暗号セキュリティ会社CertiKは、攻撃者がOrbオペレーターになるための検証プロセスを迂回することを可能にするWorldcoinプロトコルの脆弱性を最近発見したことを明らかにした。
CertiKによると、この脆弱性により、誰でもワールドコインのオーブオペレーターになるための検証要件を回避することが可能になったと報告されている。その個人は、例えば、合法的な企業であること、適切なID検証を受けること、審査面接に合格することなどの義務を負わない。
「通常の場合、ワールドコインの厳格な本人確認プロセスを通過した合法的な企業のみが、ユーザーの虹彩情報を収集するOrbの運営を行うことができます」とCertiKのスレッドには書かれている。
同セキュリティ会社は、「標準的なホワイトハット開示」手順を通じてこの問題をワールドコインに報告し、その後、同プロジェクトのセキュリティチームが脆弱性を確認し、「速やかに修正プログラムを発行した」と述べている。
1/5月29日、CertiKはWorldCoinのセキュリティチームに、攻撃者が認証プロセスを迂回することでOrbオペレーターになれる可能性のあるセキュリティ脆弱性を報告した。
– CertiK (@CertiK) August 3, 2023
CertiKは、修正プログラムによって脅威が緩和されたことを確認したと報告した。同セキュリティ会社は、発見された脆弱性の詳細と、どのように脆弱性が緩和されたかについて、”将来のある時点で “公表すると付け加えた。
「5月29日、CertiKのセキュリティチームは、攻撃者が非アクティブなOperatorアカウントを作成できるバグをWorldcoinに報告した」とWorldcoinの広報担当者はTCNに語った。「このバグは、Operatorアカウントを確立するための手動審査を迂回することを可能にするものではなく、バグによってオーブやデータへのアクセスが可能になることはありませんでした。Worldcoinのセキュリティチームは、CertiKから情報を受け取ってから24時間以内にこの問題を認めて修正し、悪用されていないことを確認しました。”
CertiKの暴露は、Worldcoinが監査会社NethermindとLeast Authorityによって実施されたWorldcoinプロトコルのセキュリティ監査に関する報告書を発表したわずか1週間後であったことは注目に値する。
これらの監査は、敵対行為やその他の攻撃につながるコードの脆弱性、悪意のある攻撃やその他の悪用方法に対する防御など、広範な分野をカバーしていた。
Nethermindの監査では、セキュリティ評価中に26の項目にフラグが立てられ、そのうち24は検証段階後に修正されたことが確認され、1つは緩和され、残りの1つは認められました。
Least Authorityはプロトコルで3つの問題を特定し、6つの提案を行ったが、Worldcoinによると、そのすべてが解決済みか、解決予定であるとのこと
。
ワールドコインをめぐる懸念
今年の初夏に立ち上げられたWorldcoinは、虹彩スキャンを中心とした斬新なグローバルIDおよび金融ネットワークを確立することを目的とした暗号プロジェクトである。
同社は、人工知能の影響力が高まるにつれて、こうしたワールドIDが重要になり、人間がロボットではないことを証明できるようになると主張している。
このネットワークに参加するには、Orbと呼ばれるデバイスを使って虹彩をスキャンする必要がある。インセンティブとして、ユーザーは虹彩スキャンと引き換えにプロジェクトのネイティブ・トークンであるWLDトークンを受け取る。
このプロジェクトは、データのプライバシーとセキュリティに関するいくつかの懸念を呼び起こした。有名な内部告発者であるエドワード・スノーデン氏やイーサリアムの共同創設者であるヴィタリック・ブテリン氏を含む批評家たちは、ワールドコインが過剰な量の個人データを収集している可能性があり、悪意のある目的に悪用される可能性があると主張している
。
ブテリン氏が最近のブログ投稿で指摘したように、オーブはハードウェアデバイスであり、バックドアがシステムにインストールされる可能性がある。
MITテクノロジー・レビューはまた、ワールドコインが欺瞞的なマーケティングを行い、当初公表されたよりも大量の個人データを収集していると非難している。
こうした懸念に対し、ワールドコインはユーザーのプライバシーを保護することを表明している。
同社のウェブサイトには、このプロジェクトが「ヨーロッパの一般データ保護規則（GDPR）を含む、バイオメトリック・データ収集とデータ転送に関するすべての法律と規制に完全に準拠している」と記載されている。
同社は、「ワールドコイン財団とその貢献者であるTools for Humanityは、いかなる個人データも販売することはなく、今後も販売することはありません」と付け加えた。
