DMMビットコイン流出事件 Gincoの責任とセキュリティの穴

DMMビットコインから巨額のビットコインが不正に流出した事件は、暗号資産業界に大きな衝撃を与えた。この事件の背後には、暗号資産ウォレットソフトウェア会社「Ginco」の存在があった。

警察庁は、米国連邦捜査局（FBI）及び米国国防省サイバー犯罪センター（DC3）とともに、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」（トレイダートレイター）が、DMMビットコインから約482億円相当の暗号資産を窃取したことを特定。合同で文書を公表したことで事件の全貌が明らかになっている。

本稿では、事件の詳細とGincoの役割、そして今後の業界への影響について解説する。

北朝鮮ハッカー集団による巧妙なソーシャルエンジニアリング

警察庁の発表、そしてFBIの情報によると、犯行は北朝鮮のハッカー集団「TraderTraitor」によるものだった。彼らはLinkedIn上でGincoの従業員にリクルーターを装って接触。「あなたのスキルに感銘を受けた」といった言葉で近づき、偽の採用試験を送りつけた。この試験は、実際にはマルウェアが仕込まれたPythonスクリプトへのGitHubのURLだったことが報じられている。

Gincoの管理システムへのアクセス権限を持つインド人従業員が、この偽の入社試験を受け、Pythonコードをダウンロードして実行したことでPCが感染。セッションクッキーを盗まれ、DMMのビットコインが盗まれたというのが事の経緯のようだ。

手口は非常に高度で、北朝鮮のハッカー集団の巧妙さを示している。だが、金融関連の業務を、私用PCの使用も許可されたリモートワークで任せていたGincoのセキュリティ管理体制の甘さが露呈した形だ。

SNS上では、「金融仕事なのに、インドのエンジニアにテレワークで私用でも使えるPCで仕事任せ、そこから顧客の管理システムへのアクセスを許可しているGinco」「そんな会社にリスクを考えず外注してシステムを任せてたDMM」といった批判の声が上がっている。DMMの失敗は、「開発はフルリモートワーク可能」を謳うGincoに依頼した点にあるという指摘もある。

DMMビットコイン流出の流れをまとめると、

①LinkedInで北朝鮮工作員がリクルーターとしてターゲットの社員に接触、

②採用試験と称してWebページを送付し感染させる、

③感染したPC経由で送金、という流れになる。

これは騙されやすい手口であるため、注意が必要だ。

Ginco：Web3業界を支える存在、その実態は

Gincoは、企業向けの暗号資産ウォレットソフトウェアを提供する企業。代表取締役の森川夢佑斗（むうと）氏は業界を牽引する存在として、数多くのメディアに露出。

同社はWeb3業界において重要な役割を担っており、三菱UFJ信託銀行や大和証券グループ、損害保険ジャパンなど、多くの金融機関と提携している。ブロックチェーン技術を活用したシステム開発に強みを持ち、Web3の実装を推進する存在として知られていた。しかし、今回の事件により、そのセキュリティ体制の脆さが露呈した。

沈黙を続けるも、その真意はどこに

皮肉なことに、Gincoは自社のウェブサイトで「セキュリティ、安定性、サポートの手厚さ」を謳っている。しかし、482億円相当のビットコインが流出した大事件に関わっているにもかかわらず、12月25日02時現在、コーポレートサイトには今回の事件に関する公式な言及は見当たらない。事件発生からかなりの月日が経過しているにもかかわらず、沈黙を保ち続けるその姿勢は、Web3業界を牽引する企業としての責任感、そして透明性を欠いていると言わざるを得ない。

この間、何食わぬ顔をして新規の営業を行っていたとしたら、それはなかなかに商魂たくましい存在といえようが、顧客にとってはたまったものではない。ただ、スタートアップの体力を考えると、立ち止まるわけにもいかなかったというのなら、せめて少なくとも、報道がでた24日中に、対外的に適時開示する責任は、金融業界にいる企業としてあるのではないだろうか。

顧客の信頼を第一とする金融業界において、情報開示の遅れは致命的な失策となりうる。果たして、同社は自社の顧客、そしてWeb3業界全体に対して、どのような説明責任を果たすつもりなのだろうか。その沈黙は、まるで深淵をのぞき込むような不安感を業界関係者にもたらしている。Web3という新しい時代の到来を担う企業として、その誠実さが今、問われている。

ビットバンクとビットフライヤーの迅速な反応

事件を受け、大手暗号資産取引所であるビットバンクとビットフライヤーは、Gincoのサービスを利用していないことを迅速に公表した。ビットフライヤーの加納裕三社長は、Ｘで「ビットフライヤーはGinco社サービスを利用していません。当社は創業以来、セキュリティを経営上の最優先課題に位置づけお客様の資産を保護しています」と表明。

これは両社の高いセキュリティ意識の表れと言えるだろう。ちなみに、ビットバンクは機関投資家や企業向けのグローバルな暗号通貨市場データ・プロバイダーであるKaikoの暗号資産交換業者ランキングで国内トップ&セキュリティも国内トップであるが、今回の事件を鑑みても、実態の伴った評価といえるだろう。