【図解説明】マルチシグとは？取引所のコールドウォレット・マルチシグ運用体制も比較

2018年1月26日にcoincheck（コインチェック）から約580億円分のXEM（ネム）が不正出金されてしまった事件を契機に、仮想通貨の信頼性・安全性を疑問視する動きが強まりました。

コインチェックがハッキングされたのは、ネムを「ホットウォレット」で保管していた同社のずさんな管理体制に原因があり、決して仮想通貨のブロックチェーンテクノロジーが破られたわけではありません。

ネムを監査しているネム財団は、

「コールドウォレットとマルチシグを導入していれば今回の事件は防げた」

とコインチェックのセキュリティ体制を批判。コインチェックの幹部はおそらくシステム投資を怠ったために、国内外の関係者から非難される最悪の結果を迎えてしまいました。

今回の事件をきっかけに多くのメディアが取り上げるようになった「コールドウォレット」や「マルチシグ」とはどのようなシステムなのでしょうか？

この記事を読めば仮想通貨のセキュリティ技術について理解度が深まりますので参考にしてみて下さい。

マルチシグを知る前に…仮想通貨への攻撃の種類を学ぼう

仮想通貨を手に入れるには、「売買取引」・「マイニング」・「譲渡」等の方法があります。しかし、悪意を持った技術者が標的の隙をつけば、違法な手段で第三者の仮想通貨を盗み出すことも可能です。

今やICOで調達した資金の10％近くが盗難・紛失していると言われており、仮想通貨の管理の難しさが浮き彫りになっています。まずは仮想通貨の盗難リスクをしっかり理解しておきましょう。

1　インターネットを通じて攻撃

仮想通貨の盗難で最もポピュラーなのが、インターネット経由でのハッキングです。これはくだんのコインチェックがやられた手口であり、世界中どこの仮想通貨取引所でも起こりうる可能性があります。

仮想通貨には、

というシステムが採用されています。仮想通貨の所有者が秘密鍵によって署名を行い、他の利用者が公開鍵で改竄されていないことを確認できるため、仮想通貨の信頼性が保証される仕組みになっています。

と言い換えることもできます。

ドアの鍵をかけずに部屋を留守にしていれば、空き巣に入られても文句が言えません。

ハッカーは所在を問わずあらゆる電脳空間に不正侵入を試みることができるため、インターネット環境における秘密鍵の管理は最も脆弱でリスクの高い手法なのです。

ホットウォレットとは

このようにオンライン環境で仮想通貨を管理する態勢をホットウォレットと呼びます。

ホットウォレットはシステム投資費が安価で資産移動がスムーズというメリットを有していますが、セキュリティ面に難があります。

コールドウォレットとは

ホットウォレットの脆弱性をカバーするために考案された対応策が、ネットから隔離された環境で管理する「コールドウォレット」です。インターネット社会の現代では、顧客の資産を預かる仮想通貨取引所がコールドウォレットを採用するのはもはや常識となっています。

これらホットウォレットとコールドウォレットについては後述します。

2　物理的な接触を通じて攻撃

コールドウォレットにより秘密鍵をインターネット環境から遮断していても、別の盗難リスクを無視することはできません。バッグを置き引きするように、仮想通貨の情報を「物理的に」盗むことが可能だからです。

秘密鍵をハードウェアウォレットやペーパーウォレット等のデバイスで管理する場合、秘密鍵またはバックアップ用パスフレーズを盗用されると、容易に仮想通貨の移転が出来てしまいます。高度なセキュリティソフトをインストールしていても、サイバー攻撃ではないためほとんど意味を成しません。

取引所の施設内に直接忍び込んできた強盗、あるいはソーシャルエンジニアリングや社員といった内部犯行等のリスクが考えられます。人間は自分の利益のためならば身内であろうと平気で裏切る生き物です。攻撃者は必ずしも遠隔地にいるとは限らないという事です。

直に攻撃されるのはハッキングよりも厄介ですが、防ぐ手立てが全くないわけではありません。それが、ネム財団の推奨した「マルチシグ」というシステムです。マルチシグを導入して仮想通貨を容易に移転させることが出来ないようにしておけば、内部犯行のリスクも大幅に分散することが可能となります。（マルチシグについては後述。）

ホットウォレットとコールドウォレットについて理解しよう

仮想通貨を管理するツールには、「ホットウォレット」と「コールドウォレット」の2種類があります。

ちなみに、セキュリティレベルが低いともっぱらの評判のホットウォレットでも、「マルチシグ」を活用すればノードを分散し攻撃難度を高めることも可能です。ただし、トランザクションの発行や署名要請を行うサーバーに不正侵入される可能性等を考慮すると、リスク低減の観点では対策として不足していると言わざるを得ません。だからこそ、コールドウォレット＋マルチシグ化が最強の仮想通貨管理システムと言われているのです。

マルチシグとは

マルチシグは「マルチシグネチャー（Multisignature）」の略称で、複数の秘密鍵を用いて分散管理する運用システムを指します。

マルチシグは送金に必要な署名の数によって色々なタイプに分かれます。例えば「2of3」と呼ばれるマルチシグは、「事前に作られた3つの秘密鍵のうち2つのキーでの署名が必要」という仕様を意味します。

万一秘密鍵が一つ流出したとしても、それだけでは仮想通貨を移転することが出来ません。そしてハッカーが2つ以上の秘密鍵の組み合わせを見つけ出すのは、理論上限りなく不可能に近い作業です。

しかも、万一ユーザーが自分の秘密鍵を一つ喪失してしまっても残りの秘密鍵があれば事足ります。マルチシグはセキュリティレベルが上がるだけでなく、紛失時の保険としても重宝します。

仮想通貨のセキュリティは、煎じ詰めると

単一の秘密鍵を使う従来のシステムに比べ、秘密鍵の盗用リスクを抑えられるセキュリティの強さがあります。

複数人の管理者がそれぞれ別個の秘密鍵を保管すれば、誰か一人が身内を裏切ったとしても流出を防げます。内部犯行を防止する上でもマルチシグは不可欠なテクノロジー。

・コールドウォレットとマルチシグが併用することで…
⇒双方の弱点が補完される
⇒仮想通貨のセキュリティは飛躍的に向上する

ことになります。

取引所各社のコールドウォレット＆マルチシグの適用状況

コールドウォレット・マルチシグは、仮想通貨管理において非常に重要な技術です。

それでは現在の仮想通貨業界では、コールドウォレットやマルチシグがどの程度普及しているのでしょうか？第2、第3のコインチェックが現れる心配は無いのでしょうか？各仮想通貨取引所の対応状況をまとめてみましょう。

ビットバンク

ビットバンクは顧客資産の保護、安全性の確保を事業運営の最優先課題に挙げており、顧客資産と自社資産の分別管理を徹底しています。

同社で取り扱われている6種類の仮想通貨は、いずれもコールドウォレット環境にて運用。そしてビットコイン・ライトコイン・モナコイン・ビットコインキャッシュの4種類はすでにマルチシグに対応しています。

リップルとイーサリアムはビットコイン等の他の仮想通貨とは仕様が異なっているため、そのままマルチシグを適用することができません。別の観点からセキュリティ検証を行い、安全にマルチシグに移行するための方法を検討している最中です。

ちなみに、ビットバンクのホットウォレットには顧客資産は含まれておらず、自社資産のみが保管されています。ハッキング被害を懸念することなく安心して自己資産を預けられる環境が構築されていると言って良いでしょう。

参考：bitbank

Zaif

Zaifを運営しているテックビューロは、コインチェックのハッキング事件を受けてセキュリティ対策室を設置しました。さらなるセキュリティ強化のために、コールドウォレット優先化を実施しています。

残高予測アルゴリズムを導入し、ホットウォレットで管理する資産を最小限に維持。コールドウォレットを優先すると自己資産をすぐに引き出せなくなる問題が発生するため、セキュリティ優先の旨を投資家に周知することで利用者数減少を防いでいます。

ウォレットがすでにマルチシグ化されている仮想通貨を含め、さらなるマルチシグ環境の強化を追求しています。

具体的には署名サーバー環境の分散化や署名手順の複雑化を進めていますが、セキュリティリスクに繋がる可能性があるので詳細な情報は非公開になっています。

外部から招聘した専門家を交えてのシステム検証、インシデント発生時の報告・対応プロセスの迅速化なども進められており、セキュリティ意識の高さを感じます。

参考：Zaif

bitflyer

bitflyerは「セキュリティ・ファースト主義」を掲げ、グループ一体となったセキリュティ施策に力を入れています。

80％以上の仮想通貨はコールドウォレットで保管。多重の物理的セキュリティシステムによって保護され、24時間体制の監視システムによって厳重に管理されています。今後はコールドウォレットの基準をさらに厳格化していく予定です。

また、現在bitflyerが取り扱っている6種類の仮想通貨についてもすでにマルチシグ化を実施しています。

bitflyerは各種取扱仮想通貨に関して一定の基準を設けてマルチシグ化をしていますが、今後はさらなる基準の厳格化を実施する予定です。

参考：bitflyer

GMOコイン

GMOコインは顧客資産の分別管理やサイバー攻撃対策を通して顧客資産保護を行っています。

仮想通貨の保管方法にはコールドウォレット管理を採用。しかもコールドウォレットからホットウォレットに仮想通貨を移動する際には複数部署の承認が必要な体制を構築しており、悪意を持った第三者による不正流出リスクが抑えられています。

同社のセキュリティ基準を満たす仮想通貨についてはマルチシグも導入。セキュリティ構成の異なる複数の場所に秘密鍵を保管することで、盗用されるリスクの低減を図っています。

公式サイト上には各仮想通貨のマルチシグ対応状況について具体的な表記がありませんが、ハッキングされる可能性が極めて低い環境を構築しています。

参考：GMOコイン

BITPoint

BITPointは、楽天証券の元CTO（最高技術責任者）が開発した取引システムを使用しており、当初からセキュリティレベルの高さに定評がありました。しかも日野正晴氏（元金融庁長官）を特別顧問に迎えており、金融商品取引業者レベルの厳しい管理体制のもとで運営されています。

顧客資産の全額をコールドウォレットで保管。自社独自のアルゴリズム・管理態勢を敷いており、仮に秘密鍵が流出しても解読することが出来ないため、不正出金される可能性は極めて低く抑えられています。

なお、マルチシグについては具体的な公開情報が無いので分かりません。しかし、不正アクセスや不正な情報持ち出し等の異常が発生した時には、アラートが出力されて即座に異常を検知できる監視体制が敷かれています。

参考：BITPoint

みんなのビットコイン

みんなのビットコインは、全ての投資家に安心してサービスを利用してもらうために、使いやすさと強固なセキュリティの両立を目指しています。

顧客の資産を常時コールドウォレットにて管理し、ハッカーによる攻撃を排斥しています。その際、透明性を確保するために、すべてのユーザーに固有のビットコインアドレスを付与してビットコインの残高を表示しています。

マルチシグに関しては具体的な説明がなく、導入の可否が分かりません。ただし、出金の際には登録メールアドレスを用いた2段階認証システムを採用しており、高確率で不正アクセスを検知できる体制を構築しています。

参考：みんなのビットコイン

ビットトレード

ビットトレードは顧客資産の保護および安全性の確保を事業運営の最優先課題に挙げており、顧客資産と自社資産の分別管理を実施しています。

同社で取り扱われている6種類の仮想通貨は、いずれもコールドウォレット環境にて運用。並びに、ビットコイン・ライトコイン・モナコイン・ビットコインキャッシュの4種類はマルチシグに対応しています。

コールドウォレットの適用状況

マルチシグの適用状況

リップルとイーサリアムはビットコイン等の他の仮想通貨とは仕様が異なっているため、そのままマルチシグを適用することができません。別の観点からセキュリティ検証を行い、安全にマルチシグに移行するための方法を検討している最中です。

ビットトレードは引き続き内部監視を含むセキュリティ強化に努めており、セキュリティポリシーを見直す際には適宜最新の情報を公表していく方針を表明しています。技術的な取り組みはもちろんのこと、透明性の高い経営体制も魅力的です。

参考：ビットトレード

Liquid by QUOINE

Liquid by QUOINEはコインチェックハッキング事件の半年ほど前からコールドウォレット・マルチシグ化を進めていました。

顧客の資産を保管する入金用のコールドウォレットについてもマルチシグを実装。ビットコイン入金用のBTCアドレスおよびイーサリアム入金用のETHアドレスを個別に割り当て、透明性を高めています。

その他の仮想通貨のマルチシグ対応状況については情報がないのでわかりません。しかし、2017年4月の改正資金決済法施行当初からマルチシグ・コールドウォレットを積極的に導入していたLiquid by QUOINEのセキュリティ体制には抜群の信頼感があります。

参考：Liquid by QUOINE

DMMビットコイン

DMMビットコインは、顧客の預け入れた資産をすべて分別管理し、毎営業日ごとに算定・照合しています。仮想通貨についても物理的に分離した状態で管理。不正に取り扱われていないか精査する体制を構築しています。

公式サイト上には「顧客用ウォレットで管理」という記述はありますが、リリースからまだ日が浅いこともあって、コールドウォレットやマルチシグなどに触れた記事はありません。今後同社の詳細なセキュリティ体制について説明が欲しいところです。

参考：DMMビットコイン

取引所の安全性まとめ

コインチェックのハッキング事件を契機に、各仮想通貨取引所はコールドウォレット＋マルチシグのセキュリティ体制に尽力するようになりました。今後日本国内の仮想通貨取引所で大規模なハッキング被害が発生する可能性は極めて低くなってきていると言えるでしょう。

しかし、それでも仮想通貨取引所が世界中のハッカーから狙われている場所であることに変わりはありません。セキュリティ技術が日々進歩しているように、ハッキング技術も進化し続けており、システムの脆弱性を突く手法が編み出される可能性があります。

取引所に資産を放置している方は、その資産が戻ってこないリスクも意識しなければなりません。

ハードウェアウォレットなら仮想通貨を安全に保存できる

現在の日本の法律では仮想通貨取引所に信託保全やハッキング補償が義務付けられておらず、万一事故が起きると全て投資家の自己責任になる可能性があります。

セキュリティを重視している仮想通貨所有者は、取引所のウォレットではなく自分のハードウェアウォレットで資産を自己管理すべきです。コールドウォレットの一種であるハードウェアウォレットならネットワークから隔離して仮想通貨を保存できるため、取引所のウォレットに置いておくよりはるかに安全です。

詳しくは下のページで詳しく解説しているので参考にして下さい。

自分の仮想通貨資産を守るためにハードウェアウォレットの導入が必須!!おすすめの2商品を徹底比較

ただし、ハードウェアウォレットには紛失リスクがあります。いくらハッキングリスクが少ないとはいえ、肝心の端末を失くしてしまったら本末転倒。機器の所在にも気を配りましょう。

まとめ

コインチェックから約580億円分ものネムが不正に引き出されたのは、同社のセキュリティ体制の不備に起因しています。世間では「コールドウォレットとマルチシグを導入しないのが悪い」という一方的な批判が殺到していますが、現実問題としてこれだけのレベルのセキュリティを構築するのは会社にとってかなりの負担になります。

その一つが、コストの問題。システム投資費が増大するのはもちろんのこと、マルチシグ監督者やオペレーターの人件費、セキュリティルーム監視費用などが高騰し、取引手数料を上げざるを得なくなります。

そしてもう一つの問題が、利便性の問題。コールドウォレットはネットから遮断されているため、ホットウォレットのように即時出金が出来ません。手続き完了までに時間がかかり、ユーザーのストレスになってしまいます。

つまり、仮想通貨取引所に高度なセキュリティを求めるなら、投資家側もそれなりの代償を支払わなければならないという事です。仮想通貨業界が健全に発展していくためには、会社だけでなく私たちトレーダーも現状を理解し成長していかなければならないのです。