コインチェック不正送金事件の本質と利用者が身につけるべき知識

Coincheck事件のあらまし

事件の全容

まずは今回の事件では何が起きたのかについて改めて説明します。

Coincheckの発表によると、1月26日の午前3時頃に事象が発生し、異常を検知したのは事象発生から約9時間後の11時半頃とのことです。

その後のCoincheckの一連の対応は以下のようになっています。

原因や再発防止策に関しては現在検討中とのことです。（執筆時点：1月28日0時頃）

その後、同日23時半頃より、Coincheck代表取締役社長の和田氏と同取締役の大塚氏、弁護士の堀氏による緊急記者会見が行われました。

記者会見は約1時間半にも及び、終始、事件の本質とは明らかにずれている質問が飛び交うなど、時間、内容共に異例の会見となったように感じました。

Coincheckの対応

また、記事執筆中の1月28日0時頃、Coincheckより被害者への補償方針が発表されました。

発表によると、NEMの保有者全員（約26万人）に、日本円で返金するとのことです。 以下、詳細を一部抜粋して掲載しています。

今回の一連の対応について、Coincheckは尽くすべき最善の対応を行ったと筆者は考えています。 もちろんこれは、Coincheckを擁護しているわけではありません。

後述しますが、NEMの管理方法に問題があった点はしっかりと追及すべき部分であります。

しかし、会見で和田氏が仰っていた通り、利用者保護を最優先するという方針を、翌日すぐに実際に行動に移せたことは客観的にみて素晴らしい対応だったと考えています。

各機関の対応

なお、今回の一連の騒動に対して、金融庁ならびに日本仮想通貨事業者協会（ＪＣＢＡ）が以下の動きを見せています。

盗まれたNEMはどこにいったか

さて、Coincheckにばかりに非難が集まっていますが、本当に悪いのはクラッカー（犯人）であることはいうまでもありません。

気になるのは盗まれたNEMは今どこにあるのか、返ってくるのかだと思います。

少し周辺事情も交えて言及していきます。

盗まれたNEMの所在は把握されている

ブロックチェーンの特徴ともいえるトレーサビリティ（追跡可能性）により、クラッカーが使用したとされるウォレットは特定されています。 XEMBookというNEMの取引を可視化したサービスで確認したところ、1月26日の午前0時頃を皮切りに事象が発生しているように見えます。

こちらはクラッカーが使用したとされているウォレットの取引履歴です。 入金元のウォレットを確認したところ、Coincheckが使用していたとされるウォレットであったため、午前0時20分までに約5億xem（NEMの単位）が流出したと考えられます。

その後、午前3時頃に別のウォレットへほぼ同額を出金していることがわかります。 なお、出金先のウォレットは全て異なるものでした。 クラッカーはCoincheckから盗んだNEMを複数のウォレットに分散したと考えられます。

所在が分かっても犯人は特定困難

ここで基本的なおさらいですが、ブロックチェーンの機能により特定のNEMがどこにあるのかはわかります。 なので、「所在がわかるならクラッカーを捕まえればいいのでは」という疑問を抱く人もいるかと思います。

しかし、ウォレットと個人情報は紐づいているわけではないので、どこにあるのかがわかっても、誰が持っているかはわからないのです。

こちらのウォレットには、1月26日より前の取引履歴が確認できなかったため、おそらく今回の犯行のためにクラッカーが新しく用意したものと考えられます。

盗まれたNEMは返ってくるのか

これは、無難な意見になりますが、全くわかりません。 理由を少し説明します。

Coincheckはあくまで取引所であり、NEMの運営者ではありません。 NEMはBitcoin同様、ブロックチェーンプロジェクトであるため特定の運営者はおらず、NEM財団という組織が中心となって運営しています。

NEM財団の対応

ハードフォークは行わず

今回の事件を受けて、一部でNEMがハードフォークするのではないか、という憶測が生じましたが、NEM財団のメンバーAlexd氏がハードフォークは実施しない声明を発表しています。

不正送金に対処するハードフォークとはどういうことか簡単に説明すると、NEMが不正送金される前の状態にブロックチェーンを戻す、ということになります。

実は似たような事件がEthereumでも過去に起きています。 The DAOというEthereumのブロックチェーンを使ったプロジェクトで、今回と同様に不正送金され、その際は被害額が大きかったことによりハードフォークを実施しました。そのハードフォークの成功によってEthereumは不正送金が行われる前の状態に戻されたということになります。

Ethereumのコミュニティはハードフォークを行う決断をしましたが、今回NEMではハードフォークを行わない決断がされました。

mosaicによる追跡

ハードフォークを行わなかったNEM財団ですが、今回不正送金に使用されたウォレットにmosaic（モザイク）という目印をつけて、そのウォレットを経由したNEMを追跡できるようにしています。

mosaicを付与することで、不正送金に利用されたNEMを特定し、今後の利用を制御することができるということです。

一部で、NEM自体にmosaicを付与するという情報が流れていましたが、これは誤りで、上記の通りウォレットにmosaicを付与しています。

有志の日本人技術者が追跡を開始

mosaicによる追跡は「Rin,MIZUNASHI (JK17)」さんというNEM財団に協力なさっている技術者の方が対応を開始し、その後NEM財団に引き継いだようです。NEMには日頃から活発的なコミュニティが存在しており、彼らのこういった迅速な対応により、二次災害の発生可能性を抑えられたと考えられます。

少し前置きが長くなりましたが、上記の通り、該当のNEMを特定し利用を制限したところで、返す返さないの判断はクラッカーにしかできません。

そのため、「こんな使えないNEM持っててもしょうがないから返すかー」と思ったら返ってきますが、「こんな使えないNEM持っててもしょうがないから放置だー」と思ったら返ってこないのです。

例えば、”mosaicの付いた5億NEMを、mosaicの付いていない1000万NEMと交換しよう”といった交渉をクラッカーに持ちかけることはできますが、いずれにせよ、返ってくるか否かはクラッカー次第ということになります。

仮想通貨の管理方法

以上が、今回の事件の全容になります。 では、なぜ今回の事件は起きてしまったのでしょうか。 今後、同じことを繰り返さないためにはどうすればいいのでしょうか。 事件の本質的な管理問題と共に説明していきます。

話題になったマルチシグ

まずは、記者会見でも何度も繰り返し飛び交っていたマルチシグ（マルチシグネチャの略）についてです。 マルチシグは今回の事件の本質的な問題ではないのと、他に有益な説明記事がありますので、詳細は省略して簡単に説明します。

マルチシグとは、秘密鍵を複数に分けて、ブロックチェーンへのアクセスの際には一定数以上の秘密鍵を必要にする仕組みです。 こうすることで、もし1つの秘密鍵が外部に流出したとしても、他の秘密鍵がないとアクセスできないため、セキュリティが高まるということです。

今回Coincheckは、利用者から預かっていたNEMをマルチシグ対応していない状態で保管していました。 それはそれで追及される点ではあるのですが、マルチシグはできるならした方がいい程度であり、今回はマルチシグが問題の本質だったわけではありません。

記者会見で質問していた記者の方々が、なぜあそこまでマルチシグに関して固執していたのかは釈然としません。

今回の問題本質は、NEMを保管していたウォレットがネットワークに常時接続されている状態にあったことです。

ホットウォレットとコールドウォレット

先述した通り、今回最も問題だったのは、NEMを保管していたウォレットが常時ネットワークに接続した状態であったことです。

このような状態のことをホットウォレットといいます。 対して、ネットワークから隔離された状態、つまりオフラインの状態で管理するウォレットのことをコールドウォレットといいます。

通常、多額の仮想通貨を保管する際はコールドウォレットで管理するのが望ましいです。 しかし今回Coincheckは、コールドウォレットではなくホットウォレットの状態であったために、クラッカーによる不正送金が発生してしまったということになります。

ホットウォレットで管理していた理由

コールドウォレットの方がセキュリティが高いことを先述しましたが、なぜCoincheckはホットウォレットでNEMを管理していたのでしょうか。その理由には”技術的な難しさ”と”利用者の使いやすさ”の2点が関係していると考えられます。

1.技術的な難しさ

まず技術的な観点ですが、コールドウォレットは、ウォレットの生成からトランザクションの作成、電子署名までをオフラインの状態で行うことになります。

このときに難しいとされているのが、オフラインの状態で作成された電子署名をオンラインの状態に移行することです。

記者会見で和田氏が、技術者が不足していたと繰り返し話していましたが、おそらくこの部分への対応が難しく、事件発生までに間に合わなかったということだと考えられます。

2.利用者の使いやすさ

次に、利用者の使いやすさの観点ですが、筆者は技術的な観点よりもこちらの方が大きく影響していたと考えています。

Coincheckが利用者に好まれていた特徴としては、即時取引などの使いやすさなどがあげられるかと思います。 しかし、即時取引などに対応するにはウォレットを常時ネットワークに接続しておく必要があります。 つまりホットウォレットで管理するということです。

「不正送金されるぐらいならコールドウォレットで保管してほしい」という意見が出てきそうですが、それはあくまで結果論であり、実際、即時取引が不可能であった場合は「もっと早く購入させてほしい」といった意見が出てくることになると考えられます。

要するに、利便性とセキュリティはトレードオフな部分があり、今回はセキュリティ面での欠陥があだになってしまったということです。

個人でできる安全な仮想通貨の管理方法とは

では今後、我々はどのように仮想通貨を管理すればよいのでしょうか。 利便性を考えずにいうならば、マルチシグのコールドウォレットで管理することが最も望ましいです。

しかし、デイトレーダーのように日頃から仮想通貨取引による利益を生活の糧としている人の場合には、取引所からいちいちコールドウォレットに移していたのでは、とても価格の変動に対応できません。

そういった事情を踏まえると頻繁に取引をする予定がない資産に関しては、やはり最低限コールドウォレットで管理しておくべきでしょう。 具体的にどう管理すれば良いかを説明していきます。

ウォレットには種類がある

そもそも、仮想通貨のウォレットにはいくつかの種類があります。 ホットウォレットに該当するのが、デスクトップウォレットやウェブウォレット、モバイルウォレットであり、コールドウォレットに該当するのがペーパーウォレットやハードウェアウォレットになります。

おそらく、今回の騒動を見る限り、利用者の大半の人がホットウォレットなのではないでしょうか。 しかも、”取引所に預けたまま”という運用をしていた人がほとんどだと思われます。

まだ取引所に大きな額を預けたままの方は、直近で取引予定がない分をハードウェアウォレットに移動させることを強く推奨します。

ハードウェアウォレットとは

昔と違い、今では便利なハードウェアウォレットがたくさん開発され、利便性も非常に高まってきています。 ハードウェアウォレットの例としては、TREZOR、Ledger、Keepkeyなどがあります。 以下にそれぞれの特徴をまとめてみました。

	TREZOR	Ledger	Keepkey
画像
価格	17,000円	10,000円	15,000円
対応OS	Windows, macOS, Linux	Windows, macOS, Linux, Chrome OS	Windows, macOS, Linux
重量	12g	16.4g	54g
秘密鍵	24ワード	24ワード	12ワード

NEMの場合は、TREZORかKeepkeyが対応しています。 少し値段が高いと感じるかもしれませんが、大きな額を管理する際には、ハードウェアウォレットを利用することを推奨します。

しかし、ハードウェアウォレットにもリスクはあります。 それは、そもそもハードウェアウォレット自体を盗まれたり紛失したりするということです。

仮想通貨の管理方法は、結局のところどれだけリスクを下げられるかが重要になります。 ホットウォレットよりはコールドウォレットの方が、というだけで、100%安全なわけではありません。

可能な限り最善の方法をとるべく知識を身につけた上で、自分が納得できる形で管理することが、何よりも大切なことです。

総括-筆者の所感

最後に、今回の一連の騒動を通して筆者が感じたことを少し書いておきたいと思います。 やはり思うところが多くありましたが、どうしても取り上げたいのは主に以下の2点です。

我々は過去から何を学んだのか

ビットコインの名が広まった大きなきっかけとして、Mt.Goxの経営破綻が印象に残っている人も多いかと思います。

今回の事件を引き起こしてしまったCoincheckをはじめ、Coincheckに資金を預けたままにしていた利用者、日頃から注意喚起を強調していなかった行政、全てがあの事件の教訓を活かすことができませんでした。

確かに、当時と比べて利用者がはるかに増え、利用者の性質も大きく変化しています。 しかし、あまりにも本質を理解せずに、投機目的のみの利用者が多かったために、このような事態を招いてしまいました。

今回、どれだけの人がNEMのことを理解していたのでしょうか。 NEMの管理上の性質、取引所を選ぶ際の注意点、あまりにも物事の本質から意識を逸らしている人が多すぎたように感じています。

今後、”三度目の正直”が起こらないことを、切に祈るばかりです。 取引所の運営者に関しても、利用者の資産を預かっているという自覚をさらに強く持つように徹底してほしい限りです。

リテラシーの低さが露呈した記者会見

一言、あの記者会見はひどいものでした。筆者自身も、メディアに在籍していた経験がありますが、あの場にいた記者たちは、自分たちの仕事の本質を理解しているのでしょうか。

なんのための記者会見だったのでしょうか。
出席した和田氏と大塚氏を公開処刑することが目的だったのでしょうか。

今回の事件で、本当に糾弾されるべきは不正送金を行なったクラッカーです。
記者会見や報道番組などではクラッカーにいかに対応していくのかについて、もっと言及すべきだったのではないでしょうか。

もちろん、Coincheckに非があったことは事実なので、そこはしっかりと追求すべき点です。 しかし、何があったのか、何が原因だったのか、利用者は何をすればいいのか、それだけを聞くことができればよかったのではないでしょうか。

記者の役割は、我々一般人の知りたいことを代表して当事者に確認することだと思います。 しかし、あの場で飛び交った質問は、株主構成や社内の役割分担、挙げ句の果てに開示責任のない財務諸表に関してまで、呆れを通り越して非常に悲しくなりました。