Coincheck
Coincheck donationは、ビットコインで寄付ができるプラットフォーム。ビットコインは中央機関を介さないため、国や金額を問わず寄付ができる。
どこからきたメールかは判明しているが、海外からかどうかも含めて捜査の関係で言えない。過去に兆候は見当たらなかった。 外部専門家と共に、サービス再開の準備を整えている。新しいネットワークでは入口で侵入を防ぎまた外部への通信を防ぐ。常時監視体制を整える。新しいサーバを1カ月かけて再構築した。新端末に新経路を作ってセキュリティを強化。社内のネット接続状況を外部に委託して常時監視。仮想通貨のセキュリティではすべてコールドウォレットにした。(コールドウォレットは署名をするときもオンラインにする必要がない形を仮想通貨全部についてしたいと思っているが未決定。)完全確認できた仮想通貨(暗号通貨)から順次取引を再開する。管理態勢については、2月定時取締役会で、新たに金融機関出身のシニアの社内の者でセキュリティ担当のCISO(Chief Information Security Officer; 情報セキュリティ管理最高責任者)を任命し、その下に社員と外部の人間からなるリスクチェックを行うCISO室を設置した。システムリスク管理委員会を設置した。内部管理態勢強化として増員し内部規程を見直した。顧客保護を決定した経営管理態勢を作った。 NEM返金および一部仮想通貨の取引再開の予定について「見通しがついたので」発表。「NEM補償」専門チームを設置して顧客対応する。来週中を目処に日程発表。不正送金の時間を少し漏らしていたがそれを把握して総量が少し増え5億2,630万0,010NEMになった。既に発表しているレート 88.549円/XEM を掛けた額(約463億円になる)という額。(「批判があるが」といいう質問に「確定させていただいている」。
2017年4月改正の資金決済法第63条の11 第1項と仮想通貨交換業者に関する内閣府令は「仮想通貨交換業の利用者の金銭又は仮想通貨を自己の金銭又は仮想通貨と分別して管理」することを義務付け金融庁が監督しているが、同社はそれ以前に営業を開始している「みなし業者」のため、事件発生時点でその義務はなかった(各顧客ごとにウォレットを分ける義務規定はなく帳簿で管理すればよい模様)。もっとも、同社幹部は、分別管理を行っていたと発言していて、同取引所の「仮想通貨取引説明書」でも以下のように説明している。
「帳簿上のお客様の仮想通貨残高とお客様用ウォレットの仮想通貨残高を仮想通貨毎に、毎営業日照合します。照合した結果、お客様用ウォレットの仮想通貨残高が帳簿上のお客様の仮想通貨残高を下回っていることを確認した場合、当該不足額を5営業日以内に解消します。なお、帳簿上のお客様の仮想通貨残高は、各お客様の持分が直ちに判別できるように管理します。」
分別管理には、業者が顧客資産に手を付けて返金できなくなる事態を防ぐ目的がある。
NEM顧客資産をプールしていた口座は、常時インターネットに接続されている、いわゆるホットウォレット(反対語はコールドウォレット)で管理されていたため、クラッキングに弱かった。
NEM(ネム)のシステムは、口座からの出金にn人中m人の署名を必要にできる機能「多重署名」(マルチシグ(造語);マルチシグニチャ, Multisig, Multisignature)を提供している(有償)(nは最大32)。口座を適切にマルチシグにして、鍵を複数署名者が各々持つ、あるいは、各鍵を設計の異なるプラットフォームやコールドウォレットに分散保存するような体制にすれば、一つの鍵の漏洩やひとりの犯行では出金できない管理が可能である。しかしコインチェックでは事件当時、顧客NEM資産管理口座にに対しマルチシグを未適用であった。
コールドウォレット化が望ましいのはもちろんであるが、実現方法によって安全性は分かれる。暗号化チップをもつ独立したハンディな記憶媒体「ハードウェアウォレット」は非常に安全と言われるが、流出対象となったNEMは新しい暗号化アルゴリズムを使っているため、ハードウェアウォレットが製品化されたのはわずか一ヶ月前の2017年12月20日頃であった。