金融庁
暗号資産関連業者におけるサイバーセキュリティの課題と対策に関する研究調査
暗号資産関連業者に対する内閣府例第13条には、
暗号資産交換業者は、その行う暗号資産交換業の業務の内容及び方法に応じ、暗号資産交換業に係る電子情報処理組織の管理を十分に行うための措置を講じなければならない。
と定められています。
令和8年4月3日には、金融庁から、「暗号資産交換業等におけるサイバーセキュリティ強化に向けた取組方針」も公表されています。
暗号資産交換業者にとってサイバーセキュリティ対応は業務の中核となり、その対策費用は運営コストの多くを占めるほど事業への影響が大きい内容です。
暗号資産サービス仲介業者にとっても、自社の提供するサービスにおけるサイバーセキュリティ対応は不可欠といえます。
そういった中で、金融庁から、デロイト・トーマツとの共同研究という形で、様々な事例が公表されています。
非常に参考になる内容が詰まっており、暗号資産に関連するサービスを提供する事業者にとって、必見のレポートと言えます。
以下、一部のみ抜粋させていただきます。
- スマートコントラクトの取引内容を表示するウォレット画面は、人間にとって可読的ではない。そのため、内容を十分に確認しないまま署名する「ブラインド署名」が起こりやすい。交換業者によるステーキングサービスの利用等の際に、交換業者によるトランザクション送信先がスマートコントランとなる場合、「ブランド署名」が起こるリスクに留意が必要となる。
- DeFiではスマートコントラクトのコードが資産管理のルールそのものとなるため、スマートコントラクトのコードに脆弱性があると直接的な資産流出につながる
- 交換業者にDeFi等のスマートコントラクトと依存関係がある場合、その脆弱性は交換業者にも波及する可能性がある
- ステーブルコイン発行用スマートコントラクトでは、発行権限の管理が極めて重要。署名権限の管理が不十分な場合、権限を奪われた攻撃者に裏付資産のないステーブルコインを不正発行される可能性がある
- クロスチェーンプロトコルのチェーン間の情報伝達に弱点があると、不正なトークンの発行につながる
- ブロックチェーンでは一度有効に見えた取引が後から無効になる場合がある。これは、複数のブロックが同時に生成され、後から一方のチェーンだけが正式なものとして採用されるためである。このブロックチェーンの仕組みを悪用されると、入金は後から取り消される一方で、出金された資産だけが持ち逃げされる可能性がある。
＜所感＞
暗号資産サービスに関連するサイバーセキュリティに対するノウハウが蓄積されてきていると感じます。
サイバー攻撃を仕掛ける側は、あらゆる手法で引き続き攻撃をしてくると思いますが、事例が蓄積されるほど、防御する側のシステムは強靭になっていくと思います。
暗号資産サービスは金融の構造を大きく変化させるポテンシャルがある一方で、まだこの分野に専門的に取り組める事業者数が非常に少ない状況です。
日本はいち早くこの分野で法整備を進めているので、今後、いろんな産業が紐づいていくことになると思いますが、同時に、こういった事例が幅広く共有されて、各事業者内での対応が進んでいくことが必要だと思います。