暗号資産の普及が進む一方で、ハッキングによる被害は深刻さを増している。資産をどこに保管し、誰が管理し、どのような操作を承認するのか。利用者だけでなく、サービスを提供する事業者にも、改めて安全性を考えることが求められている。
こうした状況を受け、ブロックチェーン推進協会（BCCC）は10月31日夜、「最近のハッキングを受け、今こそ考えたい暗号資産のセキュリティとは」をテーマに、緊急Xスペースを開催した。
参加したのは、BCCC代表理事の平野氏、副代表理事でステーブルコイン推進部会長の岡部氏、副代表理事で金融部会長の小西氏、そして筆者であるDeFi部会長の荒澤文寛の4名だ。
今回の目的は、ハッキングへの不安を広げることではない。交換所、ウォレット、DeFiのそれぞれに存在するリスクを理解し、利用者が今日からできる対策と、業界として取り組むべき課題を整理することにある。
BCCCは、ブロックチェーン技術の社会実装と健全な普及を推進している。新しい金融サービスの利便性を広げるだけでなく、安全性や利用者保護についても、事業者や専門家が知見を共有することが重要だ。
今回のような情報発信や議論を継続し、ブロックチェーンを誰もが安心して利用できる社会の実現に貢献していきたい。
参照：Xスペースはこちら
https://x.com/i/spaces/1vypBQzYKazAkr?s=20
バイナンスで約63億ドル流出、原因は複合的なシステム侵害か
今回の議論の背景にあるのが、世界最大級の暗号資産交換所Binance（バイナンス）で発生した巨額のハッキング事件だ。Binanceの発表によると、10月30日未明（日本時間）にホットウォレットが侵害され、約63億ドル（約1兆円）相当の暗号資産が流出した。
初期調査では、開発・運用を担当するエンジニアのノートPCが侵害され、攻撃者が内部システムへアクセスした可能性が示された。しかし、その後の調査では複数の侵害箇所が確認されている。Binanceは、ウォレットの秘密鍵が漏洩した証拠は現時点で見つかっていないと説明している。
今回、重要なのは、秘密鍵そのものが盗まれなくても、送金を承認するシステムが悪用されれば、資産が流出する可能性があることだ。
10月30日付の第2報では、約30億ドル相当の盗難資産をオンチェーン上で凍結したと発表。さらに、顧客資産の損失を補填するため、63.4億ドル超の資金を確保したと説明している。
ただし、資産の凍結と実際の回収は異なる。Binanceは出金サービスの段階的な再開と、11月2日の準備金証明の公表を目指しており、調査と復旧対応が続いている。なお、Binance Japanは国内顧客の資産への影響は確認されていないと発表し、予防措置として暗号資産の出庫を一時停止している。
盗難USDTをAaveに預け、ETHを借り出す──DeFiにも波及
今回の事件で、DeFiの観点から特に注目したいのが、分散型レンディングプロトコルAaveを利用した資金移動だ。Aaveのリスク管理を担うLlamaRiskの報告によると、攻撃者に関連するウォレットは、盗んだ6,000万USDTをAave V3に担保として預け、約19,762WETH（当時約4,460万ドル相当）を借り入れた。
その後、攻撃者のアドレスに対して凍結措置が取られたが、すでに借り出されたWETHはUSDTの凍結対象ではない。これはUSDTをETHに直接交換したのではなく、盗難資産を担保として利用し、別の暗号資産を借り出したという点が重要だ。
Aaveのスマートコントラクト自体がハッキングされたわけではない。しかし、外部で盗まれた資産がDeFiに流入し、その仕組みを通じて資産移動に利用されるという問題が浮き彫りになった。Aave側は事件を受け、多数の市場で新規預入や借入を一時的に制限する緊急対応を実施した。
また、ステーブルコインを凍結できても、それを担保に借り出された別の資産まで自動的に凍結できるわけではない。資金の追跡、凍結、回収には、交換所、発行者、DeFi事業者などの連携が欠かせない。今回の事例は、DeFiにおける自由な金融取引と、不正資金への対応をどのように両立するかという課題を改めて示している。
交換所・ウォレット・DeFi、利用者が注意すべきこと
今回のBCCC緊急スペースでは、技術的な対策だけでなく、利用者自身が何を確認し、どのような行動を取るべきかという点も重要なテーマとした。
まず交換所を利用する場合は、二段階認証やパスキーの設定、出金先アドレスの管理、不審なメールや偽サイトへの注意が基本となる。ハッキングのニュースに便乗した偽の補償案内や再認証の要求にも警戒したい。自己保管型ウォレットでは、秘密鍵やリカバリーフレーズの管理に加え、日常的な署名操作にも注意が必要だ。
特にDeFiでは、トークンの利用許可（Approve）やスマートコントラクトへの署名によって、第三者のプログラムに資産を動かす権限を与える場合がある。内容を理解できない取引には安易に署名しないことが重要だ。
また、DeFiを利用する際は、監査の有無だけでなく、管理者権限、預け入れる資産の種類、担保の安全性、流動性、緊急時の停止条件なども確認しておきたい。高い利回りやサービスの知名度だけで、安全性を判断することは避けるべきだろう。
DeFiの安全性を高めるため、業界が取り組むべきこと
DeFi事業者にとって、今回の事件は重要な教訓を残している。スマートコントラクトの監査は不可欠だが、それだけで安全性が保証されるわけではない。管理者権限を持つアカウントの保護、マルチシグによる承認、権限変更の監視、異常な資金移動の検知など、運用全体を通じた対策が求められる。
また、盗難資産が複数のプロトコルを経由する場合、オンチェーン分析による追跡と、関係事業者間の迅速な情報共有が重要になる。
一方で、緊急停止や資産凍結などの仕組みには、中央集権的な権限を強める側面もある。誰が判断し、どの条件で実行するのか。その透明性も確保する必要がある。
筆者がDeFi部会長として重視しているのは、利用者の自己保管と分散化の理念を尊重しながら、現実的な安全対策を積み重ねることだ。ブロックチェーンの透明性は大きな強みだが、透明であることと、安全であることは同じではない。
今回のハッキングは、交換所だけの問題でも、DeFiだけの問題でもない。デジタル資産を扱う金融インフラ全体に共通する課題である。
BCCCとしても、セキュリティ企業、交換所、ステーブルコイン発行者、DeFi事業者などとの連携を深め、情報共有と利用者教育を進めていきたい。ブロックチェーンの健全な普及には、技術革新と安全性の向上が両輪となる。今回の事件を一時的なニュースで終わらせず、より安全で信頼されるデジタル金融の実現につなげることが、業界に求められている。
ショート動画
BCCCが緊急討論！バイナンス約1兆円流出、DeFiにも広がるセキュリティリスク
【次に読む】
» トランプ大統領、バイナンス流出で北朝鮮の関与「調べている」＝Bloomberg
» バイナンス、利用者への補償に約1兆円を確保
» バイナンスの1兆円流出は「北朝鮮ハッカー集団の犯行」＝TRM
