Bitcoin ストレージの Exodus ウォレットはどの程度安全ですか?

Exodus ウォレットのセキュリティ アーキテクチャ

1. Exodus は非保管モデルを採用しています。これは、ユーザーが自分の秘密鍵を常に完全に制御できることを意味します。

2. ウォレットは Ledger や Trezor などのハードウェア デバイスと統合されており、ユーザーは安全な要素を使用してオフラインでトランザクションに署名できます。

3. 秘密キーは、アプリケーションのサンドボックス環境に保存される前に、AES-256 暗号化を使用してデバイス上でローカルに暗号化されます。

4. Exodus はシード フレーズや秘密キーをリモート サーバーに保存しません。リカバリフレーズは、ウォレットのセットアップ中に 1 回だけ生成および表示されます。

5. デスクトップ バージョンとモバイル バージョンは、プラットフォーム固有の安全なストレージ API (macOS/iOS ではキーチェーン、Android ではキーストア) を使用して機密データを保護します。

脆弱性の暴露履歴

1. 2024 年初頭、カスペルスキーの研究者は、クラックされた macOS アプリケーションを通じて偽造 Exodus インストーラーを配布するマルウェア キャンペーンを特定しました。

2. 攻撃者は、改変された Exodus バイナリなど、海賊版ソフトウェアを実行するために必要なコンポーネントを装った偽の「アクティベーター」ツール内に悪意のあるペイロードを埋め込みました。

3. これらのアクティベータは管理者権限を要求し、コピーされたシード フレーズを含むクリップボードの内容をキャプチャできる永続的なバックドアをインストールしました。

4. 公式の Exodus バイナリは侵害されていません。ただし、サードパーティの配布チャネルは、知識のないユーザーに重大なリスクをもたらしました。

5. Exodus は、公式 Web サイトまたは検証済みのアプリ ストア以外からソースされたインストールについては責任を負いません。

シードフレーズ管理の実践

1. Exodus は、ウォレットの初期化中に、暗号的に安全なエントロピー ソースから派生した、BIP39 準拠の 12 ワードのリカバリ フレーズを生成します。

2. ユーザーには、スクリーンショットを撮ったり、電子メールを送信したり、シード フレーズをデジタル的に保存しないよう明示的に警告されます。これは、業界のベスト プラクティスに沿ったガイダンスです。

3. このインターフェイスでは、フレーズ全体の自動コピーが防止されており、各単語を個別に表示する前に手動で確認する必要があります。

4. Exodus はシード フレーズのクラウド バックアップ オプションを提供していないため、サーバー側での暴露ベクトルが排除されます。

5. 組み込みのフレーズ検証ステップにより、ユーザーは続行する前にリカバリワードを正しく書き写し、保持することができます。

攻撃対象領域の分析

1. デスクトップおよびモバイル アプリケーションとして、Exodus は、他のプロセスがメモリまたはクリップボード データにアクセスできる共有 OS 環境で実行されます。

2. ブラウザ拡張機能は、たとえ正規のものであっても、文書化されたリスクをもたらします。悪意のある亜種がコピー＆ペースト操作からシード フレーズを収集することが観察されています。

3. ウォレットには、デスクトップ プラットフォームでのトランザクション署名のためのネイティブの生体認証が欠如しており、パスワードの強度への依存が高まっています。

4. Exodus は 350 以上のトークンにわたるマルチ資産管理をサポートしており、単一の侵害による潜在的な影響を複数のブロックチェーンにわたって拡大します。

5. オープンソースのフロントエンド コードは公的に監査可能ですが、コアの暗号モジュールはクローズドソースで独自仕様のままです。

よくある質問

Q: Exodus はマルチシグまたはしきい値署名スキームをサポートしていますか? Exodus は、マルチシグ ウォレットや TSS プロトコルをネイティブに実装しません。チェーンごとの単一署名 ECDSA キー ペアに依存します。

Q: Exodus はエアギャップのあるデバイスでも使用できますか?はい - Ledger または Trezor ハードウェア ウォレットと組み合わせると、Exodus は署名をセキュア エレメントに委任し、完全にエアギャップされたトランザクションの準備を可能にします。

Q: Exodus は、インフラストラクチャに保持されているユーザー資金に関わる侵害に遭ったことがありますか?いいえ、Exodus は非保管ウォレットとして機能します。ユーザー資産を保持しないため、保管資金の損失を被ることはありません。

Q: Exodus モバイル アプリは Google Play や​​ Apple App Store で入手できますか?はい。公式の Exodus モバイル アプリは両方のストアを通じて独占的に配布されており、Apple は厳密なコード署名を適用し、Google は Play Protect スキャンを適用しています。