ビットバンク、楽天ウォレットが語る、ブロックチェーンビジネスを取り巻くサイバー脅威とセキュリティガバナンス

法規制と市場拡大で変わるブロックチェーンビジネスの前提

須田：
最初に自己紹介をお願いします。現在、どのような業務を担当されていますか。

野田：
私は2015年にビットバンクに参画し、エンジニアとして暗号資産取引所のシステム開発やウォレット管理基盤の構築に携わってきました。現在はCOO（最高執行責任者）として、事業全体を管掌しています。併せて、JVCEA（Japan Virtual and Crypto Assets Exchange Association：一般社団法人日本暗号資産等取引業協会^*1）のセキュリティ委員長を務め（登壇時点につき現在は退任済み）、自主規制規則のうち、セキュリティ基準である暗号資産安全管理標準の策定および改定を担当していました。JPCrypto-ISAC（一般社団法人JPCrypto-ISAC^*2）では代表理事として、関連事業者間の情報共有や業界横断の活動にも携わっています。自主規制規則と事業者の情報共有のいずれも、暗号資産業界全体の安全性・信頼性向上に取り組んでおり、本日は現場と業界の双方の観点からお話しします。

佐々木：
私も野田さんと同様にIT領域を出発点としてキャリアを重ね、2017年に楽天グループへ参画しました。楽天グループでは楽天証券でIT、フィンテック領域に携わった後、楽天ウォレットにて暗号資産事業に携わり、従来の金融とは異なるリスクや運用に向き合ってきました。現在はJPCrypto-ISACの立ち上げや、暗号資産業界全体のセキュリティ水準の向上に向けた業界横断の活動を推進しています。

須田：
では、最初にブロックチェーンビジネスの動向を紹介させてください。

図表1：変革期を迎えているブロックチェーンビジネス

ポイントは、関連法規制の整備と関連市場の拡大の二つです。暗号資産やトークンを中心に、ブロックチェーン技術を用いたビジネスへの注目が再び高まっています。資金決済法の改正に伴う暗号資産仲介業の創設や、金融商品取引法（金商法）上の規制の議論など、産業全体が変革期を迎えています。

一方でビジネスの拡大に伴い、セキュリティインシデントも増加しています。警察庁が公表したインターネットバンキング関連の不正送金事案では、流出金額のうち暗号資産関連の取引が37％近くを占めており、この問題は暗号資産業界にとって他人事ではありません。そこでお二人に伺います。こうした環境変化を、事業者側はどのように捉えているのでしょうか。

野田：
暗号資産交換業者の立場では、金商法化による市場拡大に期待しています。分離課税の適用などが進めば、投資家層の広がりも見込まれます。一方で、交換業者に求められる対応は確実に増えると見ています。システム対応が必要になるのは、主に以下のような領域です。

• 流出リスクを踏まえた責任準備金
• 新たな暗号資産に関する開示規制
• 証券市場と同水準の不公正取引審査
• マイナンバーを含む特定個人情報の管理体制

いずれも人、コスト、時間を要する対応であり、事業環境の難易度はこれまで以上に高まります。規制対応を前提に、事業を前に進める推進力とリスク管理のバランスをどう取るかが、経営上の重要な論点になると考えています。

佐々木：
私からは、セキュリティの観点でお話しします。暗号資産を巡っては、法規制の見直しや金商法化の議論が進む中、金融審議会でもセキュリティが大きな論点になっています。

もちろん、セキュリティは既存の金融でも重要です。ただ、暗号資産にはブロックチェーン特有の事情があります。例えば、一度送金すると取り消せない不可逆性です。こうした特性があるため、既存金融とは異なるリスク対策が求められます。実際に、交換業者を狙ったセキュリティインシデントも継続的に発生しています。

こうした中で重要になるキーワードが「三助」です。三助とは「自助」「公助」「共助」を指します。自助は各社による対策、公助は監督官庁による対応、共助は暗号資産業界全体で取り組む枠組みです。業界としては、特に共助が重要になると考えています。

大規模流出事案に見る、攻撃対象の広がり

須田：
次に、暗号資産の流出事案の概観を説明します。

図表2：暗号資産流出事案の変遷

※ 詳細は動画版をご確認ください

暗号資産の流出事案は、暗号資産業界全体を揺るがす問題として継続的に発生しています。上表のとおり、2014年以降は1件あたりの被害額が数百億円規模に達する大規模事案も相次いでいます。

これらの事案は、流出要因の変化に応じて大きく三つの時期に整理できます。

第1期の2014年から2019年ごろは、ホットウォレット^*3への不正アクセスなど、取引所の内部管理体制の不備を突いた攻撃が中心でした。第2期となる2021年から2022年ごろは、DeFi^*4やクロスチェーンブリッジ^*5などで使われるスマートコントラクトの脆弱性を悪用した攻撃が目立ちました。そして第3期の2024年以降は、委託先やサードパーティを侵害し、そこを起点に攻撃する事案が増えています。

外部委託先への依存度が高まる中、攻撃対象も交換業者本体から周辺のステークホルダーへ広がっています。図表に示した主要事案だけでも、流出額の合計は約7,330億円に上ります。

ただし、企業が負う影響は流出額だけにとどまりません。流出後には、原因究明、是正対応、関係各所への説明、信頼回復に向けた対応などにも大きなコストが発生します。暗号資産取引におけるセキュリティインシデントは、単なるシステム障害ではなく、ビジネスリスクに直結する問題だと言えます。

システムとオペレーションが連鎖する流出リスク

須田：
続いて、セキュリティリスクの事例を紹介します。資料は流出シナリオの一例です。

図表3：セキュリティリスクの事例

昨今の流出事案では、外部からの攻撃によるシステム侵害と、人の確認・判断に関わるオペレーション上の問題が重なり、適切な対応が取れないまま暗号資産が流出するケースが見られます。ここでは流出に至る要因を、システム面とオペレーション面に分けて考えます。

システム面では、SNSなどの情報を基にしたソーシャルエンジニアリングにより、攻撃者が社内ネットワークへ侵入するケースがあります。その結果、認証キーやQRコードを扱う処理に不正なコードが混入し、送金先情報や数量が改ざんされます。署名担当者が気付きにくい形で、不正な送金内容が指定されてしまうのです。

一方、オペレーション面では、システムが侵害されていることに気付かないまま、経理・管理部門の担当者が暗号資産の移動を進めてしまうケースがあります。マニュアル管理や異常検知後の対応手順が不十分な場合、違和感があっても処理を止められず、そのまま流出につながるおそれがあります。

つまり、担当者の確認を経た処理であっても、実際には誤った送金先に暗号資産が移動してしまう事案が起きています。野田さんに伺います。この原因として、どのようなものが考えられるでしょうか。

野田：
紹介いただいた事例は、近年の暗号資産流出リスクの変化を示す典型例だと思います。過去の事例を振り返ると、暗号資産交換業者のセキュリティリスク――特に流出リスクの性質は、ここ数年で大きく変化しています。

前述のとおり、オンラインで管理されるホットウォレットが侵害され、暗号資産が流出するという、比較的シンプルな構図が大半でした。しかし近年は、オフラインで管理されるコールドウォレットからの流出も発生しています。つまり、ウォレットそのものを直接狙うというよりも、その管理に関連する機器やシステム、オペレーション、外部委託を含めた構造全体が攻撃対象になっているのです。

先の事例も、この構造に当てはまります。問題となるのは、主に次のような点です。

• 攻撃者がどのように侵入したのか
• 侵害された機器や環境をどのような前提で運用していたのか
• 出庫時の確認・承認プロセスは適切だったのか
• システムが発した異常や違和感が人にどう伝わり、どう判断されたのか
• 想定外の事象が起きた際に、誰がどこまで判断するのか
• 外部ベンダーや委託先を含めたサプライチェーン全体をどう管理していたのか

暗号資産の流出事案は、単一の原因で起きるとは限りません。複数の要素が連鎖して発生する構造だと捉えるべきです。

須田：
野田さんのお話では外部攻撃だけでなく、出庫時の確認・承認プロセスや人の判断も重要な論点として挙がりました。佐々木さん、オペレーション面ではどのように見ていますか。

佐々木：
暗号資産では、ブロックチェーン上で送金・出庫する際のオペレーションが流出リスクに直結します。攻撃手法が高度化する中ではシステムだけでなく、日々の出庫業務を定められた手順どおりに実行できるかが重要です。

特に出庫時の確認や承認は、不正な送金を防ぐ最後の防衛線です。ここでミスや判断の遅れが起きると、被害額が大きくなるだけでなく、ブロックチェーンの特性上、一度移動した暗号資産を元に戻すことはできません。だからこそ暗号資産交換業者にとって、オペレーションはセキュリティ上の要なのです。