はじめての仮想通貨
TOP
新着一覧
チャート
取引所
WebX
2025年以降、日本の金融庁がデジタル資産の制度整備を加速させ、メガバンクや大手証券が円連動型ステーブルコインやトークン化資産の実証に踏み出している。Web3を経営戦略に位置づける企業が増える一方で、「デジタル資産の安全な管理」という根本課題は、十分に整理されないまま現場に委ねられているケースが多い。
この課題が軽視されてきた最大の理由は、「大手暗号資産取引所が狙われる話」という認識に留まっているからだ。
しかし実態は異なる。企業向けデジタル資産インフラの最大手Fireblocksの調査では、国家が支援する高度なハッカー集団が、数百万ドル規模の中小プラットフォームを積極的に標的にしていることを明らかにしている。規模の大小にかかわらず、デジタル資産を扱う組織すべてが被害者となりうる。
さらに重要な事実がある。ブロックチェーン上で不正送金が一度確定すると、資産を取り戻す方法はほぼ存在しない。システムのダウンタイムやデータ漏えいであれば、発見・修復・補償というルートがある。しかしデジタル資産の損失は即時かつ永続的であり、場合によっては組織の存続に直結するリスクとなる。
デジタル資産の損失は「取り戻せない」
Fireblocksは2018年に設立されたデジタル資産セキュリティのインフラ企業。創業の直接のきっかけは、2017年に北朝鮮系ハッカー集団が韓国の複数の取引所から2億ドル相当のビットコインを窃取した事件にある。
当時、大手サイバーセキュリティ企業「チェック・ポイント」に在籍し、重大サイバー攻撃の調査タスクフォースに携わっていた3人の創業者Michael Shaulov（CEO）、Pavel Berengoltz（CTO）、Idan Ofrat（CPO）氏は、攻撃者の標的が従来の金融資産からデジタル資産へと急速に移行していることを目の当たりにした。同時に、機関が安全にデジタル資産を扱うための実用的な手段がほぼ存在しないことも把握していた。
「あらゆる規模の組織がデジタル資産と暗号通貨を容易かつ安全に扱えるようにする」というミッションのもと、3人の創業者はFireblocksを立ち上げた。モバイル・クラウド・その他重要インフラ分野におけるサイバーセキュリティの経験を背景に、MPC（マルチパーティ計算）とハードウェア分離技術を組み合わせた独自のセキュリティ基盤を開発。
現在は世界中で2,400社以上の金融機関・フィンテック・Web3企業等に採用され、業界を牽引している。
なぜ「従来の管理体制」では通用しなくなったのか
デジタル資産のセキュリティが通常のITセキュリティと根本的に異なる点は、「侵害＝資産消滅」が直結していることだ。システムのダウンタイムや個人情報漏えいであれば、封じ込め・修復・補償というプロセスが取れる。
しかしブロックチェーン上の不正送金は確定した瞬間に終わる。資産を取り戻す手段は事実上存在せず、組織の規模や対応速度は関係ない。この「不可逆性」こそが、デジタル資産の管理を他のITリスクと切り分けて考えなければならない根本的な理由だ。
現代の攻撃は技術力の問題だけでなく、「人・プロセス・設定の隙間」を精密に突くものへと進化している。Fireblocksのリサーチによれば、国家が支援する高度なハッカー集団でさえ、大規模なゼロデイ攻撃よりも「運用上の隙間」を狙うケースが増えている。
代表的なパターンは以下3つ。
承認奪取
自動流出
不正送金
重要なのは、これら3つのパターンがいずれも「高度な技術」を必要としない点だ。担当者一人の判断ミス、管理者が一人で承認できてしまう運用フロー、設定変更の履歴が誰にも確認されない環境。
こうした「当たり前にある隙間」が、億単位の損失に直結する。攻撃者はその隙間を探しているのであって、組織の規模を選んでいるわけではない。
脅威の裾野はさらに広がっている。「DaaS（Drainer-as-a-Service）」と呼ばれる犯罪エコシステムの台頭だ。高度なウォレット窃取ツールをサービス化し、技術力を持たない犯罪者でも即座にフィッシング攻撃を展開できる。ツール開発者がキットを作成してアフィリエイトにライセンス供与し、盗んだ資産を分配する収益モデルで運営されている。
Fireblocksの調査では、このモデルが16,000以上のドメインを通じて16万7,000人以上から2億5,000万ドル超を窃取した事例が確認されている。複数のサービスプロバイダーが機能・価格で競い合う、正規のSaaSビジネスと変わらない構造だ。
従来の管理体制と「Fireblocks」の7つの違い
単にツールを追加するのではなく、リスクの構造そのものを変える、これが深層防御の本質である。7つの観点から比較する。
矢印でスライドを切り替えられます（全7項目）
Fireblocksの答え「1点突破を許さない」多層防御
Fireblocksが提唱する「深層防御（Defense-in-Depth）」は、1つの仕組みが破られても他が止めるという設計思想。6つの独立したレイヤーで構成され、攻撃者はすべてを同時に突破しなければ資産に到達できない。
「完璧な防御は存在しない」という現実を前提に、どこか1点が侵害されても資産は守られる構造を実現している。
多層防御は、正しく設定・維持されて初めて機能する。運用が拡大するにつれ、ポリシーの設定ミスや更新漏れは気づかないまま蓄積していく。Fireblocksの調査では、ほぼすべての盗難インシデントに設定ミスが関与していることが判明している。これに対応するのが「Fireblocks Security Posture Management（FSPM）」だ。
デジタル資産向けに特化した自社のセキュリティ設定の状態を継続的に評価・改善する仕組みで、設定状態をリアルタイムで監視し、抜け穴や構成の劣化をインシデントになる前に検知・通知する。
Fireblocksはデジタル資産セキュリティの国際最高水準認証であるC4 CCSS Level 3を世界で初めて取得したプラットフォームであり、SOC 2 Type II（重大指摘ゼロ）・ISO 27001等の認証を継続維持している。10兆ドル超の取引を保護してきた実績が、この設計の有効性を裏付ける。
Fireblocksが公開するホワイトペーパーでは、各防御レイヤーの詳細・脅威ベクトルと防御のマッピング表・実際の攻撃シナリオ別の対応を解説しています。
まず、自社の現状を把握することから始めませんか
ホワイトペーパーのダウンロードは無料でご利用いただけます
3つの攻撃シナリオと防御の実際
多層防御が実際の攻撃に対してどう機能するかを、3つのシナリオで確認する。いずれも「担当者のPCが完全に乗っ取られた」「正当な権限を持つ人間が不正を試みた」という現実に起こりうる状況を前提で考える。
ここで注目してほしいのは、「Fireblocksがあると」の部分が、担当者個人の注意力や判断力に依存していない点だ。どのケースでも、仕組みそのものが不正送金を成立させない構造になっている。
「気をつける」ではなく「気をつけなくても止まる」。この違いが、組織のセキュリティレベルを根本から変える。
何が起きるか
攻撃者は偽の求人メールなどでマルウェアを送り込み、担当者のPCを遠隔操作できる状態にする。送金作業のタイミングで画面に表示される送金先を書き換え、担当者は正しい送金先に見える画面を確認して承認する。実際には攻撃者の口座に資金が流れていく。直近でも、この構造で15億ドル規模の被害が発生した実例がある。
Fireblocksがあると
承認は担当者のスマートフォン（PCとは独立したデバイス）で行われる。スマートフォンには改ざんされていない実際の送金先が表示されるため、PCの表示との食い違いが即座に分かる。送金先が事前に登録されたリスト外であれば、ポリシー設定により自動で拒否される。
何が起きるか
本物そっくりのDeFiサービスサイトに誘導され、ウォレットを接続するよう促される。接続した瞬間に「無制限の資金引き出し権限」を攻撃者に付与する契約に署名させられる。ユーザーは何も気づかないまま、後から資産が全額引き出される。
Fireblocksがあると
接続先サイトが既知の詐欺インフラと一致する場合、接続前に警告が表示される。接続できたとしても取引の内容が事前にシミュレーションされ「無制限の引き出し権限を付与しようとしている」と担当者に明示される。事前登録外のコントラクトへのアクセスはポリシーで自動拒否される。
何が起きるか
送金を承認できる立場の担当者が、自分の管理する口座への不正送金を試みる。自分が正当な承認者であるため、手続き上は問題なく見える。
Fireblocksがあると
送金には「その担当者とは独立した別の承認者」による確認が必要な設計になっている。新しい送金先を追加するにも別途複数名の管理者承認が必要なため、単独での操作が成立しない。
どのような組織が、何のために使っているか
Fireblocksは2018年の設立以来、多くの国際認証を継続的に取得・維持し、10兆ドル以上のデジタル資産取引を保護してきた実績を持つ。2,400社以上の機関に採用されているのは、こうした技術的信頼性が業界で認められていることを証明している。
顧客層はグローバル銀行・決済企業・暗号資産取引所・ヘッジファンドなど多岐にわたる。共通しているのは、「デジタル資産を事業の中核に位置づけた組織」という点だ。利便性を犠牲にせずにセキュリティを確保するという課題を、Fireblocksのインフラが支えている。
| 組織タイプ | 主な活用シーン |
|---|---|
| 銀行・証券会社 | ステーブルコイン発行・管理、トークン化資産（RWA）の発行・流通インフラ |
| 決済・フィンテック企業 | デジタル資産を使ったクロスボーダー決済、ステーブルコイン送金基盤 |
| 暗号資産取引所 | カストディ（資産管理）、ホット/コールドウォレットの運用管理 |
| 資産運用会社・ヘッジファンド | トレジャリー管理、DeFiへのセキュアなアクセス |
| Web3・ブロックチェーン企業 | ウォレットインフラ構築、スマートコントラクト操作の安全な実行 |
よくある質問
デジタル資産のセキュリティ対策を検討する際によく挙がる疑問をまとめた。自社の状況と照らし合わせながら確認してほしい。
なりうる。Fireblocksの調査では、北朝鮮関連のハッカー集団が数百万ドル規模の中小プラットフォームを積極的に標的にしていることが確認されている。「大手が狙われる話」という認識は、現在の攻撃実態とは乖離している。
可能。既存の決済システム・コンプライアンスツール（AML・制裁スクリーニング等）・社内ワークフローとのAPI連携に対応しており、既存の運用フローを大きく変えずに導入できる設計になっている。
グローバルな規制環境への対応を重視しており、金融庁の監督下にある金融機関・暗号資産交換業者への導入実績を持つ。具体的な規制要件への対応については、Fireblocksの担当者に直接確認することを推奨する。
脅威ランドスケープの最新分析、各攻撃手口の詳細、6つの防御レイヤーの技術仕様、脅威ベクトルと防御のマッピング表、実際の攻撃シナリオと防御の対応例、そして自社の準備度を確認するセルフアセスメントチェックリストが収録されている。
自社のデジタル資産運用が「1点突破を許さない」構造になっているか。ホワイトペーパー（公式説明書）から現状の課題を具体的に把握することができます。
詳細を確認する
2,400社以上が採用する機関向けデジタル資産セキュリティ基盤
