暗号資産取引所のセキュリティ対策、過去の大規模ハッキングから学ぶ
暗号資産取引所は、ビットコインやアルトコインを簡単に売買できる便利な入口です。一方で、利用者の資産と個人情報が集まるため、サイバー攻撃の標的にもなります。取引所の管理体制に問題があれば、利用者が適切にパスワードを設定していても、預けた資産が流出する可能性があります。
過去の大規模なハッキング事件を振り返ると、原因は単純な「ハッカーの技術力」だけではありません。秘密鍵の管理、ホットウォレットへの資産集中、内部統制、出金監視、利用者への情報開示など、複数の弱点が重なって被害が拡大しています。事件から得られる教訓を知ることは、取引所選びと自己管理の両方に役立ちます。
大規模ハッキングで明らかになった共通点
暗号資産取引所への攻撃では、秘密鍵の流出が極めて重大な意味を持ちます。秘密鍵はブロックチェーン上の資産を移動させるための認証情報であり、これを第三者に奪われると、銀行のように取引を取り消すことが困難です。秘密鍵をオンライン環境に置くホットウォレットは、入出金の処理が速い反面、外部からの侵入リスクを抱えています。
2014年に経営破綻したマウントゴックスでは、大量のビットコインが失われ、取引所の資産管理や残高把握に対する信頼が大きく揺らぎました。原因をめぐっては複数の要素が指摘されていますが、顧客資産と事業者資産の管理、取引記録の検証、内部統制の重要性を示す事件でした。取引所に資産を預ける行為は、単なる売買注文ではなく、カストディを事業者に委ねる行為でもあります。
2018年のコインチェック事件では、約580億円相当のNEMがホットウォレットから流出しました。多額の資産をオンライン環境で管理していたことや、マルチシグなどの防御策が十分でなかった点が問題視されました。この事件を機に、日本では暗号資産交換業者への規制や監督が強化され、顧客資産の分別管理やセキュリティ対策がより重視されるようになりました。
事件から読み解く取引所の防御策
安全性の高い取引所は、すべての資産を一つのウォレットに集めません。日常的な出金に必要な分だけをホットウォレットに置き、大部分をインターネットから隔離したコールドウォレットで保管します。さらに、秘密鍵を複数に分けて管理するマルチシグや、複数担当者による承認を組み合わせれば、単一の端末や従業員が侵害されても即座に全資産が動かされるリスクを抑えられます。
ただし、コールドウォレットを導入しているという説明だけで、取引所を安全と判断するのは早計です。鍵のバックアップ、保管場所、復旧手順、権限管理、定期的な監査まで確認して初めて、実効性のあるセキュリティ対策になります。外部の専門会社による監査や、脆弱性を発見した人に報奨金を支払うバグバウンティ制度も、継続的な防御力を測る材料です。
取引所を比較するときは、手数料や取扱銘柄だけでなく、資産保全とインシデント対応の仕組みも見ておきましょう。大規模攻撃の被害では、侵入そのものより、異常な出金を止めるまでの時間や、利用者への通知が遅れたことが問題になる場合があります。
| 確認項目 | 望ましい対策 | 利用者が見るポイント |
|---|---|---|
| 資産保管 | コールドウォレット中心の分散管理 | 保管方針が具体的に説明されているか |
| 秘密鍵 | マルチシグ、権限分離、厳格なバックアップ | 単一担当者に権限が集中していないか |
| 出金管理 | アドレス登録、複数承認、異常検知 | 高額出金に追加確認があるか |
| 顧客資産 | 分別管理、残高照合、監査 | 法令に沿った管理体制が開示されているか |
| アカウント保護 | 二要素認証、出金制限、通知機能 | 利用者自身が設定を変更できるか |
| 事故対応 | 監視、停止手順、補償方針、情報開示 | 過去の障害や事故の説明が明確か |
利用者が設定すべきアカウント防御
取引所側の対策が強固でも、利用者のアカウントが乗っ取られれば資産を失う可能性があります。メールアドレスとパスワードの使い回しは避け、暗号資産取引専用のメールアドレスを用意するのが基本です。パスワードは長く、他のサービスで使っていないものにし、パスワードマネージャーで管理すると安全性を高められます。
二要素認証では、SMSよりも認証アプリやセキュリティキーの方が、SIMスワップ攻撃への耐性を持ちやすい傾向があります。ログイン通知、出金通知、アドレス変更通知も有効にし、身に覚えのない通知を受け取ったら、リンクを開かず公式アプリやブックマークからログインして確認します。取引所を装ったフィッシングサイトは、検索広告やSNSの投稿を経由して表示されることもあります。
日常的に実行しやすい対策を、優先順位の高い順に整理すると次のようになります。
- 取引所ごとに異なる長いパスワードを設定する
- 認証アプリまたはセキュリティキーで二要素認証を有効にする
- 出金先アドレスのホワイトリストを登録する
- ログイン、出金、設定変更の通知をオンにする
- OS、ブラウザ、ウォレットアプリを常に最新状態にする
- リカバリーフレーズを写真やクラウドに保存しない
資産を長期保有する場合、取引所に全額を置き続けないことも重要です。自己管理型ウォレットへ移すと、取引所の破綻リスクやアカウント凍結リスクを減らせますが、秘密鍵やリカバリーフレーズを紛失した場合は自分で復旧できません。保管方法を選ぶ際は、利便性だけでなく、送金テスト、バックアップ、相続や緊急時の手順まで考える必要があります。
破綻と流出を区別してリスクを判断する
暗号資産の損失は、外部からのハッキングだけで発生するわけではありません。2022年のFTX破綻では、顧客資産の管理や企業統治、関連会社との資金関係が大きな問題になりました。これは典型的な秘密鍵流出事件とは異なりますが、取引所に資産を預ける場合、サイバーセキュリティと財務健全性を切り離せないことを示しています。
また、2022年のRonin Networkへの攻撃では、バリデーターの認証情報が悪用され、約6億ドル規模の暗号資産が流出しました。ブロックチェーン関連サービスでは、取引所本体だけでなく、ブリッジ、カストディ業者、API、外部委託先などが攻撃経路になることがあります。サービス全体の接続関係が複雑になるほど、最も弱い部分が大きなリスクになります。
利用者が確認しやすい情報を整理すると、次のような項目が挙げられます。
- 金融庁への登録状況と運営会社の所在地
- 顧客資産の分別管理やコールド保管に関する説明
- 過去の障害、流出、出金停止に関する公表履歴
- 事故発生時の補償方針と問い合わせ窓口
- 取引所が利用するカストディや外部サービスの情報
- 取引量急増時にも機能する出金監視と本人確認体制
完全にリスクをなくせるサービスはありません。重要なのは、リスクを隠さず、障害や攻撃の事実、対応の経過、再発防止策を説明できる事業者を選ぶことです。歴史上の出来事を記録する場所が、失われたものと向き合う手がかりになるように、失われた記憶の記録にも通じる姿勢が、暗号資産の事故対応にも求められます。被害を小さく見せるのではなく、事実を残し、同じ弱点を繰り返さないことが信頼につながります。
取引所を使い分けるための実践的な考え方
取引所には、売買の流動性、手数料、取扱銘柄、入出金の利便性など、それぞれ異なる特徴があります。短期売買に必要な資金と、長期保有する資産を同じ場所に置く必要はありません。複数の登録事業者に分散し、取引に使う分だけを口座へ入れることで、単一サービスの障害や不正アクセスが与える影響を限定できます。
ただし、分散しすぎるとパスワードや二要素認証の管理が複雑になり、設定ミスを招くことがあります。利用する取引所を絞り、各口座の資産残高、認証方法、出金先、緊急連絡先を安全な方法で記録しましょう。定期的に少額の出金テストを行い、アドレスやネットワークの指定を誤らないことも大切です。
ハッキング事件のニュースを見たときは、SNSの未確認情報だけで売買を急がず、取引所の公式発表、規制当局の情報、ブロックチェーン上の送金状況を確認します。出金停止や本人確認の強化が行われている場合、焦って別のサービスへ移すと、フィッシング詐欺や偽サポートの被害に遭うことがあります。
過去の事件が教えるのは、セキュリティを一度設定すれば終わりという事実ではありません。取引所の管理体制、利用者の認証、資産の置き場所、情報収集を定期的に見直す必要があります。まずは利用中の口座で二要素認証と出金通知を確認し、長期保有分の保管方法を決め、公式情報を基準に取引所の安全性を点検してください。**
