仮想通貨の漏洩は防げるか＝CGTFイベントレポート
- 仮想通貨業界の利用者保護
- 仮想通貨の利用者保護のリスク管理のため、安全対策基準を策定することを目的として設立された団体がミートアップを開催。セキュリティ対策やプライバシー保護等をテーマに、意義深い講演やディスカッションが行われた。
仮想通貨業界の安全対策
仮想通貨（暗号資産）の利用者や消費者保護のリスク管理のため、安全対策基準を策定することを目的として設立されたCryptoassets Governance Task Force（CGTF）が、8月8日に『CGTF meet up #1』を開催した。
CGTFは、セキュリティの専門家と仮想通貨交換業者の関係者で構成される研究会だ。正式な金融当局や自主規制団体による検討に先立って、関連する規制や国際標準、またベストプラクティスなどを整理しながら、実効性のある安全対策基準の策定に資する技術情報を提供することを目的としている。
本イベントでは、これまでのCGTFの活動内容や研究成果の発表、仮想通貨漏洩に関するパネルディスカッションが行われた。
パネルディスカッションのモデレーターは、日本仮想通貨交換業協会（JVCEA）理事も務めるCGTFの楠正憲氏が務めた。パネリストは以下のメンバーである。
- ジョナサン・アンダーウッド氏（FLOCブロックチェーン大学校校長・ ビットバンク株式会社チーフビットコインオフィサー）
- 日向理彦氏（フレセッツ株式会社代表取締役CEO兼CTO）
- 松尾真一郎氏（CGTF/ジョージタウン大学）
- 佐藤雅史氏（CGTF/セコム株式会社 IS研究所）
- 中島博敬氏（CGTF/株式会社メルカリR4D）
鍵を扱うサービスに関する調査
本イベントでは、「仮想通貨の鍵を取り扱うサービスに関する調査 中間報告」を発表するため、株式会社メルカリR4D リサーチャーの栗田青陽氏が登壇。本発表の内容は、栗田氏の個人的見解であり、所属する組織やCGTFの公式見解ではないと前置きした上で発表を始めた。
第198回通常国会で、仮想通貨カストディが規制の対象になり、仮想通貨の管理に関わる新たな義務や規定が追加された（仮想通貨を取り扱う業者と定義）。栗田氏の調査では、日本の仮想通貨カストディアンでは、国内の取引所に上場している銘柄よりも多くの種類の仮想通貨が扱われていることが分かっている。
仮想通貨の売買は行わなくても管理と移転を行う以上、仮想通貨カストディアンにも仮想通貨の流出や業者破綻のリスクがあり、マネーロンダリング対策やテロ資金供与対策を行わなくてはならない。仮想通貨交換業者同様のリスクがあるため、金融活動作業部会（FATF）も、マネーロンダリングやテロ資金供与の規制対象にするよう勧告している。
このような観点から、仮想通貨カストディの実態を調査することに一定の重要性があると栗田氏は考えた。少額送金サービスやスマートフォンウォレットアプリの提供など、国内にどのような業態が存在するか、また高額送金の規模や仮想通貨の預かり総額など、取引や運営の実態等について過去に調査を実施している。
そして現在は、仮想通貨や秘密鍵の取り扱い方法に着目してリスクを検討し、事業やサービスの形態に応じて要求すべき内容を考察している。現時点では中間報告ではあるが、鍵の取り扱いについて様々な例を紹介していった。以下のスライドは一例だ。
今回の発表のまとめとして、「共有や暗号化、マルチシグ等を考慮したリスク分析や義務の検討の際の留意点」を紹介。「仮想通貨流出リスクや業者破綻のリスクは、事業者が仮想通貨の移転に必要な情報を全て持っている場合に生じると考えられる」など、以下の5項目を留意点に挙げた。（※スライドを参照）
共有や暗号化、マルチシグ等を考慮したリスク分析や義務の検討の際の留意点
- 鍵を取り扱う場合も、流出・破綻リスクがないケースも存在する
- 流出・破綻リスクは、事業者が暗号資産の転移に必要な情報を全て持っている場合に生じると考えられる
- 事業者に流出・破綻リスクがある場合も、事業者が独立した暗号通貨管理権を有しているとは限らない（顧客とのマルチシグや鍵の共有等）
- 鍵がデータとして保管されている場合もある
- セカンドレイヤーやサイドチェーン等の技術で残高や鍵を取り扱うケースを考慮する必要がある
２つ目のケースでは、鍵が暗号化されたデータで、自身で復号化ができない場合は流出リスクが低いとする見解が述べられたほか、鍵をどこで生成するかやマルチシグをどのように形成するか、どのように暗号化または秘密分散するか、どこで復号するかを検討する必要があるとの留意点も述べられた。
流出・破綻リスク以外のリスク
また流出と破綻以外のリスクについても、以下の3点に言及。事業者が預かる秘密鍵が、顧客のみが知るパスワードで暗号化されていても、パスワードに十分な強度がなければ、事業者からデータが漏洩した場合に、鍵が複合されて仮想通貨が流出する可能性があること等を説明している。（スライドを参照して作成）
- 事業者が預かる秘密鍵が顧客のみが知るパスワードで復号化されていても、パスワードに十分な強度がなければ、事業者からデータが漏洩した場合に鍵が復号化されて暗号資産が流出する可能性がある
- 事業者がデータを失うことや、事業者が顧客の指示に応じないことで、顧客の資産を移転する手段が失われる可能性がある
- マネーロンダリングやテロ資金供与は、暗号資産を管理するのが事業者かどうかに関わらず、常に行われる可能性がある
その上で、流出・破綻リスクの観点からは、規制の対象とならない場合も、顧客にとって重要なデータを扱う場合や、価値の移転に関与する場合は、適切なセキュリティ対策やログの取得と十分な期間の保管がなされることが重要だと説明した。
仮想通貨流出事案の原因
パネルディスカッションでは、過去に発生した仮想通貨流出事件の原因を日向氏が解説した。原因を分類すると、以下のようになる。
- アドレス改ざん（中間者攻撃）
- 脆弱な乱数の利用
- 再送金攻撃
- ウォレットのセキュリティに対する過信
- 内部犯行
- ソーシャルハッキング
この中から、パネルディスカッションで出た話を元に「ウォレットのセキュリティに対する過信」を取り上げたい。これは、既存製品やサードパーティ製のウォレットを過度に信頼したことが原因でハッキング被害に遭うことだ。
ある香港の取引所が、第三者サービスとのマルチシグアドレスで、ユーザーの全残高を管理していた。マルチシグではあるものの、実態はホットウォレットで管理していたため、取引所のサーバーがハッキングされて顧客の資産が流出。「マルチシグだから安全」という過信が原因の1つと日向氏は解説している。
日向氏は、ウォレットに対する経営者および技術者の正しい理解と利用方法の徹底が必要と、対策を提示した。この指摘は佐藤氏からもあり、「マルチシグだから大丈夫ということではなく、統合的な視点で安全対策をすることが必要だ」と述べている。
仮想通貨の流出を防ぐために、総合的にセキュリティを高めることの難しさについては、複数声が挙がった。松尾氏は「今日実施したセキュリティ対策も、明日には破られるかもしれない。定期的な見直しが必要だ」と語っている。定期的な見直しの必要性にはジョナサン氏も同意。「実施すべき項目を箇条書きして、それだけを行えば良いというものではない」と語った。
またコールドウォレットの安全性も絶対ではないという声も聞かれた。ジョナサン氏は、コールドウォレットにも限界はあると話す。イベント後の懇親会で楠氏は、仮想通貨業界がまだ新しいことを指摘した。知識が十分ではないベンチャー企業が扱うコールドウォレットは、流出リスクが高い可能性があると語っている。
ディスカッションの中では、流出事件が起きた後に、原因等の詳細が業界で共有されないことを問題視する声も多かった。日向氏が関係者に尋ねても「警察に止めらている」などと言われ、詳細を教えてもらえなかったことがあるという。楠氏も「2018年9月に起きた仮想通貨取引所Zaif（ザイフ）の不正流出の原因を今でも知らない」と話した。
プライバシー保護について
本ディスカッションでは、プライバシー保護についても議論された。
FATFは今年の6月に、仮想通貨の監督法を明確にするためのガイダンスを発表している。仮想通貨プロバイダー（VASP）に関して各国は、仮想通貨取引における送金の受益者（受取側）が利用する機関が、それらオリジネーター（送金者）の情報と受益者の情報を受け取り、必要な情報を保持しているかを確認すべきだと指示した。必要な情報には送金者と受取側双方の氏名と口座番号（ウォレット等）、また送金者の住所等が含まれている。
一方でジョナサン氏は、「取引所が個人情報を送らなくても識別子を共有すれば、万が一疑わしい取引があれば、警察は識別子を元に取引所に照会をかけることができる」と解説している。この発言に対し松尾氏は、こういう意見を議事録にとって、公開しておくべきだと思うと語った。
そして松尾氏は、「ブロックチェーンを使った新しい金融の仕組みは、法律が整備される前にプログラミングコードが出てくるので、法律で縛るのは難しい。政府も規制しきれないことを薄々分かっているので、インターネットができた時と同じように、政府と業界の人々が同じ場で議論しようという流れになってきている。様々な人が所属を捨てて個人として話し、FATFの人に見えるところにアウトプットしていくことが建設的だ」と説明している。
まとめ
仮想通貨業界にはまだ課題が多いことを痛感するイベントではあったが、明るい話も出た。
中島氏は、以前はインターネットの規格に関する国際会議などでブロックチェーンに関する発表があると、すぐ「電気代がかかる」などと言われていたという。しかし今は、エンジニアコミュニティとしてこうした問題に取り組むべきという意見がみられると説明し、周囲の意識に変化を感じていると語った。規制などの議論がなされるようになってきていることも大きいと、前向きな姿勢を示している。
日向氏は「現状としてハッキングは繰り返されているが、その分、知見はたまってきている。数年かかるかもしれないが、状況は改善されていくだろう」と語った。
画像はShutterstockのライセンス許諾により使用
「仮想通貨」とは「暗号資産」のことを指します