この問題では、クリップボードのセキュリティに焦点を当て、その原則、攻撃方法、および実践を通じて収集した予防のヒントを探求し、ユーザーがより強力な資産保護意識を構築するのに役立ちます。

背景

前回のWeb3セキュリティ初心者ガイドでは、Pi Xiu詐欺を分析しました。この問題はクリップボードのセキュリティに焦点を当てています。

多くの仮想通貨の盗難事件において、被害者にとって最も混乱する側面の1つは、しばしば「私は決してプライベートキーをオンラインで送信していないのに、なぜ盗まれたのか？」ということです。実際、プライベートキー/シードフレーズの漏洩は、常にクラウドやオンラインの送信を介して発生するわけではありません。これらは、見かけ上「ローカルで安全な」アクション中にも発生することがあります。たとえば、プライベートキー/シードフレーズをコピーして貼り付けたことはありますか？または、メモやスクリーンショットに保存したことはありますか？これらの一般的な行動も、ハッカーが標的とするエントリーポイントです。

この問題は、クリップボードのセキュリティに焦点を当て、その原則、攻撃手法、および実践を通じて収集した予防ヒントを探索し、ユーザーがより強固な資産保護意識を構築するのに役立つものです。

なぜクリップボードはリスクをもたらすのか

クリップボードは、オペレーティングシステムがローカルアプリケーション間でデータを共有するための一時的な記憶領域です。主に一時的なデータ（テキスト、画像、ファイルパスなど）を保存し、異なるアプリケーション間で簡単にコピー＆ペーストを可能にするために使用されます。たとえば、ウォレットアドレスをコピーした場合、オペレーティングシステムはそのアドレスをクリップボードに上書きされるか新しいコンテンツでクリアされるまで保存します。

• 平文の保存：ほとんどのオペレーティングシステム（Windows、macOS、Linuxなど）は、デフォルトではクリップボードデータを暗号化しませんが、代わりに平文でメモリに保存します。
• システムAPIアクセス：ほとんどのオペレーティングシステムは、クリップボード関連のAPIを提供しており、アプリケーションがクリップボードにアクセスできるようにしています。つまり、アプリケーション（テキストエディタ、ブラウザ拡張機能、入力メソッド、スクリーンショットツール、さらには悪意のあるソフトウェアなど）が必要な権限を持っている場合、バックグラウンドでデータを静かに読み取ったり、改ざんしたりすることができます。

さらに、クリップボードの内容はデフォルトでは自動的にクリアされないため、長い間アクセス可能な状態になる可能性があります。ユーザーが機密情報をコピーしてもすぐに上書きやクリアをしない場合、悪意のあるソフトウェアや第三者アプリケーションがこの内容を読む機会があります。

いくつかのクリップボードマルウェアは、特にアドレスを改ざんするように設計されています。東南アジアにおけるトランスナショナル組織犯罪に関する2024年のUNODC報告書には、東南アジアでよく使用されるマルウェアの1つとしてクリップボードハイジャッカーと呼ばれるものがあります。このソフトウェアは感染したシステムのクリップボードを監視し、仮想通貨取引のアドレスを置き換えるチャンスを待っています。被害者が無意識に取引を行うと、資金が攻撃者のアドレスに転送されます。仮想通貨ウォレットのアドレスは通常長いため、ユーザーは受信アドレスの変更に気づかないかもしれません。

(https://www.unodc.org/roseap/uploads/documents/Publications/2024/TOC_Convergence_Report_2024.pdf)

この時点で、クリップボード攻撃を防ぐ最も基本的な方法は、機密情報をコピーせず、専門のウイルス対策ソフトウェアをインストールしてマルウェアの浸入から保護することです。

クリップボードをクリアする主な目的は、機密情報の露出時間を短縮し、マルウェアや他のアプリケーションに読まれるリスクを減らすことです。機密情報を誤ってコピーした場合、すぐにクリップボードをクリアすることで漏洩の可能性を低くすることができます。簡単な方法は、以前にコピーした機密情報を「フラッシュ」するためにすぐに大量の無関係なコンテンツをコピーすることであり、これによりそれが一定程度読まれる可能性が低くなります。

ただし、デバイスがすでにクリップボードの内容を盗むか変更するマルウェアに感染している場合、手動でクリップボードをクリアしても効果は限定されます。これらの悪意のあるプログラムはリアルタイムでデータを監視および読み取ることができるため、手動でクリアしても彼らの行動に追いつくのは難しいです。したがって、最良の方法は、当初から機密情報をコピーせず、デバイスのセキュリティを確保することです。デバイスが感染していると疑う場合は、迅速に資産を新しいウォレットに移動してさらなる損失を防ぐことをお勧めします。

クリップボードだけでなく、ユーザーは以下の方法を通じても機密情報が漏洩する可能性があるため、特に注意を払う必要があります。

• アルバム、クラウドストレージ、入力方法：クラウドに秘密鍵/シードフレーズをアップロードしないでください。アルバム、クラウドストレージ、WeChatのお気に入り、電話のメモなどを含むものに限らず。 機密情報を入力方法に入力しないでください。システムの組み込み入力方法を使用し、入力方法の「クラウド同期」機能を無効にし、コピー＆ペーストでの秘密鍵/シードフレーズの入力を避けることをお勧めします。
• マルウェアのリスク：定期的にシステムをウイルス対策ソフトウェアでスキャンして、潜在的なマルウェアを検出し、削除します。
• ブラウザー拡張機能の権限：不要なブラウザー拡張機能を無効にします。拡張機能の権限リスクに懸念がある場合は、インストール後にまずその使用を避け、拡張機能のIDを確認し、ローカルパスを検索し、拡張機能のルートディレクトリにあるmanifest.jsonファイルを見つけ、そのファイルの内容を権限リスク分析用のAIに送信します。慎重であれば、潜在的な悪意のある行動を抑えるために、Chromeプロファイルを別個にして、馴染みのない拡張機能を有効にすることを検討してください。
• 転送アドレス改ざんリスク：仮想通貨の送金などを行う際には、常にクリップボードの改ざんにより誤ったアドレスに資金を送金しないよう、ウォレットアドレスを注意深く確認してください。

クリップボードクリアリングチュートリアル

macOS、iOS、Android、およびWindowsでクリップボードをクリアするためのいくつかの簡単な方法を以下に示します。お試しください。

macOSは現在のクリップボードの内容のみを保存し、履歴は記録しません。重要な履歴を上書きするために単に関係のないコンテンツをコピーすることができます。iOSも現在のクリップボードの内容のみを保存します。関係のないコンテンツをコピーするだけでなく、ユーザーはショートカットを作成し、クリップボードをクリアするコマンドをホーム画面に追加することもでき、クリップボードのクリアがより便利になります。

(https://x.com/0xBeyondLee/status/1855630836118467028)

Windows 7およびそれ以前のバージョンでは、履歴なしで現在のクリップボードコンテンツのみを保存します。 関係のないコンテンツをコピーすることで元のコンテンツを上書きし、効果的にクリップボードをクリアできます。

Windows 10/11（「クリップボード履歴」が有効な場合）: クリップボード履歴を表示するには、Win + V を押して、「すべてクリア」ボタンをクリックして右上隅にある履歴をすべて削除します。

Androidでは、クリップボード履歴とは通常、入力メソッドによって記録されたクリップボード履歴を指します。多くのAndroidデバイスで、入力メソッドにクリップボード履歴機能が提供されており、ユーザーは入力メソッドのクリップボード管理インターフェースに移動して不要な記録を手動で消去できます。

簡単に言えば、システム自体が履歴を保存しない場合は、単に新しいコンテンツを古いコンテンツで上書きするだけで十分です。システムにクリップボードの履歴がある場合（Windows 10/11や一部のAndroidデバイスなど）、上記の方法に従って履歴を手動でクリアしてください。

概要

クリップボードはしばしば見落とされがちですが、データ漏洩の頻繁な原因です。この記事がユーザーがコピー＆ペーストの安全リスクを再評価し、「ローカル操作は絶対的なセキュリティを意味しない」と認識するのに役立つことを願っています。セキュリティは技術的な問題だけでなく、行動習慣の問題でもあります。日常の操作で基本的な保護措置を実施し、警戒心を持ち、セキュリティ意識を高めることで、私たちの資産を本当に保護することができます。

免責事項：

1. この記事は[から転載されていますTechflow]. 著作権は元の著者にあります [Liz & Reborn]. If you have any objections to the reprint, please contact the Gate Learnチーム。関連手続きに従ってできるだけ早く対応します。

2. 免責事項：この記事で表現されている見解や意見は、著者個人の見解を表しており、投資アドバイスを構成するものではありません。

3. 他の言語版の記事はGate Learnチームによって翻訳されています。翻訳された記事は、Gateと言及せずにコピー、配布、または剽窃することはできません。Gate.