CoinPostで今最も読まれています

ビットポイントのハッキング事件、攻撃手法と考えられる3つの可能性

画像はShutterstockのライセンス許諾により使用

ビットポイントのハッキング事件から得られる教訓
仮想通貨取引所ビットポイントのハッキング事件、攻撃手法と考えられる3つの可能性を分析。

ビットポイントのハッキング事件を振り返る

BitPointは7月12日、35億円相当の被害を受けたことを公表した。内訳は、ビットコイン、ビットコインキャッシュ、イーサリアム、ライトコイン、リップルの5種類であることが公式発表からわかっている。

14日時点で、Bitcoin:2230BTC、Ethereum:13027ETHが盗まれた記録がブロックチェーンエクスプローラで確認。各アドレスはビットポイントからは開示されていないが、twitter で有志による調査が行われている他、タグ付けなども行われている。

ビットコイン:2230BTC

イーサリアム:13027ETH

ビットポイントの発表では、攻撃を受けたのはホットウォレットからの流出であることが確認されているが、自社開発のウォレット、マルチシグ対応といった対策についてやハッキングの攻撃手法についてなどは、未だ公開されていない。

同社は情報セキュリティ会社アイ・エス・レーティング社のセキュリティレーティングで「A」ランクを取得(最高ランクAAAの7段階評価)と、上位レーティングとされているため、一般的な対策は行なっていたと見られる。

攻撃手法とその可能性

まだまだ情報が少ないことから、ビットポイントがどのような攻撃を受けたのかは推測の域を出ないが、概ね3つの可能性が考えられる。

  • 外部から侵入可能な穴が空いていて、そこから侵入されたケース
  • スピアフィッシングなど、従業員をターゲットとして攻撃を仕掛け、そこからマルウェアを仕込んだり鍵を盗んだというケース
  • 内部犯による犯行

穴が空いていたという可能性はあまり高くないと見られる。先述のように情報セキュリティ会社のセキュリティレーティングなどでも評価されており、ファイヤウォールの設置など、一般的な対策は実施済みだったと考えるのか妥当であるためだ。

内部犯については、会社に不満を持っている人間が協力者になったり、あるいは最初から狙いを持って入社する可能性もある。攻撃が成功すれば、換金は簡単ではないとはいえ、数十億、数百億円が転がり込む。大規模な組織や国家が糸を引いている可能性も否定はできない。

本流出事件の対応について

本流出事件については、7月14日に公開された第二報で、盗まれた顧客分の仮想通貨は調達済みであることを明かした。すでに盗まれた分を補填する準備が行われている点は、迅速な対応を行なっているポイントとなる。

一方、以下の2点に流出時の対応ケースとしての問題点が挙げられている。

  • 攻撃検知からサービス停止までの時間(対応)
  • 社内ネットワークと権限の分権化

攻撃検知からサービス停止までの時間

報告によれば、最初に検知されたのはリップルの不正な転送で、7/11 22:12に送金エラーを検知。27分後には流出が確認され、他の仮想通貨についても調査が行われたとしている。

調査が行われていたこともあったことも理由にある可能性はあるものの、送受金の停止対応を行なったのは、リップルの不正流出を確認してから約8時間後。他の仮想通貨の不正流出に繋がり、被害が拡大した可能性は否めない。

この動きに対して、緊急時の手順やプレイブックが正しく整備されていない可能性が指摘されており、今後業界全体の教訓となり得る部分になる。

業界では、世界的に取引所が協力して流出資産の換金を可能な限り停止させる協力関係が築かれつつある。事態の拡大だけでなく、業界全体で流出被害の解決に取り組むためにも、今後流出検知からの対応のスピードは重要視される可能性は高い。

社内ネットワークと権限の分権化

また、第二報では、海外向けに提供していたビットポイントの別取引所でも流出が確認されている(損害は約2.5億円を見込んでいる)点が触れられており、社内ネットワークと権限の分権化が問われている。

現在、香港向けのサービス(bitpoint.hk)も7月12日からサービスを停止している状況にある。

攻撃が、外部犯であっても、内部犯であっても、複数のサービスをまたいで攻撃を受けた点は、社内のネットワークや権限がうまく分離できていなかった可能性を示すものであり、流出被害の拡大を防ぐケースとしてネットワークの分権化の重要性が問われることとなりそうだ。

詳細については調査結果待ちだが、なぜこのような問題が起こってしまったのか、仮想通貨業界全体が教訓を得られるような、透明性の高いレポートを期待したい。

注目・速報 相場分析 動画解説 新着一覧
02/21 水曜日
17:24
ラテンアメリカの大手通信会社テレフォニカ チェーンリンクと提携
大手通信会社テレフォニカが、分散型オラクルChainlinkと提携。API連携によりSIMスワップ詐欺に対抗する。開発者の暗号資産(仮想通貨)を保護する追加レイヤーとして機能。企業のWeb3進出の一助に。
15:02
決済業界が捉えるブロックチェーンの実利、リップル社調査
リップル社と米国高速決済協議会が世界的調査を実施。業界リーダーの60%強が、暗号資産(仮想通貨)の使用が決済プロセスにおいて大きな利益をもたらすと評価。金融業界における、ブロックチェーン技術の現状、課題も明らかに。
12:07
イーサリアム続伸で約2年ぶり3000ドル台に
暗号資産(仮想通貨)市場ではイーサリアム(ETH)が続伸し、22年4月以来初めて3000ドル台を回復した。オンチェーンデータ分析では、クジラ(大口投資家)の動向も活性化し始めているようだ。
12:00
仮想通貨支持のディートン弁護士、上院議員選出馬へ ウォーレン議員に対抗
仮想通貨を擁護する米国のディートン弁護士はマサチューセッツ州で上院議員選挙へ出馬した。エリザベス・ウォーレン議員の対抗馬を目指す。
11:00
マスターカードがSwooウォレットと提携、仮想通貨による報酬プログラム提供へ
決済大手マスターカードはモバイルウォレット企業Swooと提携し、ビットコインなど仮想通貨による顧客報酬プログラムを提供すると発表した。
10:24
ゴールドマン・サックス、日本株を代表する『七人の侍』を選定
日経平均株価が34年ぶりにバブル後の最高値をつける中、大手投資銀行ゴールドマンサックスは日本市場を代表する「七人の侍」を選定した。では、どの銘柄が採用されたか。
08:30
明日決算発表を前にエヌビディア大幅安、仮想通貨関連株も下落
米ナスダックはエヌビディアやAMDなどIT・ハイテク株の売り先行で下落。多くのアナリストはエヌビディアの決算のハードルは非常に高く引き上げられていると指摘した。一方、イーサリアムは約2年ぶりに3千ドル台を回復した。
07:45
計1400億円相当のBTC、米コインベースから出金
計1400億円相当の仮想通貨ビットコインがコインベースから出金されたことがわかった。出金理由については売り圧の低下につながるといった声や、OTC取引のための出金であるといった声など複数の見方が上がっている。
07:30
米デリバティブ大手CME、小口のユーロ建のビットコイン・イーサ先物を提供へ
CMEのビットコイン先物OIは先月過去最高値の52億ドルを記録。仮想通貨ビットコインETFへの高い需要に伴ってヘッジの需要も高まっているようだ。
07:00
EVMウォレットMetaMask、ユーザーへの警告機能を導入 モバイル安全性強化
マルチチェーンへ対応 暗号資産(仮想通貨)イーサリアム(ETH)の主要EVMウォレットMetaMaskは、モバイルアプリおよびエクステンションで、ユーザーへのセキュリティアラー…
05:50
Optimism、4回目のエアドロップで約60億円分の仮想通貨OPを無料配布
今回のエアドロップはOptimismを利用するWeb3アーティストやクリエイターをターゲットとしたもので、合計10,343,757.81 OPトークン(約4100万ドル)を2025年2月13日までに付与する。
05:30
バイナンス、全てのレバレッジトークン廃止へ
仮想通貨(暗号資産)取引所バイナンスは全てのレバレッジトークン廃止の予定を発表した。一方、昨夜StarknetのSTRKトークンの新規上場を実施した。
02/20 火曜日
14:51
韓国与党、選挙公約でビットコインETFやIEOの承認など検討 課税猶予の延長も
韓国の与党「国民の力」は4月の総選挙に向けた選挙公約の一環として、ビットコイン現物ETFの認可を含む、仮想通貨投資に関連した法律の制定を検討すると発表した。
14:36
Uniswap v4は2024年第三四半期に実装へ
Uniswap v4が2024年第3四半期にリリース予定。新機能「フック」の導入、暗号資産(仮想通貨)イーサリアムDencunアップグレードの影響、および監査プロセスに焦点を当て、ロードマップの近況をまとめる。
14:14
LINE NEXT、読んで稼ぐ「ReadON」と提携 コラボNFTを販売
NFT市場DOSIを手掛けるLINE NEXTが、読んで稼ぐアプリReadONとの提携を発表。コラボデジタルアイテムを2月21日に発売。Web3エコシステムにおけるマーケティングやビジネス領域での連携を図る。

通貨データ

グローバル情報
一覧
プロジェクト
アナウンス
上場/ペア