仮想通貨の取引所コインチェックから580億円相当の仮想通貨が流出した問題で、一般社団法人「ブロックチェーン推進協会（BCCC）」が1月29日に会合を開き、取引所のリスク管理のあり方や再発防止策などについて話し合った。

急遽テーマを変更

BCCCは、仮想通貨を支える技術「ブロックチェーン（分散型台帳）」の普及・推進を目指す団体で、大和証券やリクルート、三井住友海上火災保険、丸紅、オリックスなど190社が加盟している。

コインチェックは加盟しておらず、BCCCは流出事件の当事者ではないものの、加盟社に仮想通貨関連の事業者もいるため、急遽会合のテーマを変更したという。

登壇したのは、BCCC副代表理事でカレンシーポートCEOの杉井靖典さんと、Geolocation Technology社長で静岡県警のサイバー犯罪対策テクニカルアドバイザーも務める山本敬介さん。

「秘密鍵」の管理が重要

まず、山本さんが時系列で問題の経緯を説明。その後、杉井さんが仮想通貨の基礎知識や技術的な課題などについて次のように解説した。

「NEMに限らず、すべての仮想通貨は『秘密鍵』が盗まれてしまうと、（取引所などの）システムの外からでも送れてしまう。このあたりは、もしかしたら仮想通貨の大きな課題」

「秘密鍵をいかに厳重に管理するか、ということに問題は集約されます。今回の問題もすべてそこにあると思います」

仮想通貨には、「公開鍵暗号」という仕組みが使われている。広く公開しても問題のない「公開鍵」と、当事者以外に知られてはいけない「秘密鍵」を組み合わせた技術だ。

今回はこの秘密鍵の管理に問題があったのではないかと、杉井さんはみる。

「そんなに難しいかな？」

コインチェックは顧客のNEMを、インターネットから分離した「コールドウォレット」ではなく、ネットに繋いだ「ホットウォレット」に保管していた。

より安全性の高いコールドウォレットで管理しなかったのはなぜか。杉井さんはこう推し量る。

「NEMに対応したハードウェアウォレットができたのは12月下旬ぐらい。それで間に合わなかったのではないか」

ハードウェアウォレットとは、オフラインで仮装通貨を管理するための専用デバイスのことだ。

「ただ、できる技術者に聞くと、『そんなに難しいかな？』とはおっしゃいますね。ですから、そういう人材が不足していた、ということにつながるんじゃないかと思います」

コールドウォレットとマルチシグ

今回の流出問題では、コインチェックがNEMに関して「マルチシグネチャ（マルチシグ）」を導入していなかったことも批判を浴びた。

マルチシグは、複数の秘密鍵を分散管理する運用を指す。

「コールドウォレットとマルチシグネチャが併用されることで、セキュリティーは向上していきます」

かさむコスト、対策に二の足？

しかし、高いセキュリティーの反面、コールドウォレットのマルチシグ運用は実務的には敬遠されがちだという。

その理由として、杉井さんは次のような要因を挙げた。

・トランザクション（取引）コストが2〜3倍に増加し、手数料に影響。価格競争力が下がる。

・ネットワーク越しの遠隔制御ができない。即時出金などの対応ができずユーザーの不満がたまる。

・運用手順が煩雑で構築コストも高い。物理的に分離された別々の個室を複数準備しなければならない。常時監視や入退出の管理も必要。

・オペレーションの人件費が高騰する。署名者を複数人雇わなければならない。少なくともオペレーター3人、マネージャー3人程度が必要。24時間対応ならその数倍も。

ユーザーの利便性やコストの問題から「取引所は二の足を踏んでいるところがある」と杉井さんは話す。

追跡劇「大きな進歩生む可能性」

問題発覚後、NEMの流出先となったウォレットをマーキングして追跡する動きも見られた。

この点について、杉井さんは「面白い試み。ブロックチェーンの技術発展には大きな進歩を生む可能性がある」と評価した。

「換金したくてもできない。（犯人は）身動きの取れないがんじがらめの状態になっています」

「これは一つのヒント。同じことができる仮想通貨はまだ多くない。『そういう機能をつけなさい』という方向性になっていくのではないか」

「トップランナーは狙われやすい」

コインチェック以外の取引所で、流出が起こるリスクはないのか。報道陣からの質問に、杉井さんはこう答えた。

「起こり得ると思います。マウントゴックスも当時、世界一の取引高だった。やっぱりトップランナーは狙われやすい。額の大小はあれ、最大級と言われる取引所は軒並み狙われて紛失しています」

「世界の仮想通貨取引の4割を占めるのが日本だと言われていて、（コインチェックは）そのなかでも最大級のと取引所だから、目立って狙われやすいところにはあったと思います」