Kraken親会社のPayward、AnthropicのProject Glasswingに参加し脆弱性探索を自動化

仮想通貨取引所のセキュリティ体制は、多くの場合、単純な非対称性に集約されます。防御側はあらゆる重大な欠陥を見つけ出す必要がありますが、攻撃者はたった一つの実行可能な経路を見つけるだけでよいのです。元の報告によると、Krakenの親会社であるPaywardは、AnthropicのProject Glasswingに参加することで、その取り組みに異なる種類の防御側を加えようとしています。同社は、Anthropicのサイバーセキュリティモデルを使用して脆弱性を探し出し、オープンソースの知見を共有する意向です。

これは、取引所運営者がセキュリティスタックの最上位にどのようにアプローチするかにおける、有意義な転換です。従来のレビューは依然として、人間のレッドチーム、サードパーティの監査人、およびバグバウンティの報告に依存しています。それぞれに固有の限界があります。監査人は定期的であり、レッドチームは予定に基づいて動きます。また、バウンティプログラムは、外部の研究者がそのターゲットを調査する価値があると判断するかどうかに依存します。サイバーセキュリティモデルは、コード、依存関係、構成面を継続的に調査できるため、問題が悪用される前に発見するという経済性を変えることになります。

Krakenにとって、そのリスクは抽象的なものではありません。取引所はカストディインフラ、取引システム、リテールフロントエンドを運営しており、これらはすべて異なる攻撃対象領域（アタックサーフェス）となります。最近の開発者活動データが示すように、エンジニアリングの関心は依然として比較的少数のエコシステムに集中しています。この集中により、すべてのレビューをエンジニアが手動で行うことができない主要な運営者にとって、自動化されたセキュリティカバレッジはより有用なものとなります。

なぜモデルの選択よりも知見の共有が重要なのか

Project Glasswingのオープンソース部分は、モデルそのものと同じくらい重要かもしれません。知見がPaywardを超えて共有されれば、同様のコンポーネントに依存している他の企業の修正を早めることができます。しかし、開示チャネルは特定されていません。ほとんどの取引所運営者は、公表よりも内密な修正や限定的な責任ある開示プログラムを好んできたため、より広範な共有アプローチは、異なるリスク許容度を意味することになります。

このトレードオフは、インフラの大部分が共有ライブラリ、オープンソースクライアント、構成可能なプロトコルで構築されている仮想通貨において特に重要です。一箇所で見つかった脆弱性は、多くの場合、複数の場所で繰り返されます。情報が他のチームが行動できるほど適切に構成されていると仮定すれば、公開された知見のパイプラインは、発見から広範な修正までの期間を短縮する可能性があります。