のアカウント権限と資金を盗みました。被害者は盗まれた後、私たちに連絡し、自分の遭遇を公表しました。私たちは資金がある取引所に移されたことを発見し、直ちにその取引所に連絡して一時的に凍結しました。立件プロセスは複雑でしたが、最終的に3ヶ月半後に被害者は盗まれた資金を取り戻すことに成功しました。これは台湾の司法史上、具体的な容疑者情報がない状態で、追跡分析とウォレット所有者の証明を通じて、法執行機関が資金を凍結し、被害者に返還することを支援した初めてのケースです。

これらのケースを通じて、いくつかの経験を共有したいと思います。不幸にも盗まれた場合、まずは迅速に損失を止め、救済の機会があるかどうかを確認することが重要です。例えば、権限が盗まれた場合は、迅速に権限を取り消すこと；プライベートキーやシードフレーズが盗まれた場合は、残りの資産を直ちに移動すること；PCがマルウェアに感染した場合は、最初にネットワークを切断し、シャットダウンせずに証拠を取ることが重要です。そして、保存されている各プラットフォームのパスワードを変更し、ウォレットを交換します。盗まれた時間のタイムラインと詳細を記録し、第三者のセキュリティチームの助けを求め、立件後に法執行機関の協力を求めることが重要なステップです。

どのようにしてトークン契約やインタラクティブプロジェクトが安全であるかを判断するか？

Lisa：

最も簡単な方法はコードを確認することです。しかし、技術を理解していない場合、初心者や技術に不慣れな人は、クラシックなフィッシングや詐欺のケースについて多く学び、その特徴や形式を認識することで警戒心を高めることができます。プロジェクト内の罠、例えば「買うことはできるが売ることができない偽トークン」に特に注意が必要です。プロジェクトを判断する際には、高い利益や高いリターンは通常高いリスクを伴うことに注意してください。チームが公開透明であり、メンバーが有名であるかどうかを調査することで、逃げ出したり詐欺に遭う確率を減らすことができます。また、コードがセキュリティ監査を受けているかどうかを確認することも一つの保障です。できるだけ主要なプロジェクトに参加することをお勧めします。なぜなら、たとえ攻撃を受けても、通常は補償プランがあり、資産の安全が相対的に保証されるからです。

Tommy：

私は、大部分の普通のプレイヤーがコードの安全性をチェックする能力や時間がないと考えています。最も簡単な方法は、GoPlusのような信頼できる第三者ツールを使用することです。このようなツールは多くのチェーンをサポートしており、特にEVMチェーンに対応しています。SolanaユーザーはRugCheckやgmgn aiを試してみると良いでしょう。これらはトークンのリスクを検出するのに役立ちます。オンチェーンでトークンを取引する際、一部のトークンは契約を公開していないか、取引税を変更する権限を保持している場合があり、これが不正行為を引き起こす可能性があります。例えば、プロジェクト側が大量の資金が流入した後に売却税率を99%または100%に調整することも詐欺の一種です。

また、現在のBitget Walletなどの非管理型ウォレットには、リスク警告機能が内蔵されており、高リスクのトークンを取引する際に通知を受け取ることができ、初心者ユーザーにとって非常に便利です。DeFi投資を行う友人に対しては、知名度のあるプロジェクトに加えて、プロジェクトのTVLにも注目します。もしあるプロジェクトのTVLが5000万ドルを超えている場合、参加を検討するかもしれませんが、これは複数のユーザーの投入によるものか、1つか2つの大きなウォレットによるものかに注意が必要です。TVLが数千万ドルの大きなプールであれば、たとえ道徳的リスクが発生しても、問題が解決されやすくなります。

普通のユーザーと機関ユーザーに対して、それぞれどのようなオンチェーン操作の安全アドバイスがありますか？

Tommy：

普通のユーザーに対して、私のアドバイスは以下の通りです。まず、ウェブサイトにアクセスする際は、URLの真偽を慎重に確認してください。次に、トークンを承認する際は、無制限の承認を避け、小規模プロジェクトの契約承認を迅速に取り消してください。DeFi操作に参加しない場合は、準備証明を持つ中央集権取引所を選び、簡単な投資操作を行うことができます。ビットコインを保有している場合は、ハードウェアウォレットを使用するのが良い選択です。

機関ユーザーに対しては、彼らは通常セキュリティ対策をよく理解していますが、それでもマルチシグウォレットを使用し、権限を厳格に管理することをお勧めします。セキュリティ事故が発生した場合は、迅速に対処し、初期の小さな問題を無視しないようにしてください。これらの問題は、より大きな損失を引き起こす可能性があります。専門のセキュリティ担当者を雇ってセキュリティ監査や評価を行うことも非常に重要です。例えば、セキュリティ機関と協力してペネトレーションテストを行うことが考えられます。

Lisa：

オンチェーン操作について話すと、ウォレットの安全性が重要です。ウォレット資産が盗まれる場合、通常は三つのカテゴリーに分かれます：プライベートキーまたはシードフレーズが盗まれる、承認サインがフィッシングされる、送金先アドレスが改ざんされる。

プライベートキーやシードフレーズが盗まれるリスクを防ぐためには、偽のウォレットを使用しないことが重要です。多くのユーザーは検索エンジンの広告や第三者のダウンロードサイトからウォレットを入手しますが、これらのチャネルにはプライベートキーやシードフレーズが盗まれるリスクがあります。また、悪意のあるブラウザ拡張もユーザーの認証情報や敏感なデータを盗む可能性があります。ユーザーには信頼できるソースからの拡張のみをインストールし、異なるブラウザでプラグインを隔離して資金取引を行い、定期的にウイルス対策ソフトでデバイスをチェックすることをお勧めします。

フィッシングについては、最も一般的なのは盲目的なサインです。ユーザーが不明な内容の下でサインを行うことが多いです。特にオフラインサインの場合、ユーザーはサインがブロックチェーンに記録されず、ガスを消費しないと考え、警戒を緩めて資金を盗まれることがあります。オフラインサインの承認の痕跡はフィッシング者のアドレスにのみ見えるため、被害者は気づきにくいです。

オンチェーン操作リスクを防ぐための核心は、ドメイン名とサインです。ユーザーには「見たものがサインされる」ことを可能な限り実現し、盲目的なサインを拒否することをお勧めします。サイン内容を理解できない場合は、操作を放棄するのが最善です。また、ウイルス対策ソフトをインストールし、二要素認証を有効にし、不明なリンクを慎重にクリックするなどの対策もアカウントの安全性を高めることができます。最後に、ケースを学ぶことで安全意識を高めることが重要です。感情的な衝動で操作を行わず、疑問がある場合は多方面から検証し、安全を確保してください。Slow Mistの創設者である余弦が著した『ブロックチェーンの暗黒の森自救マニュアル』は非常に読む価値があります。

Memecoins取引にはどのような一般的な安全リスクがありますか？

Tommy：

プレセールのMemecoinに対して、多くのトレーダーは開盤時に迅速に参入し、ボットや自作コード、またはgmgn aiなどのプラットフォームを使用して狙いを定めます。しかし、プロジェクト側はさまざまな理由で開盤時間を遅らせる可能性があり、多くの人が偽のトークンを狙うことになります。これらのトークンのティッカー名や画像は同じであり、本物のトークンが開盤する際には、すでに市場に四つか五つの逃げる準備をしている偽のトークンが存在します。したがって、このような高熱度のプレセールトークンに参加する際は、プロジェクト側が確認した契約の上場を待つことが重要です。さもなければ、騙されやすくなります。

現在、Memeコインの契約権限の放棄、トークンの分散、LPの消失は基本的な要件となっています。Memeトレーダーはこれらの要件に非常に厳格であり、プロジェクト側の内部関係者が事前に購入した疑いがある場合、他の人は参加したがらなくなります。

これらの基本的な要件に加えて、私はLPプールの流動性が少なくとも30万から50万ドルに達することが最低基準であると考えています。小さなプールはRugのリスクが非常に高く、リターンも限られています。また、TGE時のFDVは高すぎてはいけません。もしあるMemecoinがオンチェーンでの取引量が少なく、ソーシャルメディアでの議論の熱度が低いにもかかわらず、千万ドル規模のFDVを持っている場合、それは非常に疑わしいです。

さらに、多くのMemecoinの開発者は、1つのトークンを発行するだけでなく、同時に複数のトークンを発行することがあります。もし開発者が以前に複数のRugのMemecoinを発行していた場合、再びRugを行う可能性が高くなります。したがって、これらの開発者の新しいプロジェクトには警戒が必要です。

Lisa：

イーサリアムやSolanaチェーンでMemecoinを取引する際には、いくつかの異なるオンチェーンリスクがあります。EVMシリーズのパブリックチェーンではトークン発行の自由度が高く、トークンのロジックは開発者によって実装されます。一方、Solanaでは公式チャネルを通じてトークンが発行されるため、オンチェーン取引のリスクも異なります。

一般的なリスクタイプには、悪意のあるトークンやRug Pullトークンが含まれます。例えば、一部のMemecoinは非常に議論されているが、ユーザーが売却しようとすると、アドレスがブラックリストに載せられ、売却できないことがあります。これらのトークンは通常、特別なロジックを設定して転送を制限し、ユーザーがトークンを売却できないようにします。また、Rug Pullトークンには、大量のトークンを増発するためのバックドアロジックが含まれている可能性があり、プロジェクト側は特権関数やユーザーアドレスの凍結を通じて悪意のある操作を行うことができます。

ユーザーがオンチェーンの安全性を向上させるために役立つ新しい技術やツールはありますか？

Lisa：

最初にScam Snifferについて言及しましたが、このフィッシングリスク防止プラグインは非常に便利で、私自身も使用しています。また、彼らの承認管理ツールもお勧めです。Revoke.Cashも、承認をキャンセルし、確認するためのクラシックなツールです。さらに、私たちが言及したウイルス対策ソフト、例えばAVGやカスペルスキーも、信頼できる選択肢です。

これらの承認やフィッシング防止ツールに加えて、GoPlusも非常に良いツールで、貔貅盤や貔貅コインを効果的に検出できるため、強くお勧めします。また、1Passwordのような有名なパスワード管理ツールや2FA認証ツールなど、ローカルデバイスに関連するツールもあります。これらは紛失に備えてバックアップが必要ですが、二重認証を使用しないよりもはるかに安全です。

さらに、Slow MistのMistTrackマネーロンダリング追跡システムも特にお勧めです。私たちはMistTrackに基づいたブラックU検出ツールを導入しており、ユーザーは取引アドレスを入力することでそのスコアを確認し、マネーロンダリングリスクを識別し回避するのに役立ちます。

これらのツールはオンチェーンの安全性を向上させるのに役立ちますが、絶対的な安全を保証するものではありません。新しいバージョンにはバグが発生する可能性があり、さらにはバックドアが埋め込まれることもあります。したがって、これらのツールを使用する際は独立した思考を保ち、ゼロトラストの原則を実践し、継続的に検証することをお勧めします。絶対的な安全は存在しないことを忘れないでください。この心構えは非常に重要です。

暗号業界にはどのようなセキュリティ対策を強化する必要があると思いますか？

Lisa：

暗号業界はセキュリティ問題を無視できません。一つの誤りが数百万ドルの損失を引き起こし、プロジェクトが崩壊したり、個人が破産する可能性があります。各分野はハッカー攻撃のリスクに直面しています。安全の木桶効果に基づき、セキュリティ対策の強化は全体的なニーズであり、ユーザー、プロジェクト側、サプライチェーンを含むすべての環境が重要です。どの部分もセキュリティの短所を持ってはいけません。どの環境の疎漏も全体のセキュリティサイクルを破壊し、技術的防御と人的防御を組み合わせた完全な体系的防御が必要です。

まず、ユーザーのセキュリティ意識を高める必要があります。Slow Mistは盗難/詐欺報告システムを提供しており、ユーザーが盗まれた/詐欺に遭った場合、関連情報を提出することができ、私たちは無料で資金追跡とコミュニティ評価を行います。これらのフィードバックを通じて、多くのユーザーのセキュリティ意識が急務であることがわかりました。彼らはしばしばセキュリティ事件や警告を無視し、FOMOの感情に浸り、一般的な攻撃手法についての理解が不足しています。

プロジェクト側も個人ユーザーも、一般的な攻撃手法を理解し、事前に緊急計画を策定する必要があります。損失が発生した際に問題を迅速に特定し、制御できるようにするためです。私たちはSlow Mistを通じて『ブロックチェーンの暗黒の森自救マニュアル』やTwitterでセキュリティ知識を広めていますが、多くのユーザーは資金に関心を持ち、セキュリティ問題を深く理解しようとしません。これには各方面の協力が必要であり、ユーザーの資金安全をより良く保障する必要があります。

最近、Twitter上には多くの偽のプロジェクト側のフィッシングコメントが見られます。SpaceXのエンジニアたちは、ユーザーが返信でリンクを無効にできる新機能を導入しました。これは効果的なセキュリティ対策であり、フィッシングのリスクを大幅に減少させることができます。これらは業界の前向きな進展であり、今後もこのようなセキュリティサービスが増え、ユーザーのリスク防止能力を高めることを期待しています。

Tommy：

業界の専門家、ユーザー、プレイヤーとして、私はツール類の製品が不断に改善され、私のセキュリティ問題に対する懸念を減少させることを望んでいます。私は、これらのツールがリスクが発生した際に迅速に私に警告を発し、潜在的な危険な操作を直接阻止することを期待しています。この方法はよりユーザーフレンドリーであり、Web3の使用体験が最終的に現在のWeb2のレベルに達するか、それを超えると信じています。

ますます多くの業界外のユーザーがCrypto分野にスムーズに統合されるとき、この業界は本当に成長し、発展することができます。これらのインフラの改善は、ユーザーがリスクを防ぐのを助けるだけでなく、新たに参入するユーザーにより良い体験を提供し、詐欺に遭うことによって業界全体に対する抵抗感を抱かせないようにするために重要です。