「監査済み」は安全の証明か？仮想通貨損失の5割が人的要因

仮想通貨のプロジェクトが掲げる「監査済み」の表示が、実際の検査範囲を超えた安心感を与えているとの指摘が出ています。スマートコントラクトの監査は限られたコードと期間を対象とする一方、利用者は組織全体の安全性が証明されたものと受け取りがちだからです。

象徴的なのが2025年2月21日のバイビットの事例です。イーサリアムのコールドウォレットからの送金で署名画面が改ざんされ、承認者は想定通りの送金先を見ていたにもかかわらず、実際には攻撃者に権限が渡っていました。損失は14億6000万ドルでFBIは北朝鮮の関与を指摘しています。

Safeは開発者端末の侵害が原因で、スマートコントラクトやフロントエンドのソースコードに脆弱性は見つからなかったと説明しました。

Oak Securityのステファン・ベイヤー氏による6月のプレプリントは、22社の監査による2万3818件の公開指摘と2022年1月から2026年3月までの218件のインシデント（推定損失77億6400万ドル）を比較しています。監査での指摘はロジックや業務ロジックが14.6%、コード品質が13.0%と上位でした。一方、損失額では秘密鍵の侵害が18億9400万ドル（24.4%）、フィッシングと人的操作が15億1100万ドル（19.5%）を占め、人的要因は全体の49.6%に達したとされています。

ただしフィッシングの被害額はバイビット1件が大半を占めるなど、少数の巨大事案が分類全体を左右する点には注意が必要です。同論文は監査業界の内部者による未査読の研究でもあります。それでも、監査対象のコミットや確認日、鍵管理や運用面の検証状況を明示する「成分表示」のような様式が必要だという主張には一定の説得力があるとされています。表示の言葉が検査範囲を正確に伝えられるかどうかが、今後の信頼性を左右しそうです。

記事ソース：資料