仮想通貨取引所にとってセキュリティの確保は至上命題です。ハッキングなどサイバー攻撃の対象となればユーザーが離れる、最悪の場合は取引所の経営自体が危ぶまれることさえあります。
日本国内の仮想通貨取引所でも2018年1月にコインチェック(Coincheck)、2018年9月にザイフ(Zaif)で資金流出が確認されました。資金流出確認後、この2つの取引所は金融庁から業務改善命令を受けています。
2019年5月、世界的大手の仮想通貨取引所であるバイナンス(Binance)もハッキングの被害を受けました。今回はバイナンスがハッキングされた原因やハッキング後の取り組みなどについてまとめます。
バイナンスとは
ブロックチェーンアイランド宣言をしている地中海の島国マルタにある仮想通貨取引所です。以前は中国を拠点としていましたが、マルタへと拠点を移しました。移動した原因として、中国の仮想通貨規制強化などがあると見られています。
設立は2017年7月と仮想通貨取引所の中ではかなり新しい方です。比較するとコインチェックは2014年8月、ザイフは2016年4月に設立しました。またザイフの運営母体だったテックビューロは2014年6月に立ち上げられています。
安い手数料や取り扱っている銘柄の豊富さなどから注目を集め、現在では世界有数の取引所となっています。
バイナンスのハッキングについて
バイナンスが人気だった理由のひとつがサポート体制の充実です。2019年5月現在、バイナンスでは英語を始めとする全15種類の言語に対応しています。
定期的にブログを更新しており、最高経営責任者(CEO)であるジャオ･チャンポン(Changpeng Zhao:CZ)氏も頻繁にツイッター(Twitter)を更新しています。CZ氏はツイッターのライブ配信機能を使い、ユーザーと直接意見を交換することもあります。
2019年5月7日、バイナンスは初となる大きなサイバー攻撃を受けました。被害額は約7,000BTC、当時相場では約44億円になります。
ただしこの数字はかなり抑えられたものです。7,000BTCはバイナンスが保有しているビットコインの約2%に過ぎません。コインチェックの被害額は約580億円、ザイフの被害額は約70億円に及んでいます。
ハッキング後の対応
ハッキングが確認された後、バイナンスは「バイナンスセキュリティの侵害に関する最新情報」というタイトルで、その日の内に自社サイト内のブログを更新しました。
この段階でバイナンスは、APIキー・2段階認証コード(two-factor authentication:2FA)などの情報をハッカーが入手していたことを発表しました。
APIコードとはApplication Programming Interfaceの略で、ソフトウェア同士を繋げる役割があります。仮想通貨では、一定価格で特定銘柄を自動的に取引するなどの操作が可能です。
また被害を受けたのはバイナンスがオンライン上で管理していたホットウォレットのみであること、他のウォレットは安全であることを発表しました。
被害額はバイナンスの保険基金であるSAFU(Secure Asset Fund for Users)基金によってカバーすることも合わせて報告しています。
CZ氏はツイッターのライブ機能を使って、ハッキングされた経緯やその後の対応についてユーザーに直接説明しています。
システムアップデート
ハッキングが確認された翌日にあたる5月8日、不規則な取引を行っていたAPIキーがあることから全てのAPIキーの機能を制限し、取引のみに限定させるようにしました。
5月15日にはシステムのアップグレードを行っています。
アップグレード完了を報告した記事の中では、定期的なパスワード変更・2段階認証のリセット・フィッシング対策コードの更新など個人レベルで出来るセキュリティ強化の紹介や強化ページへの誘導も行っています。
またバイナンスはコミュニティサポートへの感謝の気持ちを示すために、5月15日~18日の間に1BTC以上の取引をしたユーザーに対し5万BNBを分割配布を行っています。
BNBとはバイナンスが独自に発行している仮想通貨で、バイナンスコイン(Binancecoin)という名称です。
バイナンスコインの値動き
ハッキングなどの影響もあり、バイナンスコインは5月10日に1BNB=18.3USDT(米ドルテザー)にまで下落しました。
しかしその後は再び高騰し、1BNB=30USDTを超える日も出てきています。
まとめ
ハッキングなどのサイバー攻撃を受けると、多くの仮想通貨取引所は長期間の取引・入出金停止、新規登録停止などを行っていました。
コインチェックの場合は約9ヵ月後に新規登録を再開、ザイフの場合は8ヶ月経過した2019年5月現在でも新規登録が再開されていません。
しかしバイナンスはユーザーへの発表、セキュリティ対策などを迅速に行うことで、被害を最小限に留めました。SAFU基金など最悪の事態を想定した動きが、被害を小さく抑えられた要因でしょう。