【AWS re:Invent 2024】Blockchain wallets on AWS: Secure, smart, and scalable（講演レポート）

AWS re:Invent とは？

re:Inventとは、Amazon Web Services（以下、AWS）が主催するAWSに関する技術的なセッションや、展示ブース、試験準備のためのブートキャンプ、ゲーム化された演習などを通じて、参加者が主体的に学習できるAWS最大のイベントです。

2024年は12月2日から6日までの5日間開催されており、日本をはじめ世界中から多くの人が参加しています。

セッション情報

セッション名	AWS上のブロックチェーンウォレット：安全、スマート、拡張性
セッション概要	このセッションに参加して、ブロックチェーンウォレットを詳しく調べ、AWS のサービスを使用してそれらを構築する方法を学びましょう。ブロックチェーンアプリの堅牢なキー管理を可能にする機密コンピューティングソリューションである AWS Nitro Enclaves について学びましょう。金融テクノロジープラットフォームの Circle が、USDC、Programmable Wallets、AWS が開発者に 24 時間年中無休の支払いと金融サービスを世界中で提供できるようにする方法を共有します。さらに、マルチパーティコンピューティング (MPC) ウォレットの第一人者である Fireblocks が、Nitro Enclaves で革新的なソリューションを構築した経験から得た洞察を共有します。ブロックチェーンウォレットを初めて使用する方にも、一歩先を行く方にも、このセッションではこの分野の最新の進歩に関する洞察が得られます。
登壇者	Maayan Keshet Tamas Henning David-Paul Dornseifer

Blockchain（ブロックチェーン）について

ブロックチェーンウォレットの内容に入る前に、ブロックチェーンについて軽く説明します。
ブロックチェーンは、ビットコインで使用されている技術で、取引データを安全に記録する分散型台帳技術と言われております。
セキュリティの完全性が高く、中央機関なしでデジタル通貨の取引を可能にしています。
また、金融業界だけではなく、サプライチェーン管理や医療記録の管理など、幅広い分野で使用されている技術です。

Blockchain wallet（ブロックチェーンウォレット）について

ブロックチェーンウォレットは、ビットコインやイーサリアムなどの暗号資産を管理、保管、取引するためのツールです。
これらのウォレットは、ユーザーがデジタル資産を安全に扱うために必要な機能を提供します。

ブロックチェーンウォレットの構成要素

ブロックチェーンウォレットは、主に以下の三つの要素で構成されています。

秘密鍵
ユーザーが資産にアクセスするための重要な情報であり、トランザクションの署名に使用されます。
公開鍵
他のユーザーが資産を送信する際に使用され、パブリックIPアドレスへ転換してくれます。
パブリックIPアドレス
資産やNFT（非代替性トークン）に関連付けられおり、ウォレットの識別に役立ちます。

資産を移動させる際には、秘密鍵がトランザクションの署名に使用されます。
この署名はブロックチェーンレイヤー内で検証され、特定のパブリックアドレスが有効であるか、十分な量の資産が存在するかどうかが確認されます。問題無ければ、トランザクションが実行されます。

もし、秘密鍵が第三者に流出したり、不正に署名が作成された場合、ウォレット全体が危険にさらされる可能性があります。
これにより、不正なトランザクションが送信されるリスクが高まりますため、秘密鍵の管理は非常に重要です。

ブロックチェーンウォレットの種類

ブロックチェーンウォレットは主に流通・小売業向けのウォレットと機関投資家向けのウォレットがございます。

流通・小売業向けのウォレット

１．Custodial wallets（カストディアルウォレット）

・バイナンスやコインベースといった第三者企業が鍵を管理するもので、高度なセキュリティと完全なリカバリ可能性を提供します。
・多くのユーザーがこのタイプのウォレットを利用しており、特にセキュリティが重要視されます。
・通常、MFA（多要素認証）が実施され、ステーキングや取引、投資などのユースケースで活用されています。

２．Non-Custodial wallets（非カストディアルウォレット）

・メタマスクのようなブラウザプラグインや、専用ハードウェアデバイス、マルチ署名ウォレットなどが含まれます。
・ユーザーは鍵の管理や回復可能性の責任を負うため、資金の損失リスクが伴います。
・暗号ネイティブユーザーはこのタイプのウォレットから始めることが多く、投資取引やDAOの財務管理に利用されます。

３．Smart wallets（スマートウォレット）

・最近登場したウォレットであり、これらは企業によって管理されます。
・カスタマイズ可能なスマートコントラクトを利用して、ユーザーエクスペリエンスの向上を図っています。
・特にゲームやその他のアプリケーションにおいて、MFAを活用したセキュリティが強化されています。

機関投資向けのウォレット

１．Hot wallets（ホットウォレット）
インターネットに接続されており、プログラムによるアクセスが可能ですが、取引のスピードと効率性が高い一方で、セキュリティリスクも伴います。

２．Warm wallets（ウォームウォレット）
オンラインでの取引が可能ですが、人間による追加承認が必要で、より高度なセキュリティが求められます。

３．Cold wallets（コールドウォレット）
プログラムによるアクセスができず、物理的に分離された環境で管理されるため、最高レベルのセキュリティを提供します。

セキュアなブロックチェーンウォレットの構築

AWSサービスを利用したセキュアなブロックチェーンウォレットを構築するために必要な構成要素は以下になります。

キー管理
AWS KMS（Key Management Service）、AWS CloudHSM、AWS Secrets Managerなどを用いて、安全で堅牢に鍵を管理することが出来ます。
アクセス管理
AWS IAM（Identity and Access Management）やAWS CloudTrailを利用することで、ユーザーやサービスのアクセス権を厳密に制御、監視することが出来ます。
効率化
AWS Lambda、Amazon EC2、AWS Nitro Enclaves、Amazon EKSなどのサービスを利用することで、セキュアでコスト効果の高い、効率的な処理が可能になります。
モニタリングとロギング
Amazon CloudWatchを利用することで、システムのパフォーマンスをリアルタイムで監視し、異常を迅速に検知できます。
また、ログ収集も可能になります。

ブロックチェーンウォレット構成のユースケース

AWS KMSとAWS Lambdaベースのホットウォレット

AWS KMSとAWS Lambdaを利用したホットウォレットは、暗号資産の管理において非常に重要な役割を果たします。また、Amazon API Gateway経由でリクエストを処理することができ、AWS LambdaがAWS KMSにアクセスし、署名が作成されるシンプルな構成になっております。

以下にその主な特徴と利点をまとめます。

サーバーレス
AWS KMSベースのホットウォレットは、ユーザーがインフラストラクチャを管理する必要が無い構成になっております。
キーのインポートをサポート : ユーザーは独自の暗号鍵をインポートすることができ、これにより柔軟な鍵管理が可能になります。
FIPS 140-2準拠 : このシステムは、米国連邦政府のセキュリティ基準であるFIPS 140-2に準拠しており、高いセキュリティ基準を満たしています。これによりEVM互換のブロックチェーン・ウォレットを構築することができます。
自動グローバルレプリケーションのサポート
データの可用性を高めるために、ホットウォレットは自動的にグローバルにレプリケーションされます。これにより、異なる地域でのデータアクセスが容易になります。
SECP256k1サポート（EVM）
Ethereum Virtual Machine（EVM）において、SECP256k1暗号アルゴリズムをサポートしており、ブロックチェーン技術との統合がスムーズです。

AWS CloudHSMベースのコールドウォレット

AWS CloudHSMは、セキュリティを重視したハードウェアセキュリティモジュール（HSM）を提供し、暗号鍵の管理を安全に行うことができます。AWS CloudHSMと専用のプライベートサブネットを使って、インターネットに接続することなく、基本的に鍵を管理することができます。

AWS CloudHSMは、Amazon VPC内に配置され、プライベートサブネット内でHSMオペレーターEC2インスタンスと連携します。

以下にその主な特徴と利点をまとめます。

オフラインHSM
AWS CloudHSMは、VPCエンドポイントを介してのみアクセス可能なオフラインHSMを提供します。これにより、外部からの不正アクセスを防ぎ、セキュリティを強化します。
シングルテナントHSM
各ユーザーに専用のHSMを提供することで、他のユーザーとのリソース共有を避け、データのプライバシーとセキュリティを確保します。
FIPS 140-3準拠
AWS CloudHSMは、FIPS 140-3のセキュリティ基準に準拠しており、高いレベルの暗号化とセキュリティを提供します。
鍵のインポートとエクスポート
ユーザーは必要に応じて暗号鍵をインポートおよびエクスポートすることができ、柔軟な鍵管理が可能です。