2017年12月6日
創法律事務所弁護士　斎藤　創
I  始めに
ビットコインに関して取引所が関連する犯罪を大きく分けると①　取引所に対する犯罪②）取引所のユーザーに対する犯罪③　取引所ユーザー以外への犯罪で取引所をその後の手段として利用する犯罪の3つが考えられる。また、 ④　①や②に類似の犯罪として個人のウォレットに仮想通貨を保管していた場合のハッキングもあるそれ以外の仮想通貨関係の犯罪としては⑤）単なる詐欺-全く存在もしていない仮想通貨を値上がりすると言って販売する物⑥ 単なる犯罪-ランサムウェアの身代金として仮想通貨を要求、薬物・ポルノを仮想通貨で販売等⑦　犯罪か否かは不明だが一部から問題視される取引-ネットワーキングビジネスでの販売、High Yield Investment Program(HYIP)等と呼ばれる取引等、様々なものがある。今回のセミナーでは①〜③を主として取り上げる。
II
取引所に対する犯罪
1
内部犯行と外部犯行
内部犯行取引所の内部者が自社のビットコイン、又は顧客からの預かり資産であるビットコインを横頭する外部犯行取引所に外部からハッキングをし、取引所から仮想通貨を盗み出す(外部のアカウントに送付させる)。
2
内部犯行の例
2013年2月  (NtGox事件)当時世界最大の取引所MTG0Xが破綻。当初は外部からのハッキングと報道されていたが、実際には内部犯行であったよう。報道等による。但し、刑事裁判手続中であり、被告は無罪を主張している。また外部に犯人がいる等の報道もされている¹。 2016年4月両替所ShapeShiftのホットウォレットから約2,300万円の通貨が流出、この事件では内部の元従業員による犯行であったことが判明？
3
外部犯行の例
外部からの犯行については、取引所は多額のビットコインを保管しており、毎日のようにハッキング攻撃のトライを受けているという状況。これを水際で防いでいる。筆者の知る限り日本の著名取引所で大きなハッキング被害があった事例はない。海外事例は例えば下記のような例。このうちThe DAOやBitfinexは著名事例。小規模な事例は多数あるものと思われる。が大きいよう²。 2017年7月韓国最大の取引所が「Bithumb」がハッキングされ、多数のユーザーアカウントが蒲洩し、100万ドル(約1億1000万円)分以上の仮想通貨が盗み出された。 2017年11月19日USD TetherというUSDにペッグする仮想通貨3100万ドル分がその発行者であるテザー社の金庫ウォレットから不正に外部に送付される→発行者がいる案件であり、ハードフォークで対応し大きな問題はなかったよう。
4
対策・防止策
ハッキングは取引所として会社破綻に繋がりうる重要な事象である通常の取引所であれば、これらに対しては細心の注意を払って対応する必要がある内部犯行対策権限の分配、信頼できる者の採用、システム設計(ログの保持、コールドウォレットの利用など)、帳簿作成、バグ対策、内部監査、外部監査、不正サイトへのアクセス及び不正行為検出・記録・アラート通知体制
外部犯行対策
システム設計(セキュリティー対策、コールドウォレットの利用等)、バグ対策(常に最新の情報の入手、対応等)、帳等作成(ずれるとすぐ判る)、定期的なチェック、システム監査など
＊参考(権限の分配)
例えば仮想通貨法では、業態によるものの取締役会の設置、営業と管理の分離、コンプライアンスオフィサーの設置、内部監査室の設置、外部監査(会計監査、分別管理監査)などで二重三重の権限分離を要求＊参考(コールドウォレット)インターネット等のネット環境に接続していないウォレット。ネットに接続していないため外部からハッキングされる可能性が極めて低い。多くの取引所では例えば顧客預かり資産の80～90％等をコールドウォレットに保管コールドウォレットからホットウォレット(ネットに繋がったウォレット)への移動の回数は可能な限り低くする(運用によるが月に1度～年に1度など限定的)
Ⅲ　取引所ユーザーに対する犯罪
1　ユーザーのパスワード等の盗難
取引所ユーザーのアカウントがハッキング等され、無権限の者が当該ユーザーに代わって取引所にログインし、コインを送付する等の事案がある会社の内部犯行自社の内部者が会社のアカウントとパスワードを利用して、会社のPCで取引所からコインを送付外部犯行(外部からのハッキング)総当り攻撃、ウィルス、キーロガー、メールのハッキング、フィッシングサイト等々
(2)     ユーザー側の対応策
ネットを利用するための基本①　ウィルス対策ソフト、セキュリティー対策ソフトを入れる②　最新のOSを利用する③　不審なファイルを開かない④　不審なリンクを踏まない⑤　アカウント番号やパスワードを他者に教えない⑥　パスワードを他のサイトと共用しない⑦　PCやスマホを放置したり失くしたりしない、パスワードをかける⑧　定期的にログイン記録を確認し、自分以外のアクセスがないかをチェックする
金融取引の場合に重要
⑨　2段階認証/2要素認証を設定するよりセキュアな方法@　できるだけクリーンなPCやスマートフォンで取引を行う→　本当に多額の金額の取引を行う場合、専用の完全にクリーンなPCを利用し、かつ、当該PCにアクセスできる者を限定する等が望ましい
２　取引所側の対応策の例
ユーザーに対するハッキングは取引所では対応できない部分も多いが、例えば下記のような対策をとって、よりセキュアにする例がある①　パスワードの強度が低い場合(例えば英語の大文字小文字、数字、記号の全てを必須とし、文字数を8文字以上にする等)には受け付けない②　パスワードが推測されやすい単語を含んでいる場合には受け付けない③　パスワードの試行回数を限定し、一定回数以上の誤りについてはロック(総当り攻撃対策) ④　2段階認証/2要素認証を強制する/強く推奨する⑤　通常不使用のIPアドレスからのログインを弾く、ユーザーに通知して注意を促र्व  ॐ ⑥　ユーザーにユーザーが対応すべきセキュリティーを教育①　サイバーセキュリティ保険の導入⑧　パスワード保存の暗号化(ハッシュ化等、内部の者でもわからない状態に暗号化→　取引所に対してハッキングしその後ユーザー側をハッキングするケースの防正）
3問題点
セキュリティーは、利便性と安全性のバランスを取る必要がある。 ①　例としてパスワードは難しくすれば難しくするほどセキュリティーは安全になる。複雑なパスワードの場合、ユーザーが他サイトで使用している覚えやすいパスワードは弾かれることになり流用も防止しやすくなる他方、ユーザー自身が覚えられないパスワードしか設定できず利便性が低下し、紙に書いておく等で別途のセキュリティーリスクが発生することがある②　ユーザーがパスワードを忘れた場合、再発行の手続きを行うが、パスワードの再発行手続きが容易であればパスワードのハッキングリスクが増す。厳格化した場合、再発行が著しく面倒になる③　2段階認証/2要素認証の方法として例えばメール、SMS、ボイス、ワンタイムパスワード等があるが、メールがハッキングされている場合には認証の効果が薄れる。SMS、ボイス認証についてもハッキング事例が報告されているよう。 @ユーザーのPCにトロイの木馬、フィッシング、キーロガーなどを入れられてしまうと対応は極めて困難。取引専用のクリーンなPCの利用等を求めることは現寒的ではない⑤　保険についてはコストや引受手の有無の問題。またユーザーがハッキング被害にあった、と虚偽の申告をしてくる可能性がある
→　いずれにせよユーザーと取引所の両方の協力、不断の努力が必要

このSYK、SYH、SYAのうち別の2つ以上を使う認証を2要素認証別の要素かは意識せず、例えばパスワード＋パスワードなどでも良いのが2段階認証現在、ヨーロッパでは(一定の金額以下の決済や高速道路料金等の決済を除き)Payment Serviceに関しては2要素認証(Knowledge、Possession、Inheritance)を要求することが検討されている。 “Regulatory Technical Standards on strong customer authentication and secure communication under PSD24”とはいえヨーロッパでも現時点で必須な訳ではなく、また日本でも現在は2要素認証が必須という訳ではない5。
IV　取引所ユーザーでない者に対する犯罪
1
銀行口座ハッキング事業
①　取引所ユーザーではない者Aのインターネットバンキングをハッキングビットコイン取引所のＢ名義の口座に金銭を送付(2) ③ B名義の口座でビットコインを購入④ B名義口座からビットコインを引き出し
2
コンビニ振込詐欺等の事案
①　取引所にはペイジ一入金システムがあるものがあり、例えば入金額と、ペイジ一の番号が出され、それにコンビニ等で振り込むことができる②　取引所の名義人であるＢは、ペイジー入金をする旨を取引所に連絡③　犯人Cが取引所ユーザーではないAに対して振込詐欺。上記②のペイジー入金の番号を教える④　Aはコンビニで入金⑤　Bが入金されたお金でビットコインを購入、引き出し(現在は、例えば振り込み金額について1週間の引き出しを禁止するなどにより基本的には解決されていると理解）
3
問題点
上記のBが本人であれば通常は逮捕が容易。他方、 (a)  Bが報酬を貰った出し子として行動するが、実際の犯人は他のC (b) Bが生活困窮者等で本人確認書類をCに売却、又はCに騙されて本人確認書類等を渡しているケース(融資をします、融資のためにこの情報が必要です等) (c) Ｂが外国人等で帰国時にＣに口座を売却するケースなど、Cを突き止めることは必ずしも容易ではない
銀行口座ハッキング
インターネットバンキングのハッキングは何故起きるのか？銀行によっては例えば振込用カードでの番号入力やワンタイムパスワード等での2段階認証/2要素認証をしていると思われる。そのようなものがない事例？対応していたがウィルス、フィッシング等で破られた事例？取引所としては振込人Aの名義と口座Bの名義が異なれば入金を拒否するが、そもそも日本の銀行送金システムで第三者名義での送金ができる→　海外ではできないケースが多いと開いている。日本の送金システムの便利な点でもあり、他方、セキュリティー上の欠点でもあると思われる取引所の疑わしい取引確認について取引所の方でSuspicious Activityを発見し、自主的に取引をストップさせることはしばしぼあるしかしながら、業者によってもそのレベル感は異なると思われ、更にプラッシュアップが必要
V　ウォレットに対するハッキング
個人保有のウォレットがセキュリティーリスクや脆弱性をつかれハッキングを受けるケース2017年6月複数の仮想通貨を管理できるウォレットJaxxが40万ドル分盗まれるhttp://cryptocurrencymagazine.com/users-report-losing-400000-due-to-jaxx-wallet- vulnerability 2017年7月20日イーサリアムクライアントのParityが提供するマルチシグウォレットにてセキュリティバグがありウォレットがハッキングにあい、約34億円が盗難にあったケースhttps://ethereum-japan.net/ethereum/parity-maltisig-vulnerability-hacked-150keth/
VI その他の最近の犯罪事例
(1)最近はICO(Initial Coin Offering)という資金調達のために新しいコインやトークンを発行し、その対価をBitcoinやEtherで受け取る事例が増えている。犯罪者が虚偽の受取アドレスをTelegramサイト等で掲示して、そこにBitcoin等を送付させる例(2) BLOGなどにマイニングのソフトウェアを埋め込み、ブログにアクセスした人のPCを使用し、勝手にマイニングを行なう
W　犯罪等で盗まれたビットコインの行き先/犯人の関査方法
1
前提
ブロックチェーン上の取引記録①　ビットコインは全取引がプロックチェーン上に記録される②　但し、ブロックチェーン上には32桁の英数字のアドレスとアドレスに関する取引(に対応したデータ)で記載されるのみ。秘密鍵を管理する者の名前や住所等のデータが載っている訳では勿論ない③　アドレス間のコインの移動のチェックは誰でもできる。ツールも例えばChainFlyer 6などが公開されている。但し、転々と移動をされた場合、チェックは労力を要する
本邦取引所の本人確認
④　本邦取引所は現在、犯収法に従い、アカウント開設者の名称、住所、生年月日等の本人確認書類(免許証等)での確認、申告による取引目的、職業等の確認を行い、かつ、転送不要郵便等で住所の実在を確認している。かつ、犯収法に従い、疑わしい取引のチェックなどを行っている⑤　本人確認については３月以前は自主規制で、例えば免許証によるチェック+IDセルフィーによるチェック⑥　潜りの取引所(規制を守る気のない取引所等)の中には本人確認をしていない取引所があるかもしれない。10月以降、厳しい指導が必要となる海外の取引所の本人確認⑦　海外の取引所が本人確認/疑わしい取引をチェックしているかは各国の法規制等による。米国ではFinCENの要求により厳しい本人確認/疑わしい取引のチェックをしているよう⑧　いずれにせよ各国の主要取引所は何らかの形で本人確認を行っていると理解⑨　但し、全ての国、取引所が本人確認をしているかは不明@ FATFは加盟各国に取引所についての免許制又は登録制、本人確認義務を導入することを勧告している。全世界的に本人確認は必須化していくと思われる
2
購査
上記のように、ビットコインのブロックチェーン上の移動は全て記録され、転々と移動された場合に調査に労力は必要なものの、理論的には全て調査可能問題は、そのアドレスと持ち主をどう紐付けるか日本国内の取引所であれば捜査事項照会を送付すれば、取引所としては返答可能な答→　アドレス、そのアドレスの持ち主、そのアドレスとの間で●月●日から●月●日に取引があった内容等) →　素早いご返答のために、各取引所と警察で取引所に聞く捜査事項照会書の様式を共有化している最中海外の取引所でも、各国ごとの捜査協力で情報を得られる（と聞いている）将来的にビットコインがビットコインのまま使用されるようになると取引所の本人確認のみでは不足になる可能性があるが、少なくとも現在のところビットコインをビットコインのまま使用するニーズは少ない最終的には換金をする以上、どこかの取引所を使う必要があることが通常→　調査方法等は警察等関係者と議論させて頂ければ我々としても可能な限り協力したい以　上