仮想通貨流出事件から学ぶリスクマネジメント
この記事は2018年に公開された記録です。製品・サービスの情報は現在と異なる場合があります。
はじめに
2018年9月20日、日本国内の仮想通貨取引所Zaifがハッキング被害によって顧客資産の仮想通貨が流出したと発表しました。 私は海外仮想通貨取引所へのBTC送金の踏み台としてZaifを使用していました。 実は今回もZaifでBTCを購入、9月17日夕方に海外仮想通貨取引所に送金しようとしたところで送金エラーで停止。（送金しようとしたBTCは微々たるものです。） サイバー攻撃が巧妙化する現在、きちんとリスクを理解し、必要な対策を講じる必要があると思います。
ホットウォレットとは
ホットウォレットとは、インターネットに何らかの方法で接続されている仮想通貨のウォレットを指します。 以下の種類に大別することができます。
- 仮想通貨取引所
- PCやスマホにインストールするウォレットアプリケーション
- Webベースのウォレット
ホットウォレットのリスク
ホットウォレットはインターネットに常時接続するため、外部からサイバー攻撃を受けるリスクが高いと考えられます。もちろん内部から情報が漏洩するリスクもあります。
- 不正送金リスク（外部から侵入した攻撃者が自分のウォレットアドレスに対して送金するリスク。）
- 鍵の漏洩リスク（外部から侵入した攻撃者がホットウォレットの鍵を入手し、ウォレットを複製するリスク。）
- その他情報漏えいリスク
ハッキングの手口
今回のZaifが受けた攻撃の詳細は現段階でわかりません。 Coincheckの場合、APT(Advanced Persistent Threat)攻撃であったと言われています。いわゆる標的型攻撃です。 標的型攻撃はメールに添付したマルウェアを攻撃対象に実行させることでマルウェアに感染させます。そうなると感染した攻撃対象PC（Victim）は攻撃者のものです。 外部から
- キーボードから入力した内容の取得
- デスクトップのスクリーンショットの取得
- コマンドのリモート実行
- 接続している他のサーバへのアクセス
などなど、やりたい放題です。
リスクマネジメントの必要性
昨今の標的型攻撃は狙われたら最後、非常に巧妙なメールでマルウェアの実行に誘導されます。 企業も「感染しない」対策から「感染することを前提とした」対策にシフトしています。 つまりリスクのコントロールです。そのリスクを軽減、回避するための対策を講じる必要があるのです。
おわりに
今回のZaifの事件、テックビューロ社がどのようなリスクマネジメントを行っていたのか興味があります。