Webアプリ開発基盤Vercelは4月19日、社内システムへの不正アクセスが発生したと公表しました。第三者AIツール「Context.ai」を経由してGoogle Workspaceが侵害され、内部設定の一部にアクセスされたことで、APIキーを含む環境変数が露出した可能性があります。

暗号資産（仮想通貨）プロジェクトでは直ちに認証情報の回転作業が広がり、Web3開発が依存する外部サービス経由のリスクが改めて浮き彫りになりました。

第三者ツール経由の侵入でAPIキー露出の可能性

Vercelが公表したインシデント情報では、攻撃者はロックダウンされていない内部設定にアクセスしました。APIキーなどの環境変数が潜在的に露出した可能性がある一方、読み取り防止設定が施された機密性の高い環境変数については、アクセスの証拠は確認されていません。

同社CEOのGuillermo Rauch氏は、侵入経路をContext.ai経由のGoogle Workspace侵害まで追跡したと明らかにしました。自社の本番環境そのものが直接破られたというより、業務で接続していた外部ツールが足がかりになった形です。開発会社の周辺にあるSaaSやOAuth連携が、結果として本体の認証基盤に波及した構図が見えてきます。

影響が大きいのは、VercelがWeb3分野で広く使われているためです。とくにNext.jsベースのフロントエンドを採用する暗号資産関連サービスでは、ウォレット接続画面や取引ダッシュボード、バックエンドAPIとの橋渡し部分をVercel上で運用する例が多いとされます。フロントエンドの侵害は、ブロックチェーン自体の改ざんとは別の問題ですが、利用者が触れる入口に近いだけに、被害の連鎖を招きやすい領域です。

Solana基盤の分散型取引所Orcaは、Vercelでホストしていたフロントエンドに関連する全デプロイメント認証情報を回転したと公表しました。オンチェーンのプロトコルやユーザー資金への影響は確認されていないとしています。資金流出が起きていなくても、鍵を差し替える対応が必要になった点に、今回の事案の性質が表れています。

APIキーが守る範囲とフロントエンド依存の課題

APIキーは、アプリが外部サービスや自社バックエンドと通信するための認証情報です。価格データの取得、ウォレット関連機能の呼び出し、分析基盤や通知機能との接続など、Web3サービスの裏側では多数のキーが使われています。

秘密鍵のように直接資産を動かすものではなくても、権限のあるAPIキーが漏れれば、偽のリクエスト送信や管理画面への不正接続、利用者を別の処理へ誘導する足場になり得ます。

とくに暗号資産サービスでは、スマートコントラクトが安全でも、利用者が最初に触れるWeb画面やその周辺設定が弱ければ全体の信頼性は揺らぎます。金庫の中身ではなく、受付窓口や通用口が狙われたようなもので、分散型アプリでも運用面は中央集権的なインフラに支えられている現実が改めて示されました。

参考元：CoinDesk
画像：shutterstock