なぜ秘密鍵は盗まれたのか。
私「で、いよいよこの間の５８０億円流出の話なんだけど。ここまで話すとだいたい原因がわかると思いますが。
仮想通貨セキュリティの一番の弱点が『秘密鍵の保管』です。」
ヨメ「その秘密鍵が盗まれたのね。」
「そう。今回盗まれた仮想通貨はNEMといいます。」
「ビットコインじゃないの？」
「うん。ビットコインよりも新しい技術で更に進化した仮想通貨です。」
「どこが違うの？」
「まあいろいろ改良されているんだけど、一番は更にセキュリティが強くなったところかな。」
「ええ、でも盗まれちゃったんじゃしょうがないじゃない。」
「うむ。そしてその仮想通貨の取引所の名前はコインチェックという名前の会社。今回は２６万人分のNEMがごっそり消えたとされる。」
「そんなにたくさんの？」
「うん。しかしね。良く調べてみると、NEMの口座が２６万人あったわけじゃなさそうなんだ。」
「どういうこと？」
「つまりコインチェックの会社は顧客全体で一つのNEM口座で運用していたらしい。」
「ということは秘密鍵も一つだけだったの？」
「正確な情報は発表されてないんだけど、どうもそうらしい。」
「ハッカーが２６万人の秘密鍵を盗んだら、それを一つ一つ自分の口座に送信するのは大変な手間と思うけど、たった一つの口座に５８０億円分入っているなら、盗み出すのは簡単ね。」
「うん。」
「でも何でその会社は口座を一つにまとめてたのかしら。」
儲け主義でセキュリティに手を抜いた結果。
「それは管理が楽ちんだからだよ。コインチェックにしてみたって、２６万人分の秘密鍵を管理しなきゃいけないなんて大変だからね。」
「ええ、ってそれ手抜きじゃない。」
「うむ。でね。その５８０億円分の秘密鍵一つは、インターネットに繋がっていたサーバ（＝パソコンの処理能力がうんと高いマシン）に保管されていた。」
「あれ？確かあなたが、インターネットに繋がったパソコンには保管するな。って言ってたやつよね。」
「うむ。コインチェックという会社はその秘密鍵をインターネット上のサーバに保管していた。」
「なんでそんなことしてたの？」
「うん。それはね、インターネットから切り離したマシンに秘密鍵を保管すると、送金手続きが煩雑になるからさ。
送金ごとに担当者が秘密鍵をマシンから取り出して送金してまだ鍵をマシンに戻す。そういう作業が必要。でも会員は２６万人いるし、２４時間いつでも送金できるよ。というのがコインチェックの売りだったからね。
だから本来は禁じ手なのだけど、インターネット環境に秘密鍵を保存していた。担当者の作業はぐっと楽になったけれど、同様にハッカーの仕事もぐっと楽になった。
このコインチェックはこのNEMとは別に、ビットコインの口座も持っているのだけど、こちらはインターネットから切り離していたので、被害はなかったんだよ。」
「え〜。」
使われなかったセキュリティ機能。
「それでね、さっきNEMはビットコインよりセキュリティが高いといったろ？」
「うん。」
「あれはね、マルチシグっていって秘密鍵を３〜５個に分割できる機能なんだ。だから一つはサーバ上に保管。一つはUSBメモリで保管。一つは印刷して保管というように分散できる機能なんだよ。」
「コインチェックは当然それを」
「うむ。やってなかったんだな〜。これが。せっかくNEMがセキュリティ高い機能を持っていたのに、コインチェックは人手がかかるといってそれらの機能を使っていなかった。その理由は同じ。鍵を分割したら操作が複雑になるだろ？それだけ社員を雇わなければならないし、システムも複雑になる。だからマルチシグという機能は使ってなかった。そう言われている。
つまり彼らは、自分たちの操作がしやすいように、２６万人の口座は一つにまとめて、しかもその秘密鍵はインターネットに繋がった場所に保管していたのさ。」
「ええ〜。」
レジに５８０億円いれて深夜ワンオペ作業させていた。ようなもの。
「仮想通貨は言ったとおり全ての送金記録は世界中に公開されている。でね。それを見るとコインチェックはマルチシグを使っていないことは簡単にわかる。
そして２４時間振込が可能ということは、きっと秘密鍵はインターネット上に保存されてるんだろうな。ということもハッカーに簡単にバレる。
以前ある牛丼屋チェーンで深夜の強盗が多発したことがあった。その牛丼屋チェーンは人件費を下げるために深夜はワンオペといって一人で作業をさせていた。その警備の甘さをついて強盗が狙い撃ちしたんだ。
今回のコインチェックも同じ。ハッカーから見ればコインチェックは深夜のワンオペ牛丼屋さんに見えたことでしょう。
秘密鍵は金庫にさえいれず、レジに突っ込んでいたようなものです。５８０億円分もね。」
「まあ。」
「ということで仮想通貨の問題点の一つの話は以上です。
秘密鍵の保管が実はすごく難しい。貨幣や金塊のように実体があるわけではないので、仮想のデータだから、我々が考えるよりずっと簡単に失われる可能性がある。」
「そうね。」
仮想通貨は電子マネーとは違う。価値も仮想である点が問題。
「そして次に仮想通貨のもう一つの問題点について考えてみます。それは仮想通貨が実体の価値とは結びついていないということ。：
「ええ？だって仮想通貨は円とかドルに換金できるでしょ？」
「いやそれは似て非なることなのです。たとえば電子マネーと仮想通貨は似ているようだけど全く違う。それはものの価値に結びついているかどうか。」
「？」
つづく
ブログランキングに参加することにしました。
本ブログに共感される方はクリックのほどよろしくお願いいたします。
にほんブログ村
ありがとうございます。下記は静止衛星軌道上で観測される太陽からの電子密度グラフです。急な変動がある場合は地震や事故に備えて防災意識を心掛けましょう。特に注意が必要な期間は、メールやTwitterで防災意識リマインダーを受け取ることができます。詳しくはこちら
本ブログは引用元をあきらかにしていただければ、ブログやSNSでの拡散は許可いたします。