現在JavaScriptが無効になっています。Yahoo!ニュースのすべての機能を利用するためには、JavaScriptの設定を有効にしてください。JavaScriptの設定を変更する方法はこちら。コインチェックが記者会見を行い、顧客から預かっていた時価580億円分の仮想通貨NEMを流出させたと発表した。原因は調査中だが不正アクセスによる盗難の公算が大きい。翌日には被害者の26万人に対して自己資金から日本円で補償すると発表、記者発表から補償の発表までの加重平均で総額460億円に達するという。仮想通貨取引所を巡っては2014年2月末にマウントゴックスが破綻したことが記憶に新しい。昨年12月には韓国の仮想通貨取引所ユービットの運営会社が経営破綻に追い込まれ、今年に入ってからも仮想通貨取引所ZaifからのAPIを通じた不正出金が報じられるなど、このところ仮想通貨取引所を標的としたサイバー攻撃が続いていた。マルチシグとコールドウォレットは併用してこそ価値が出るコインチェックのシステムで十分なセキュリティ対策が行われていたか、現時点で公表されている事実は断片的だ。26日深夜の記者会見の質疑では入出金に複数の鍵を必要とする「マルチシグ」を利用しておらず単独の鍵で入出金できたこと、盗まれたNEMが全てオンライン上で入出金できるホットウォレットで管理されていたことが明らかとなった。Wong氏は、仮想通貨NEM自体には問題がなく、コインチェックがNEM財団の勧告していたマルチシグを利用していなかったことから、コインチェックの被害救済のためにNEMの仕様を見直す予定はないとしている。NEM財団は17年7月にマルチシグを実現するXEMSignと呼ばれるスマートコントラクト・アプリケーションをブログで紹介していた。マルチシグでウォレットの管理に複数の鍵を使うことは危険を分散する上で効果がある。2つ以上の鍵を同じように管理してしまうと、鍵をいくつに分けたところで意味がない。実際にマルチシグウォレットから仮想通貨が盗まれる事故は過去に数多く起こっている。マルチシグを使って意味があるのは、2つ以上の鍵を異なる方法で管理している場合だ。片方の鍵をデータセンター内にあるサーバー上のセキュアな領域に保存し、もう片方の鍵はハードウェアウォレットにしまって金庫に入れておけば、サーバーに不正アクセスすると同時に、金庫にあるハードウェアウォレットを物理的に盗まない限り仮想通貨を動かすことはできない。コールドウォレットとマルチシグは両方を併用してこそ価値が高まる。コインチェックのホームページではビットコインをコールドウォレットで管理することを売りにしており、同社が保有する仮想通貨のうち流動しない分を安全に保管するために、秘密鍵をインターネットから完全に物理的に隔離された状態で保管することの重要性を理解していたことは明らかだ。記者会見でもNEMのコールドウォレット対応には開発着手していたものの間に合わなかったとしている。NEMに対応したハードウェアウォレットは登場したばかり仮想通貨をオフラインで安全に保存するコールドウォレットの実装方法としては、ハードウェアウォレットとペーパーウォレットがある。ハードウェアウォレットはデバイス内に秘密鍵を閉じ込めておくため鍵の物理的な漏洩に強いが、機器が壊れてしまうリスクがあるため長期保存には向いていない。ペーパーウォレットはキーペアを紙に印刷するため印刷や読み取りに手間が必要で複写によって簡単に漏洩してしまうリスクがあるものの長期保存には向いている。日々の運用でホットウォレットからコールドウォレットに資金を移し替える手間や、秘密鍵の漏洩リスクを考えると、取引所で日常的に仮想通貨を移し替えるコールドウォレットとしては、ペーパーウォレットよりはハードウェアウォレットが適していると考えられる。広く普及しているBitcoinやEthereumといった仮想通貨では公開鍵暗号にSecp256k1と呼ばれるECDSA(楕円曲線署名アルゴリズム)が利用されており、この方式に対応したハードウェアウォレットは数多く市販されている。NEMではEd25519と呼ばれる、2011年に論文発表された高速なEdDSA(エドワーズ曲線デジタル署名アルゴリズム)が採用された。このNEMに対応したハードウェアウォレットは昨年12月20日にTREZORのファームウェア・アップデートでアナウンスされたばかりだ。140といった第三者によるセキュリティ認証も取得していない。実際に2017年8月にはTREZORから秘密鍵を抜き出す手順が公表された。Rusnak氏は課題の修正に取り組んでいるとされているが、記事執筆時点でアナウンスは行われていない。一般的にサイドチャネル攻撃などハードウェアに対する攻撃を、後からファームウェアの更新で解決することは難しいと考えられる。コインチェックがコールドウォレットの必要を理解していたにも関わらず、NEMを全てホットウォレット上に置いていた背景としては、NEMをコールドウォレットで安全に運用するためのエンジニアに加えて、機材や環境が整っていなかったのではないか。利用者に落ち度はなかったのかではコインチェックの利用者にとって被害を事前に防ぐ手立てはあったのだろうか。多額のNEMを取引所には預けたままにせず、手元に引き出して、自分のハードウェアウォレットで管理していれば、不正アクセスの被害を受けずに済んだ。これはマウントゴックス事件のときにもいわれてきたことだ。利用者は他の仮想通貨への投機機会を逃さないためや、現金化のタイミングを見計らうために仮想通貨を取引所に預けていたのかも知れない。仮想通貨取引所の口座や、取引所そのものが不正アクセスに遭う事案は、世界中で数多く報じられている。利用者が仮想通貨を取引所に預けたままにしておくことはオンラインで不正に引き出される可能性がある点で、取引所が仮想通貨をホットウォレットに置くのと似たようなリスクを孕んでいる。金融庁・財務局への登録が必要です。ページで確認してください。コインチェックは執筆時点で金融庁・財務局に登録されていない。記者会見ではコインチェックの経営の優先順位に厳しい質問が相次いだが、数ある取引所の中でコインチェックを選んだ利用者は、高いセキュリティや金融庁によるお墨付きよりも、軽快な操作性や取り扱う仮想通貨の銘柄の多さ、より多くの投機機会を求めており、取引所は素直に利用者からのニーズに応えようとしたのだろう。した点で今回の事故は、起こるべくして起こったともいえる。コインチェックにとってこれからが正念場コインチェックが流出したNEMの保有者に対して補償を発表したことで事態は収束したかに見えるが実際に大変なのはこれからだ。26万人に対して460億円を補償するのは事務手続きだけでも膨大な作業となる。補償の発表を受けてNEMの価格は急反発しており、暴落時の時価を日本円で補償するだけでは納得しない利用者も出てくるのではないか。取引所を再開するためにはNEM流出の原因を突き止め再発防止策を講じる必要がある。不正アクセスであれ内部犯行であれ、原因を究明して再発防止策を講じるには、トリアージと応急処置だけで数週間、本格的な再発防止には最低でも数か月は要するだろう。そこにタイムリミットとして立ちはだかるのは仮想通貨交換業者の登録だ。金融庁の幹部が「今回の一件を踏まえ、いっそう慎重に審査する」とコメントしたとも報じられており、登録へ向けたハードルは更に上がった。資金決済法の仮想通貨交換業者の登録は、仮想通貨取引所を運営し続けるために必要だが、NEM流出の原因を究明し、再発防止策を講じることは最低限必要な条件となる。加えて仮想通貨に対する不安を払拭するためには、金融機関やクレジットカードと同様に安全対策に係る体系的な業界自主基準を定める必要がある。世界中で仮想通貨取引所がサイバー攻撃の標的となる中で、コインチェック個社の問題ではなく業界全体として喫緊に取り組む必要があるだろう。DesignのCTOに就任。CIO補佐官として番号制度を支える情報システムの構築に従事。アドバイザーなどを兼任。サイバーセキュリティについて執筆。募集!18歳選挙権時代「新しい生徒会」の可能性とは(高橋亮平)子育て中の不倫...その先に、人生の選択を問う映画「Red」(なかのかおり)「アメリカのインフルは新型コロナだった説」は本当か?(忽那賢志)なでしこジャパンが2020最初の活動で好感触。攻守の強度を高めてアメリカ遠征へ(松原渓)五輪イヤー初の活動で好感触を得たなでしこジャパン。攻守の強度を高めてアメリカ遠征へ(松原渓)スター来日中止の流れも、シネコンは通常活況。Limitedによって提供されており、この機能によって生じた損害に対してヤフー株式会社は一切の責任を負いません。11:003セブン-イレブン「手巻おにぎり」リニューアル、さらなる進化で2月25日に発売。