IoT・OT（制御システム） & ブロックチェーンセキュリティ

フロントランニングという「透明な罠」：MEVからスマートコントラクトを守る防衛術やあ。現場で泥をかぶるエンジニア諸君。今日は、Web3の世界で最も「洗練された強盗」とも言える、フロントランニング（MEV: Miner Extractable...

オラクル操作攻撃：なぜ「単一のDEX」を信じてはいけないのか？現場でコードを叩いていると、つい「Uniswapのプールから現在の価格を取ってくればいいじゃないか」という誘惑に駆られることがあるだろう。だが、言っておく。その判断が、君のプロジ...

再入攻撃の「現在地」：単一関数からマルチコントラクトの死角を突く深淵現場でコードをレビューしていると、いまだに「Checks-Effects-Interactions（CEI）パターンを守っています」と胸を張るエンジニアに出会う。だが、今の...

ガバナンスは「金」で買えるか？フラッシュローンによるDAO乗っ取りの残酷な現実現場のエンジニア諸君、お疲れ様。今日は少し「嫌な話」をしよう。君たちが設計しているWeb3サービスやDAO（自律分散型組織）のガバナンス機能。まさか、「トークン保...

【警告】コントラクトの「影武者」には要注意：delegatecallによるストレージ汚染の深淵現場のセキュリティリサーチャーとして、これまで数多のDAOやDeFiプロトコルの惨劇を見てきた。その中でも、特に「スマートコントラクトのアップグレ...

プロキシパターンの「初期化忘れ」は、なぜコントラクトの命取りになるのか現場でよくあるミスなんだが、スマートコントラクトのアップグレードを可能にする「プロキシパターン（Transparent Proxy / UUPS）」を実装する際、多くのエ...

クロスチェーンの「信頼」は幻想か？―LayerZero/IBCの盲点を突く検証不備と防衛戦略現場でインシデント対応をしていると、開発者が「クロスチェーンだから安全だろう」「ブリッジのプロトコルがやってくれるはずだ」と、魔法の杖のように技術を...

L2の「データ可用性（DA）」という死角――なぜあなたのコントラクトは砂上の楼閣なのか最近、Layer 2（L2）ソリューションの台頭で「ガス代が安い」「爆速だ」と騒がれていますが、セキュリティの現場にいる人間から見ると、それは「信頼の根源...

スマートコントラクトウォレットの盲点：EIP-1271の「再帰的罠」を制圧する現場でコードを叩いていると、たまに「なぜこんな仕様にしたんだ？」と頭を抱えたくなる設計に出くわす。EIP-1271、つまり「スマートコントラクトによる署名検証」も...

ブリッジの落とし穴：フラッシュローンによる「価格の歪み」が招く壊滅的被害現場でブリッジコントラクトのコードレビューをしていると、「外部オラクルに依存しすぎている」という致命的な設計ミスに何度も遭遇する。特に、流動性プール（AMM）の価格をそ...