CoinPostで今最も読まれています

続発する仮想通貨不正流出事件の裏側、取引所のセキュリティ担当が本音を語る

画像はShutterstockのライセンス許諾により使用

ビットバンクのセキュリティ責任者が見る取引所セキュリティの現状
国内取引所で発生した30億円相当の不正流出事件について、bitbankセキュリティ責任者が有識者の東氏と配信で対談。「安定度が高いのはビットコイン、面白い仕組みはリップル」などと言及した。

セキュリティの専門家が語る「取引所セキュリティ」の裏話

「仮想通貨」というワードを聞くと次に「セキュリティ」のことが頭をよぎるのは、先週ビットポイントの不正流出事件が発生したからだけではないだろう。過去、マウントゴックス事件を皮切りに、今回の事件を含め直近2年間では大きなハッキング事件が国内で発生している。

しかしながら、仮想通貨の理解にはその技術的理解を含むがゆえに、不正流出事件の発生要因や再発防止に関して、たとえ普段から仮想通貨に慣れ親しんでいる人であっても正しく理解している人は少ない。

今回事件を受けて、bitbankのCBO兼FLOC/ブロックチェーン大学校の校長を務める、ジョナサン・アンダーウッド氏と東氏(@Coin_and_Peace)の対談動画が、仮想通貨系の人気YouTubeチャンネル「ビットコイナー反省会」で公開された。アンダーウッド氏は同取引所でセキュリティに関する責任者を務めている仮想通貨(取引所)セキュリティの専門家だ。

今回の事件は、ビットポイントが保有するホットウォレットから計30億円相当の複数種類の仮想通貨が不正流出した。具体的な攻撃手法は公開されていないが、被害額を全額補償する旨の発表を行っている。

実は正しく理解されていないホット/コールドウォレット

一般的にホットウォレットコールドウォレットは正しく理解されていないことが多い。取引所側もコールドウォレットに顧客資産を保管しているという記述をしていても具体的にどのように保管しているのかはブラックボックスだ。

これに対してアンダーウッド氏は、ホットウォレットを「インターネットに常時接続されている場所に秘密鍵が保管されているウォレット」と定義する。通常秘密鍵を知っていれば、そのウォレットにアクセス可能であるが、その鍵(実際には文字列)がインターネットに常時接続された環境下で保管されているということを意味する。

反対にコールドウォレットは、「一度もインターネットに接続されたことのない場所に秘密鍵が保管されているウォレット」だ。同氏曰く、「一度も」という点が重要で、インターネットに接続されていないデスクトップ上であっても、過去に1回でも接続したことがあればそれはコールドウォレットとは呼ばない。

「コールドウォレットだから安全」というわけではない

では、コールドウォレットは絶対安全なのだろうか。同氏は100%安全ではないと指摘する。

そして、「デジタルセキュリティ」と「物理セキュリティ」の2つのセキュリティを考える必要性に言及する。「物理セキュリティ」とはウォレット自体やその秘密鍵を物理的に紛失するリスクや管理者が死亡したり会社がテロリストに狙われるリスクに関するものだ。

今年初めにカナダの取引所でCEOの死亡(諸説あるが)によって取引所ウォレットにアクセスができなくなったケースが報告されている。犯罪で狙われるリスクは特に取引所関係者であれば高いのは想像に難くない。実際に同氏の所属するBitbankでは秘密鍵を所持する人物同士は飛行機を別々に乗るなどといったリスクヘッジを行なっている。

不正流出事件の対策

様々なリスクがある中で、各社が対策に取り組んでいくわけだが、今後もこのようなハッキング(不正流出)事件は起こり得る。ただ、過去の事例の分析とリスク軽減に努める対策が必要だと話す。

対談内ではハッキングが起こるメカニズムとして、ソーシャルハッキングの例を挙げている。これはミートアップなどのイベントで親しくなった内部の人間へのウイルスファイルの送信やフィッシングメールを使った成りすましによるウイルスファイルの送信によって秘密鍵が盗み出されるという事例だ。

このようなハッキングは常に新しい手口が現れてくるのが一般的で、今後も新しい手口が現れてくる可能性は十分に考えられる。さらにハッカー達は新しい手口で複数の取引所に対して攻撃を行うことが多く、今回の事件はたまたまビットポイントが標的になった可能性もあると指摘する。

そのようなハッキング事件の新規性、拡大可能性を鑑みると、事件後に取引所同士が即座に情報共有することが必要だと語る。現在はそのようなことが行われていないため、別の取引所が同じ手口で狙われるリスクや、独自に情報収集を行わなければいけないコストも発生する。そのような施策は被害を最小限に抑えるという観点で非常に重要だ。

取引所が取り組むべき3つの重要事項

では、各取引所レベルではどのようなことに取り組めばいいのだろうか。アンダーウッド氏は「取引所が最低限取り組むべき3つの対策」を挙げている。

  1. 入金アドレスはコールドウォレットのアドレスを利用する
  2. ホットウォレットの資産は自己資金で対応できる額に留める
  3. 顧客からの出金要請額とブロックチェーンに記載されている額が一致していることを毎回確認する

この上で、「自分がハッカーだったらどういう手口を思いつくか」という観点を持つことが重要だと語る。

さらに同氏は仮想通貨取引所のセキュリティを扱う専門家の観点から、仮想通貨の種類によってセキュリティの観点で特徴があると話す。

セキュリティ上、一番扱いやすいコインは?

アンダーウッド氏は、上記質問に対し、「セキュリティ面で、管理がラクなのはビットコイン(BTC)だ。」とも述べ、以下のような見解を語っている。ビットコインとその派生のBCHやモナコインの場合、問題発生時でも基本的にエンジニアが慌てることがないという。

例えば、運用するノードが不安定で応答していない時に、ただのクラッシュしただけなのか外部からの攻撃なのかという状況があった場合、ビットコイン(BTC)はほぼゼロだ。他の通貨ではわからない時がある。

例えば、イーサリアム(ETH)は、秘密鍵は大丈夫だとしてもdAppsゲームなどを運用する上で必要なインフラ面(パーツ)で不安な面があった。イーサリアム(ETH)はプロトコルレイヤーのマルチシグは存在せず、スマートコントラクトレベルでマルチシグ実装はできる。オープンソース、クローズドソースだから安全ということはない。

スマートコントラクトレイヤーでコールドウォレット制御は止めておこうという判断になった。意図的に通常マルチシグは使用せず、他の対策を施している。

セキュリティ的に面白いのはXRP

また、XRPのセキュリティ面について、「XRPのマルチシグは、同じアドレスのまま、裏で同じマルチシグの権限を持っている鍵を入れ替えることができる。」と言及。

新しい鍵に入れ替えないといけない場合に、アドレスを制御するために必要なマルチシグA,B,C,Dの鍵からE,F,G,Hに入れ替えるが、マルチシグで署名すればアドレスは替わらない。「裏の鍵を自由に入れ替えることが出来る」という機能は、他の通貨でも実装できたら嬉しい点だとしている。

さらに、以下のように続けた。

例えば、ビットコイン(BTC)では、公開鍵のマルチシグスクリプトをハッシュ化してそれがアドレスになる。安全性はあるが利便性にかける部分がある。

新技術「MAST(Merklized Abstract Syntax Tree)」などで、これを緩和できる可能性がある。

不正流出事件が起こりやすい日本特有の状況

冒頭でも述べたが、過去2年で3回もの不正流出事件が日本国内で発生している。そのような状況に対しては、日本人が日本語で情報収集を行う傾向にあるので目立つだけであるというバイアスがあるものの、日本特有の注意すべき点があると述べる。

日本は事業者として運営のライセンス取得が難しいのは事実だ。しかし一方でこれは、ライセンスの要項を満たすことが目的化したり、一度要項を満たした後はそのレベルを維持するという観点が欠落するケースが多いと話す。個人情報保護法のPマークを取得した企業がそれ自体が目的化し、その後個人情報の流出被害に遭うという例をあげる。

今後、取引所側、ユーザ側双方がセキュリティに対して正しい理解を行い、常に更新される情報を正確に追求していくことが重要だ。

CoinPostの関連記事

ビットポイントのハッキング事件、攻撃手法と考えられる3つの可能性
仮想通貨取引所ビットポイントのハッキング事件、攻撃手法と考えられる3つの可能性を分析。
ビットコイン(BTC)が100万円台を維持した理由 米公聴会における温度感の変化と今後の注目点
2日連続で行われた公聴会。上院の追及内容に対し、下院では仮想通貨市場に影響が及ばなかった理由を解説。今後の注目ポイントも併せて掲載。
コメントしてBTCを貰おう
注目・速報 相場分析 動画解説 新着一覧
02/05 日曜日
11:30
ビットコインなどリスクオンムードも、上昇トレンドのモメンタムは後退|bitbankアナリスト寄稿
国内大手取引所bitbankのアナリストが、揉み合い続く今週のビットコインチャートを図解し今後の展望を読み解く。ビットコイン・オンチェーンデータも掲載。
11:00
週刊ニュース|岸田総理へのWeb3に関する質問に注目集まる
今週は、岸田総理に自民党の平将明議員がWeb3に関する質問を行ったニュースが最も多く読まれた。このほか、仮想通貨イーサリアムの供給量が純減したことなど、一週間分の情報をお届けする。
02/04 土曜日
15:00
ビットコイン・レイク体験記寄稿3
ビットコインが法定通貨になったエルサルバドルを訪問し、街での買い物や地元民との交流を元に執筆された、ビットコイン研究所の練木照子氏による寄稿記事。エルサルバドルにおけるギャング対策について言及。
15:00
イーサ「再ステーキング」企業、EigenLayerが65億円調達へ
仮想通貨イーサリアムの“再ステーキング”プロトコルEigenLayerが、65億円の資金調達を進めている。イーサリアムのバリデーターにとって、ステーキング報酬を2重に得られるため、資本効率を高める手段として期待される。
13:00
バイナンス CBDCテストにBNBチェーンの環境を提供
バイナンスとカザフスタンがCBDCで協力して実証実験を行うことが決まった。カザフスタンのCBDCは現在実証実験の段階にある。
11:00
バイナンス、韓国市場へ再進出 GOPAX株式取得で
最大手仮想通貨取引所バイナンスは、韓国市場へ再進出すると発表した。取引所GOPAX株式の多くを取得した格好だ。また、インドWazirXへのウォレット提供を止めることも報告している。
10:05
イーロン、ツイッターの収益シェア導入を発表
米ツイッター社のイーロン・マスクCEOは、広告収益の分配を有料ユーザー向けに開始したことを発表した。Twitter Blueプラン加入ユーザーのみが対象。返信欄で表示される広告の収益の一部を受け取ることとなる。
08:26
グーグル親会社「企業のミッション達成にAIは非常に重要」
グーグルの親会社アルファベットは、2023年1月分の決算報告から、AI事業の一部に関する記載を明確化すると説明。この変化は、アルファベットがAI事業を強化していることを示唆していると指摘されている。
07:25
米ナスダック・ビットコインなど反落 ドル急伸
本日のニューヨークダウやナスダックは反落。米強い雇用統計を受け米国債相場の急落に伴い利回りは急伸し、株式市場や仮想通貨市場は下落した。
02/03 金曜日
16:25
イーサリアム、上海アップグレードに向けて3回テストを予定
仮想通貨イーサリアムのコア開発者グループは定期会議を実施。メインネットでの上海アップグレードは最短で3月中旬に実施可能になるとの見解も出ている。
14:15
FTX Japanの事業売却、入札期限が延長
経営破綻した仮想通貨取引所FTXの事業売却について、日本法人「FTX Japan」などの入札プロセスが1か月ほど延長された。FTXは「合理的なビジネス上の理由」と述べており、有利な入札条件を集めるねらいがあるようだ。
13:30
史上最大4MBのビットコインNFTがミント、コミュニティは賛否両論
仮想通貨開発者のUdi Wertheimer氏は、ビットコインマイニング会社Luxor Miningの協力を得て、史上最大のBTCブロックを占めるNFTの鋳造に成功したと発表した。
12:33
メタマスク、プライバシー機能を拡張
仮想通貨ウォレット最大手Metamaskは、RPCネットワークの変更機能を設置した。また、フィッシング詐欺の検出や着信トランザクション通知などを行うサードパーティサービスを使用するトグル機能を追加した。
12:15
抵抗線で揉み合うビットコイン、移動平均線のゴールデンクロス迫る
ダウ反落を受け3日にかけて暗号資産(仮想通貨)市場も反落。ビットコインは50MA(中期移動平均線)と200MA(長期移動平均線)のゴールデンクロスが迫っている。
11:50
米マイクロストラテジー、ビットコイン保有で250億円の減損計上
米上場企業マイクロストラテジーは2022年第4四半期の決算を報告。財務資産として保有する仮想通貨ビットコインについて約254億円の減損を計上している。

通貨データ

グローバル情報
一覧
プロジェクト
アナウンス
上場/ペア
イベント情報
一覧
2023/02/07 17:00 ~ 18:00
その他 東京都港区虎ノ門/オンライン
2023/02/09 19:00 ~ 21:00
その他 オンライン
2023/02/10 ~ 2023/02/11
その他 羽田空港第1ターミナル6階 ギャラクシーホール・5階LDHキッチン/オンライン
2023/04/14 ~ 2023/04/16
その他 未定
重要指標
一覧
新着指標
一覧