仮想通貨と資金流出は切っても切れない関係になりつつあります。日本国内では2014年にマウントゴックス(Mt.GOX)で資金流出、2018年にはコインチェック(Coincheck)とザイフ(Zaif)で資金流出が発生しました。
資金流出が起こっているのは取引所だけではありません。ウォレットでも度々資金流出が確認されました。特にイーサリアムやERC20などの仮想通貨を保管できるマイイーサウォレット(MyEtherWallet:通称MEW)はフィッシング詐欺などのサイバー攻撃の対象となっています。
2019年5月にはリップル(ripple/xrp)などを保管できるゲートハブ(GateHub)というウォレットから資金が流出しました。
今回はゲートハブとゲートハブで発生した資金流出について解説します。
2019年の資金流出事件
2019年に入っても資金流出は続いています。2019年3月には韓国最大の仮想通貨取引所といわれるビッサム(Bithumb)で資金流出が起こりました。ビッサムは過去にもハッキングによる資金流出が2度発生しており、2019年3月の資金流出は3度目の資金流出です。
2019年5月には世界的大手の仮想通貨取引所であるバイナンス(Binance)でも資金流出が確認されています。多くがコールドウォレットで管理されていたため被害は抑えられましたが、それでも7000BTC(約45億円)が流出したと発表されました。
ゲートハブとは
ゲートハブとは、イギリスのロンドンにあるゲートハブリミテッド(GateHub Limited)やスロベニアのリュブリャナにあるゲートハブドー(GateHub d.o.o.)によって運営されているサイトです。
リップルを中心に米ドルやユーロといった法定通貨、あるいはビットコインやイーサリアムといった他の仮想通貨との相場変動・取引量などを紹介しています。
ゲートハブでは登録することで使用することの出来るウォレットも用意されています。このウォレットが資金流出したウォレットです。なお登録自体は無料で可能です。
ゲートハブとサイバー攻撃
ゲートハブではブログやヘルプも設置されており、ユーザーのサポートも行っています。このサポートの中には、フィッシング詐欺に関する警告も行われていました。gatehubというURLをgatahubやgetehubなどと一部を変更し、詐欺サイトへと誘導するという手口です。
こういった詐欺と同様の手口で、バイナンスなどの仮想通貨取引所のユーザーを狙ったこともあります。
ゲートハブの資金流出
ゲートハブの資金流出はハッキングによるものと見られています。被害を受けた銘柄はリップルで、被害額は約2,300万XRP(約10億円)です。
盗難されたリップルは仮想通貨両替所チェンジリー(Changelly)や仮想通貨取引所チェンジナウ(Changenow)などへと送金されました。
チェンジリーとチェンジナウは共に本人確認が甘く、2019年3月に発生したビッサムの資金流出でも利用されています。
資金流出後のゲートハブの対応
ゲートハブは被害の拡大を防ぐために、影響を受けた可能性のあるユーザー、及び流出したリップルが送金された可能性のある取引所に連絡をしています。
更に今回のハッキングの兆候としてAPIを通じての不正アクセスの増加があったことを公表しました。
APIとはユーザーがカスタマイズできる自動プログラムで、一定の価格になったら自動的に購入あるいは売却できるように設定できます。2019年6月現在、多くの取引所でAPIの導入が可能です。
しかしこのAPIがサイバー攻撃のきっかけになることもあります。2019年5月に発生したバイナンスからの資金流出でもAPI経由によるものでした。
資金流出後のハッカーの動き
ハッキング被害を受けた後もゲートハブは、ハッカーの標的となりました。ゲートハブがユーザーに送った注意喚起のメールに紛れる形で、ハッカーもフィッシングサイトへと誘導するメールを送ったのです。
ただしメールを送ったハッカーと資金流出に直接関わったハッカーとの関係は不明となっています。
元々ゲートハブは、どのような形で何回メールを送ったのかタイムラインの公開も行いました。このタイムラインによると、6月14日までに合計7度のメールを送ったようです。
またゲートハブは、資金の移動・他では使用していない強力なパスワードの使用・二段階認証の有効化も呼びかけました。
まとめ
取引所やウォレットがサイバー攻撃が受けた時、ユーザーがとれる方法は限られています。そのひとつが本当に公式からの情報かどうかを確かめることです。
直接的なハッキングの被害以外の部分でも 、ゲートハブの資金流出ではハッカーに振り回されることとなりました。特にハッキング後のフィッシングメールは、状況の把握できていないユーザーを混乱させたことでしょう。
正しい情報なのかどうか、ユーザー1人1人が自分で確かめる癖をつけておくべきかもしれません。
