スマートコントラクトの「鍵」を自動で守る！Slitherを使った防犯ゲートの作り方
こんにちは！セキュリティの世界へようこそ。今日は、ブロックチェーンという「デジタルな金庫」を守るための、非常に強力な相棒「Slither（スリザー）」についてお話しします。
普段、私たちは家の玄関に鍵をかけますよね。でも、もし「鍵をかけたはずなのに、泥棒が裏口の窓からすり抜けてくる」としたらどうでしょう？ブロックチェーンの世界で起きる「スマートコントラクトの脆弱性」とは、まさにそんな状況です。
今日は、そんな泥棒の侵入を自動で見抜く「防犯センサー」を、開発現場の仕組み（CI/CD）の中にどう組み込むか、一緒に学んでいきましょう！
—
そもそも「スマートコントラクトの脆弱性」って何？
スマートコントラクトは、プログラムされた通りに動く自動販売機のようなものです。お金（トークン）を入れてボタンを押せば、商品が出てきます。しかし、もしこの自販機に「お金を入れなくてもボタンを連打すれば商品が出てくる」というバグがあったら……大変ですよね。
特に有名なのが「再入攻撃（Reentrancy Attack）」です。
これは、銀行の窓口で「お金を引き出します」と言って、窓口の人が現金を数えている最中に、「あ、やっぱりもっと引き出します！」と割り込んで、まだ終わっていない手続きの隙を突いて二重に引き出してしまうような手口です。
Slitherは「最強の防犯カメラ」
Slitherは、書かれたプログラム（コード）を読み込み、「あれ？このコード、泥棒が喜びそうな穴があるよ！」と教えてくれる静的解析ツールです。
人間が一つずつコードを目視でチェックするのは、砂浜で針を探すようなもの。SlitherをCI/CD（プログラムを自動でテストして本番へ送る仕組み）に組み込めば、開発者がコードを保存するたびに、24時間体制でセキュリティチェックを行ってくれます。
—
CI/CDにSlitherを組み込もう
GitHub Actionsを使えば、コードをプッシュした瞬間に自動で「泥棒の侵入経路がないか」を確認するワークフローが作れます。
以下の設定ファイル（.github/workflows/slither.yml）をプロジェクトに追加してみてください。
name: Slither Security Scan
on: [push, pull_request]
jobs:
analyze:
runs-on: ubuntu-latest
steps:
- name: リポジトリのチェックアウト
uses: actions/checkout@v3
- name: Python環境のセットアップ
uses: actions/setup-python@v4
with:
python-version: '3.9'
- name: Slitherのインストール
run: pip3 install slither-analyzer
- name: 脆弱性スキャンの実行
# --print human-summary で人間が読みやすい結果を出力します
run: slither . --print human-summaryこの設定を追加するだけで、あなたが書いたコードに「危険な場所」があれば、GitHubの画面上に真っ赤な警告が表示されるようになります。
—
現場でよく見る「泥棒の侵入ポイント」と対策
Slitherが警告を出してくれたとき、焦る必要はありません。まずは以下の代表的なポイントをチェックしましょう。
1. 再入攻撃（Reentrancy）への対策
先ほどの「窓口の隙を突く攻撃」です。対策はシンプルで、「お金を渡す前に、残高をゼロにする」こと。先に帳簿を書き換えてしまえば、泥棒が割り込んでも「残高がないから引き出せません」と門前払いできます。
2. 未初期化状態（Uninitialized State）
家を建てたのに、玄関の鍵を取り付け忘れているような状態です。コントラクトを公開する前に、「誰が管理者か」を最初に決める関数（コンストラクタ）を必ず呼び出すようにしましょう。
—
一歩ずつ、確実に安全へ
「セキュリティ」と聞くと難しく感じますが、要は「泥棒が入りにくい家を作る」のと同じです。
1. まずはツール（Slither）を導入して現状を知る
2. 警告が出たら「なぜダメなのか」を調べる
3. 修正したら、またツールで確認する
このサイクルを回すだけで、あなたのコードの安全性は劇的に向上します。最初はエラーの多さに驚くかもしれませんが、それは「見えなかった死角」が見えるようになった証拠です。
一人で抱え込まず、ツールという相棒を頼りながら、一歩ずつ安全な開発ライフを楽しんでいきましょう！応援しています。
コメント