仮想通貨の流出はどうして起こってしまうのか

仮想通貨に使われるブロックチェーンは、その構造から不正に改ざんできない仕組みになっているとされ、それが仮想通貨の信用性につながっていました。

しかしハッカーたちは仮想通貨そのものではなく、仮想通貨が集まる取引所の「セキュリティの脆弱性」を狙っています。

すなわち仮想通貨自体に何らかの構造的欠陥があったわけではなく、流出事例の大半は取引所側の管理体制に問題があったものといえるわけです。

取引所側がどう仮想通貨を保管しているのか、その詳細はトレーダーに100％公表されているわけではないため、今のところ「問題を起こしていない取引所を選んで取引する」ことしか対処法がありません。

仮想通貨流出は国内外問わず起こっており、日本での代表的な事件としては、マウントゴックス事件やコインチェック事件、ザイフ事件などが挙げられます。

2018～2019年にかけて流出事件は起こっており、仮想通貨取引の安全性に疑問を抱かざるをえない状況となっています。

なぜ、仮想通貨は流出してしまうのでしょうか。

今回は、その理由について考えてみたいと思います。

仮想通貨が流出するとはどういうことか

そもそも、仮想通貨が流出するということは、仮想通貨が何者かに盗まれてしまうことです。

この状況を銀行に置き換えると、銀行に強盗や窃盗団が入り、預けていたお金が金庫から盗まれてしまう状況ですから、事態はかなり深刻な話です。

本当に銀行でそのような事態が起これば、セキュリティを大いに疑われるだけでなく、銀行そのものの社会的立場もなくなってしまいます。

もちろん仮想通貨取引所でも深刻さの度合いは変わらないため、関係者は当然猛省しているものと思われますが、流出が度重なれば、取引所として本当に危機感を覚えているのかどうか怪しく感じられます。

ハッカーなどが仮想通貨を盗もうと試みる場合、当然ながら仮想通貨取引所に直接足を運ぶわけではありません。

PCから仮想通貨取引所のサイト等にアクセスして、仮想通貨を奪います。

このとき、仮想通貨本体に何らかのアクションをかけることは、ハッカー側もリスクが高い行為だと知っています。

そもそも改ざんが難しい構造になっているものを何とかするよりも、取引所に保管されている仮想通貨を盗む方が効率のよい方法だと知っているのです。

仮想通貨はどのように流出するのか

仮想通貨は、送金する際に「秘密鍵」という英数字の羅列を使っています。

この鍵を通じて、仮想通貨を別の口座へ移動させる仕組みです。

ということは、秘密鍵の情報さえ分かれば、ハッカーは他人の仮想通貨を自由に送金できます。

よって、仮想通貨取引所のセキュリティにおいて問題となるのは、この秘密鍵の取り扱いなのです。

仮想通貨取引所は、多くの顧客の仮想通貨を預かっている立場です。

よって、秘密鍵の情報が集まるところをハッカーは狙います。

秘密鍵を手に入れるために、ハッカーはいくつかの手法を用います。

それは罠に近いようなものですから、取引所はもちろんのこと、ユーザーも注意しなければなりません。

よく話題に上る手口のハッキングは、本来「PCに関する高度な技術を用いて、何らかの調査・研究をすること」という意味です。

いわゆるソフトウェアの改ざんや、他者のPCへの不正侵入のことは「クラッキング」と呼ばれます。

パスワードを盗み取ったり、マルウェアに感染させたりする手法が有名です。

ハッキングは主に仮想通貨取引所を狙ったものですが、ネット上で不特定多数のユーザーに嘘のサイトをクリックさせ、秘密鍵の情報を奪おうとする手法もあります。

これはフィッシング詐欺などと呼ばれ、一時期クレジットカード番号を取得するのに使われていたことが話題になりました。

上記のような手法を用いて、ハッカーは何とかして秘密鍵を手に入れようとしているのです。

仮想通貨取引所側の問題は、社内全体の「思い込み」かも

ハッカー側の基本的な手法は上記のようなものですが、手法は分かっていたにもかかわらず、結果的に仮想通貨取引所からコインは流出してしまったため、事件になってしまいました。

これは、仮想通貨取引所側の技術や管理体制が、ハッカーの能力に追い付いていないという意味なのでしょうか。

それとも、別に根本的な問題があったのでしょうか。

原因は一つではないため、一概にまとめることはできないものの、可能性として考えられるのは運営側の「思い込み」です。

部外者が入り込むことのない環境で、全員が同じ問題に取り組んでいると、思考も全員同じようになってしまい、新たな視点や発見が無くなってしまう傾向があるそうです。

もし「この体制であれば突破されることはない」と考えてしまっていたとすれば、このような状態に陥っていたのかもしれません。

コインチェック事件を例に取ると、資産管理にコールドウォレット非対応だったことが問題になりました。

ただ、全ての仮想通貨が非対応だったわけではありません。

流出したのはNEMで、ビットコインについては流動しない分をコールドウォレットで管理していました。

NEMがなぜコールドウォレットに対応できなかったかについて、コインチェック社側はシステムの性能に不足があったことを認めています。

ただ、不足があったにもかかわらず性能の向上につとめなかったのは、会社としてずさんだったと言わざるをえません。

悪意のある人間が一度認証を突破してしまうと、すぐに目的が達成されてしまうようなシステムは、厳しい言い方をすれば欠陥品です。

おそらく、組織内部においては通信経路の暗号化に自信があったのかもしれませんが、その技術は絶対ではないはずです。

外部から問題を指摘されないことが、社内全体のセキュリティを低下させてしまう一因なのかもしれません。

万一突破されたあと、どのように対応するか

仮想通貨取引所側としては、ハッカーに認証突破されないだけでなく、万一突破されてしまった場合にどうするかも考えておくべきです。

具体的には、送金時に「ひと手間」かけなければ送金できないシステム体制にするなどの対応策が必要です。

特に、コインチェックについて言えば、そもそもの流出原因は従業員のPCに送られたメール経由でのマルウェア感染が疑われています。

また、意図的に複数の社員に送られていることから、その時点でコインチェックを狙ったことは明らかです。

つまり、突破されてからどうするかという課題について、社内に問題意識がなかった状況が考えられます。

セキュリティを高めることは確かに大事ですが、防波堤だけを高くするだけでは、波が入って来てから対応できません。

高さだけでなく、防波堤自体の強さも確保しなければなりませんし、万一に備え避難勧告をどうするのかも考えておく必要があります。

マルウェアの感染が避けられないリスクがあると想定し、万一感染した際にどうやって顧客の財産を守るかを考えなければ、真の意味でのセキュリティとはいえません。

自分たちの「想定外」が起こることを想定しつつ、システムを構築することこそ、今後の仮想通貨取引所に求められているスタンスではないでしょうか。

おわりに

今回はコインチェック事件を例に考察してきましたが、どの仮想通貨取引所にとっても、この事件は対岸の火事ではありません。

コインチェック事件が起こったのは2018年1月のことですが、それから2月にはイタリア、6月には韓国、9月には日本のザイフまでが流出の事態を招きました。

今あるセキュリティ・暗号技術がどんなに最新のものであっても、その技術は人間が作ったものである限り、いつかは人間によって突破される可能性があります。

また、業者経由ではなくユーザー経由での突破リスクも考え、ユーザーの危機管理について警鐘を促す努力も必要でしょう。

ユーザーとしてできることは、システムから離れた場所（オフライン）で仮想通貨を保管するコールドウォレットが有効です。

自分自身で、保管体制が整っていると納得できる取引所をして選ぶ以外に、今のところ安心できる方法はないのかもしれません。