安心してご利用いただくために

LIQUID EARNは、お客様に安心してサービスをご利用いただけるよう、資産の管理方法・通信の保護・不正アクセス対策など、複数の観点からセキュリティに取り組んでいます。

具体的な取り組み

秘密鍵は一切お預かりしません

資産の管理は常にお客様ご自身のウォレット（セルフカストディ）で行われます。運営が秘密鍵やリカバリーフレーズを取得・保存することはありません。

パスワードを使用しません

ログインはウォレットの署名のみで行われ、メールアドレスやパスワードは使用しません。パスワードの漏えいや使い回しによるリスクがそもそも発生しない仕組みです。

通信は暗号化されています

本サービスとの通信はSSL/TLSによって暗号化され、第三者による盗聴・改ざんを防ぎます。

処理の整合性を保証

資金の移動を伴う処理は、途中でエラーが発生した場合に自動的に処理前の状態へ戻る設計を採用しており、資産の記録が中途半端な状態のまま残ることを防ぎます。

不正アクセス・過剰リクエスト対策

短時間の大量アクセスやログイン試行を制限する仕組みを導入し、不正な操作からシステムを保護しています。

システムの継続的な監視

エラーや異常な挙動を検知する監視の仕組みを導入し、問題の早期発見・対応に努めています。

第三者コンポーネントの継続チェック

利用しているオープンソースソフトウェア等の脆弱性情報を継続的に確認し、必要な対応を行っています。

脆弱性の報告窓口を用意

セキュリティ上の問題を発見された場合の報告窓口を設けています。詳細は脆弱性報告ポリシーをご確認ください。

技術的なセキュリティ対策の詳細

実装レベルで行っている具体的な対策を公開しています。

ウォレット署名による本人確認

お問い合わせ・先行応援イベント申込・管理パネルへのログイン等の本人確認は、一度限りのnonceに対するEd25519署名（tweetnacl-jsによるオンチェーン署名検証）で行います。パスワードや秘密鍵をサーバーへ送信・保存することは一切ありません。発行されるセッショントークンの有効期限は24時間です。

RPCアクセスキーの非公開化

Solanaブロックチェーンへの接続に使用するRPCエンドポイント（APIキー付き）は、サーバー側APIルート経由でのみ利用し、ブラウザに配信されるコードにAPIキーが含まれることはありません。

オンチェーン計算のオーバーフロー対策

Vaultプログラム（Anchor/Rust実装）の資産評価額・shares計算は、すべてchecked演算（オーバーフロー・アンダーフローを検出した時点で処理を中断）で実装しており、不正な数値操作による資産の過大・過小計上を防ぎます。

PDAによるアカウント偽装対策

Vault本体・ユーザーポジション等のアカウントはすべてProgram Derived Address（PDA）として決定論的に導出され、Anchorのseeds制約で検証されるため、呼び出し元が偽のアカウントを渡して処理を成立させることはできません。

価格操作に対するサーキットブレーカー

USDC/LHBの同時預入・自動複利運転では、直近のチェックポイント価格から一定範囲を超える価格乖離を検知すると処理を拒否する仕組みを実装しており、同一トランザクション内でのプール価格操作による攻撃を防ぎます。

管理者権限の限定と緊急停止機能

手数料配分設定の変更・自動複利のON/OFF・USDC預かりシステムの一時停止など、資金や設定に影響する操作はすべてオンチェーンでadmin（マルチシグ推奨）権限のみに限定しています。緊急時にはUSDCの預入・引き出しを即座に停止できる一時停止機能を備えています。

マルチシグ運用を前提とした設計

運営鍵は単独ウォレットではなく、複数署名者によるマルチシグでの運用を前提としています。管理パネルでは署名者ウォレットの登録・確認が可能です。

サーバーサイドの入力検証

管理者向けAPIエンドポイントは、ウォレット署名セッションによる認可チェックと、Solanaアドレス形式のバリデーションをすべてのリクエストに対して実施しています。

上記は現時点で実装済みの技術的対策です。第三者機関によるスマートコントラクト監査は現時点では実施しておらず、未発見の不具合・脆弱性のリスクを完全には排除できません。詳細はリスク開示ページをご確認ください。

透明性への取り組み

取り組みの詳細や、あらかじめご理解いただきたい内容を公開しています。

まずは無料ではじめてみませんか？

数分で始められます。難しい知識は必要ありません。