暗号資産取引所に顧客資産が集中…韓国専門家、秘密鍵と出金承認の管理強化を指摘

【11月04日 KOREA WAVE】暗号資産取引所がハッカーに狙われる背景には、多数の顧客の資産が一カ所に集中する仕組みがある。資産の移転に必要な秘密鍵や取引の承認権限を奪われれば、顧客の口座を一つずつ攻撃せずに、多額の資産を外部のウォレットに移せる。ブロックチェーン上で確定した取引は原則として取り消せないことも、攻撃を誘う一因だ。

暗号資産業界の話によると、世界最大の暗号資産取引所バイナンスは最近、約63億ドル（約9940億円）規模のハッキング被害を受け、資産の補填と出金サービスの復旧を進めている。韓国・東国大学情報保護大学院のファン・ソクチン教授は、顧客の暗号資産を保管する取引所には、厳格なセキュリティー基準と点検が必要だと指摘する。

銀行から資金を盗むには、口座へのアクセス権を得たうえで、別の口座に送金するか、現金で引き出す必要がある。銀行側はその過程で、不審な取引の検知や送金制限、口座凍結によって資金移動を止められる。一方、暗号資産は秘密鍵や取引の承認権限を奪えば、攻撃者が管理するウォレットに送れる。米連邦捜査局（FBI）は2021年、暗号資産の窃取は、送金や現金の引き出しに協力する仲間が必要な銀行資金の窃取に比べ、手順が少ないと分析した。

2016年のバングラデシュ中央銀行へのサイバー攻撃では、北朝鮮のハッカー集団「ラザルス」が約9億5100万ドル（約1500億円）を奪おうとしたが、国際送金の一部が止められ、実際の被害は約8000万ドル（約126億円）だった。暗号資産もブロックチェーン上の記録から追跡でき、流入先の取引所が出金を制限したり、一部のステーブルコインの発行元が特定のアドレスからの移転を凍結したりできる。ただ、移転済みの資産の回収には、取引所や発行元、捜査機関などの連携が必要になる。

ブロックチェーン分析会社TRMラボによると、2025年に秘密鍵やウォレットの管理基盤、管理者権限を狙った攻撃の被害は約22億ドル（約3470億円）で、暗号資産のハッキング被害額全体の76％を占めた。分析会社チェイナリシスが2025年12月に公表した集計では、被害額上位3件が暗号資産サービス全体のハッキング被害額の69％を占めた。

韓国の暗号資産利用者保護法は、取引所に対し、顧客から預かった暗号資産の80％以上を価値ベースでインターネットから切り離した「コールドウォレット」に保管するよう義務付けている。ただし、オフラインで保管していても、出金時の承認手続きが攻撃されることがある。2025年2月に約15億ドル（約2370億円）の被害が出たバイビットの事件では、攻撃者がウォレット関連サービスに悪意のあるコードを仕込み、承認画面の表示と実際に署名する取引内容を食い違わせた。承認担当者は正常な取引だと思って署名し、資産が流出した。

ファン・ソクチン氏は、韓国の取引所アップビットが2025年の被害後、コールドウォレットでの保管比率を99％程度まで引き上げた事例を挙げ、保管比率の引き上げだけでは対策に限界があると指摘した。バイナンスの事案でも、内部システムや出金の承認・署名の仕組みが侵害された可能性を調べ、管理者権限の制限、署名の仕組みの分離、不審な出金の即時遮断が機能するかを検証する必要があるとした。

(c)news1/KOREA WAVE/AFPBB News