田上智裕coingeゲストライターの田上です。仮想通貨取引所Coincheckで管理していた、仮想通貨NEMが何者かによって不正送金されるという事件が起きました。DAOやShapeShift、Bitfinexなどが被害に合っています。その中でもみなさんの記憶に残っているのはやはり、Mt.Gox(マウントゴックス)でしょう。Mt.Goxは、今回のCoincheckと同じく日本の渋谷を拠点としていました。被害総額ばかりに注目が集まっていますが、日本が仮想通貨市場に与える影響力が非常に高まっている、ということにもっと意識を向けるべきです。DAO事件を経験しています。そこから何を学んだか、今回のCoincheckの件では何が起きたのか、今後利用者はどうしていくべきか、事件の本質を考えていきたいと思います。※本記事内では会社名コインチェックと取引所名CoincheckをいずれもCoincheckと表記します。我々は過去から何を学んだのかリテラシーの低さが露呈した記者会見Coincheck事件のあらまし事件の全容まずは今回の事件では何が起きたのかについて改めて説明します。Coincheckの発表によると、1月26日の午前3時頃に事象が発生し、異常を検知したのは事象発生から約9時間後の11時半頃とのことです。その後のCoincheckの一連の対応は以下のようになっています。原因や再発防止策に関しては現在検討中とのことです。(執筆時点:1月28日0時頃)その後、同日23時半頃より、Coincheck代表取締役社長の和田氏と同取締役の大塚氏、弁護士の堀氏による緊急記者会見が行われました。記者会見は約1時間半にも及び、終始、事件の本質とは明らかにずれている質問が飛び交うなど、時間、内容共に異例の会見となったように感じました。Coincheckの対応また、記事執筆中の1月28日0時頃、Coincheckより被害者への補償方針が発表されました。発表によると、NEMの保有者全員(約26万人)に、日本円で返金するとのことです。以下、詳細を一部抜粋して掲載しています。補償方法:NEMの保有者全員に、日本円でコインチェックウォレットに返金いたします。今回の一連の対応について、Coincheckは尽くすべき最善の対応を行ったと筆者は考えています。これは、Coincheckを擁護しているわけではありません。後述しますが、NEMの管理方法に問題があった点はしっかりと追及すべき部分であります。会見で和田氏が仰っていた通り、利用者保護を最優先するという方針を、翌日すぐに実際に行動に移せたことは客観的にみて素晴らしい対応だったと考えています。盗まれたNEMはどこにいったかさて、Coincheckにばかりに非難が集まっていますが、本当に悪いのはクラッカー(犯人)であることはいうまでもありません。気になるのは盗まれたNEMは今どこにあるのか、返ってくるのかだと思います。周辺事情も交えて言及していきます。盗まれたNEMの所在は把握されているブロックチェーンの特徴ともいえるトレーサビリティ(追跡可能性)により、クラッカーが使用したとされるウォレットは特定されています。XEMBookというNEMの取引を可視化したサービスで確認したところ、1月26日の午前0時頃を皮切りに事象が発生しているように見えます。NEMの取引履歴を可視化したサービス「XEMbook」よりこちらはクラッカーが使用したとされているウォレットの取引履歴です。入金元のウォレットを確認したところ、Coincheckが使用していたとされるウォレットであったため、午前0時20分までに約5億xem(NEMの単位)が流出したと考えられます。その後、午前3時頃に別のウォレットへほぼ同額を出金していることがわかります。出金先のウォレットは全て異なるものでした。クラッカーはCoincheckから盗んだNEMを複数のウォレットに分散したと考えられます。所在が分かっても犯人は特定困難ここで基本的なおさらいですが、ブロックチェーンの機能により特定のNEMがどこにあるのかはわかります。「所在がわかるならクラッカーを捕まえればいいのでは」という疑問を抱く人もいるかと思います。ウォレットと個人情報は紐づいているわけではないので、どこにあるのかがわかっても、誰が持っているかはわからないのです。こちらのウォレットには、1月26日より前の取引履歴が確認できなかったため、おそらく今回の犯行のためにクラッカーが新しく用意したものと考えられます。盗まれたNEMは返ってくるのかこれは、無難な意見になりますが、全くわかりません。理由を少し説明します。Coincheckはあくまで取引所であり、NEMの運営者ではありません。NEMはBitcoin同様、ブロックチェーンプロジェクトであるため特定の運営者はおらず、NEM財団という組織が中心となって運営しています。NEM財団の対応ハードフォークは行わず今回の事件を受けて、一部でNEMがハードフォークするのではないか、という憶測が生じましたが、NEM財団のメンバーAlexd氏がハードフォークは実施しない声明を発表しています。不正送金に対処するハードフォークとはどういうことか簡単に説明すると、NEMが不正送金される前の状態にブロックチェーンを戻す、ということになります。実は似たような事件がEthereumでも過去に起きています。DAOというEthereumのブロックチェーンを使ったプロジェクトで、今回と同様に不正送金され、その際は被害額が大きかったことによりハードフォークを実施しました。そのハードフォークの成功によってEthereumは不正送金が行われる前の状態に戻されたということになります。Ethereumのコミュニティはハードフォークを行う決断をしましたが、今回NEMではハードフォークを行わない決断がされました。mosaicによる追跡ハードフォークを行わなかったNEM財団ですが、今回不正送金に使用されたウォレットにmosaic(モザイク)という目印をつけて、そのウォレットを経由したNEMを追跡できるようにしています。mosaicを付与することで、不正送金に利用されたNEMを特定し、今後の利用を制御することができるということです。一部で、NEM自体にmosaicを付与するという情報が流れていましたが、これは誤りで、上記の通りウォレットにmosaicを付与しています。(JK17)」さんというNEM財団に協力なさっている技術者の方が対応を開始し、その後NEM財団に引き継いだようです。NEMには日頃から活発的なコミュニティが存在しており、彼らのこういった迅速な対応により、二次災害の発生可能性を抑えられたと考えられます。前置きが長くなりましたが、上記の通り、該当のNEMを特定し利用を制限したところで、返す返さないの判断はクラッカーにしかできません。そのため、「こんな使えないNEM持っててもしょうがないから返すかー」と思ったら返ってきますが、「こんな使えないNEM持っててもしょうがないから放置だー」と思ったら返ってこないのです。”mosaicの付いた5億NEMを、mosaicの付いていない1000万NEMと交換しよう”といった交渉をクラッカーに持ちかけることはできますが、いずれにせよ、返ってくるか否かはクラッカー次第ということになります。以上が、今回の事件の全容になります。今回の事件は起きてしまったのでしょうか。今後、同じことを繰り返さないためにはどうすればいいのでしょうか。事件の本質的な管理問題と共に説明していきます。話題になったマルチシグまずは、記者会見でも何度も繰り返し飛び交っていたマルチシグ(マルチシグネチャの略)についてです。マルチシグは今回の事件の本質的な問題ではないのと、他に有益な説明記事がありますので、詳細は省略して簡単に説明します。マルチシグとは、秘密鍵を複数に分けて、ブロックチェーンへのアクセスの際には一定数以上の秘密鍵を必要にする仕組みです。することで、もし1つの秘密鍵が外部に流出したとしても、他の秘密鍵がないとアクセスできないため、セキュリティが高まるということです。今回Coincheckは、利用者から預かっていたNEMをマルチシグ対応していない状態で保管していました。それはそれで追及される点ではあるのですが、マルチシグはできるならした方がいい程度であり、今回はマルチシグが問題の本質だったわけではありません。記者会見で質問していた記者の方々が、なぜあそこまでマルチシグに関して固執していたのかは釈然としません。今回の問題本質は、NEMを保管していたウォレットがネットワークに常時接続されている状態にあったことです。ホットウォレットとコールドウォレット先述した通り、今回最も問題だったのは、NEMを保管していたウォレットが常時ネットワークに接続した状態であったことです。このような状態のことをホットウォレットといいます。対して、ネットワークから隔離された状態、つまりオフラインの状態で管理するウォレットのことをコールドウォレットといいます。まとめホットウォレットネットワークに接続されているオンライン状態のウォレットコールドウォレットネットワークから切断されているオフライン状態のウォレット通常、多額の仮想通貨を保管する際はコールドウォレットで管理するのが望ましいです。今回Coincheckは、コールドウォレットではなくホットウォレットの状態であったために、クラッカーによる不正送金が発生してしまったということになります。ホットウォレットで管理していた理由コールドウォレットの方がセキュリティが高いことを先述しましたが、なぜCoincheckはホットウォレットでNEMを管理していたのでしょうか。その理由には”技術的な難しさ”と”利用者の使いやすさ”の2点が関係していると考えられます。1.技術的な難しさまず技術的な観点ですが、コールドウォレットは、ウォレットの生成からトランザクションの作成、電子署名までをオフラインの状態で行うことになります。このときに難しいとされているのが、オフラインの状態で作成された電子署名をオンラインの状態に移行することです。記者会見で和田氏が、技術者が不足していたと繰り返し話していましたが、おそらくこの部分への対応が難しく、事件発生までに間に合わなかったということだと考えられます。2.利用者の使いやすさ次に、利用者の使いやすさの観点ですが、筆者は技術的な観点よりもこちらの方が大きく影響していたと考えています。Coincheckが利用者に好まれていた特徴としては、即時取引などの使いやすさなどがあげられるかと思います。即時取引などに対応するにはウォレットを常時ネットワークに接続しておく必要があります。ホットウォレットで管理するということです。「不正送金されるぐらいならコールドウォレットで保管してほしい」という意見が出てきそうですが、それはあくまで結果論であり、実際、即時取引が不可能であった場合は「もっと早く購入させてほしい」といった意見が出てくることになると考えられます。要するに、利便性とセキュリティはトレードオフな部分があり、今回はセキュリティ面での欠陥があだになってしまったということです。個人でできる安全な仮想通貨の管理方法とはでは今後、我々はどのように仮想通貨を管理すればよいのでしょうか。利便性を考えずにいうならば、マルチシグのコールドウォレットで管理することが最も望ましいです。デイトレーダーのように日頃から仮想通貨取引による利益を生活の糧としている人の場合には、取引所からいちいちコールドウォレットに移していたのでは、とても価格の変動に対応できません。いった事情を踏まえると頻繁に取引をする予定がない資産に関しては、やはり最低限コールドウォレットで管理しておくべきでしょう。具体的にどう管理すれば良いかを説明していきます。ウォレットには種類があるそもそも、仮想通貨のウォレットにはいくつかの種類があります。ホットウォレットに該当するのが、デスクトップウォレットやウェブウォレット、モバイルウォレットであり、コールドウォレットに該当するのがペーパーウォレットやハードウェアウォレットになります。ホットウォレットデスクトップウォレットウェブウォレットモバイルウォレットコールドウォレットペーパーウォレットハードウェアウォレットおそらく、今回の騒動を見る限り、利用者の大半の人がホットウォレットなのではないでしょうか。”取引所に預けたまま”という運用をしていた人がほとんどだと思われます。取引所に大きな額を預けたままの方は、直近で取引予定がない分をハードウェアウォレットに移動させることを強く推奨します。ハードウェアウォレットとは昔と違い、今では便利なハードウェアウォレットがたくさん開発され、利便性も非常に高まってきています。ハードウェアウォレットの例としては、TREZOR、Ledger、Keepkeyなどがあります。以下にそれぞれの特徴をまとめてみました。12ワードNEMの場合は、TREZORかKeepkeyが対応しています。値段が高いと感じるかもしれませんが、大きな額を管理する際には、ハードウェアウォレットを利用することを推奨します。ハードウェアウォレットにもリスクはあります。それは、そもそもハードウェアウォレット自体を盗まれたり紛失したりするということです。仮想通貨の管理方法は、結局のところどれだけリスクを下げられるかが重要になります。ホットウォレットよりはコールドウォレットの方が、というだけで、100%安全なわけではありません。可能な限り最善の方法をとるべく知識を身につけた上で、自分が納得できる形で管理することが、何よりも大切なことです。最後に、今回の一連の騒動を通して筆者が感じたことを少し書いておきたいと思います。思うところが多くありましたが、どうしても取り上げたいのは主に以下の2点です。我々は過去から何を学んだのかビットコインの名が広まった大きなきっかけとして、Mt.Goxの経営破綻が印象に残っている人も多いかと思います。今回の事件を引き起こしてしまったCoincheckをはじめ、Coincheckに資金を預けたままにしていた利用者、日頃から注意喚起を強調していなかった行政、全てがあの事件の教訓を活かすことができませんでした。確かに、当時と比べて利用者がはるかに増え、利用者の性質も大きく変化しています。あまりにも本質を理解せずに、投機目的のみの利用者が多かったために、このような事態を招いてしまいました。今回、どれだけの人がNEMのことを理解していたのでしょうか。NEMの管理上の性質、取引所を選ぶ際の注意点、あまりにも物事の本質から意識を逸らしている人が多すぎたように感じています。今後、”三度目の正直”が起こらないことを、切に祈るばかりです。取引所の運営者に関しても、利用者の資産を預かっているという自覚をさらに強く持つように徹底してほしい限りです。一言、あの記者会見はひどいものでした。筆者自身も、メディアに在籍していた経験がありますが、あの場にいた記者たちは、自分たちの仕事の本質を理解しているのでしょうか。なんのための記者会見だったのでしょうか。出席した和田氏と大塚氏を公開処刑することが目的だったのでしょうか。今回の事件で、本当に糾弾されるべきは不正送金を行なったクラッカーです。記者会見や報道番組などではクラッカーにいかに対応していくのかについて、もっと言及すべきだったのではないでしょうか。Coincheckに非があったことは事実なので、そこはしっかりと追求すべき点です。何があったのか、何が原因だったのか、利用者は何をすればいいのか、それだけを聞くことができればよかったのではないでしょうか。記者の役割は、我々一般人の知りたいことを代表して当事者に確認することだと思います。あの場で飛び交った質問は、株主構成や社内の役割分担、挙げ句の果てに開示責任のない財務諸表に関してまで、呆れを通り越して非常に悲しくなりました。同じ事件を繰り返さないために今回の事件で、当事者含め多くの人にとって現状を見つめ直すいい機会になったと思います。言い出したら切りがありませんが、今回の事件は絶対に風化させてはいけません。同じことを繰り返さないために、筆者自身も正確な情報発信などを通して、微力ながら業界に貢献していくことができるように、日々精進していこうと考えております。学生時代にビットコインとリップルに出会いすぐさま"セルフGOX"を経験。DAOでまたしても"GOX"を経験。日本で仮想通貨は普及するのか。