ブラジルの暗号資産取引所Mercado Bitcoin（メルカド・ビットコイン）が、ハッキング被害を受けて入出金を一時停止した。
11月2日（月）、同取引所に紐づくウォレットから、少なくとも10のブロックチェーンで資金が抜き取られた。セキュリティ企業の推計では、被害額は4,000万ドルを超える。
北朝鮮系ハッカーによるBinanceへの大規模攻撃から、わずか数日後の出来事だ。この記事では、何が起きたのか、なぜ複数のチェーンが同時に狙われたのか、利用者は何に気をつけるべきかを整理する。
Mercado Bitcoinで何が起きたのか
10以上のチェーンで同時に資金が流出
Mercado Bitcoinは、ブラジルを拠点とする中南米有数の暗号資産取引所だ。今回の被害の大きな特徴は、1つのチェーンにとどまらなかった点にある。
流出が確認されたのは、イーサリアム、ソラナ、トロン、ポリゴン、アービトラム、アバランチ、BSC（BNBスマートチェーン）、ステラなどだ。少なくとも10のチェーンで、取引所のウォレットがほぼ空になった。
ここでいう「ウォレット」は、取引所が顧客の資産を出し入れするために管理している財布のようなものだ。取引所はチェーンごとに別々のウォレットを持つ。それらが一斉に狙われたことになる。
流出は約34分間に集中
暗号資産セキュリティ企業Opsekの創業者、パブロ・サバテラ氏があるレポートをXで共有した。それによると、大口の流出はUTC（協定世界時）の6時19分〜6時53分に集中していた。
この時間帯に、各チェーンのウォレットから資金の大半が新しいアドレスへ送られたという。日本時間では同日15時台、ブラジルの現地時間では午前3時台にあたる。
現地の未明は、担当者の目が届きにくい時間帯だ。しかも30分あまりで10を超えるチェーンを処理している。攻撃は事前に周到に準備されていたとの見方が自然だろう。
攻撃者が手にした資産と手口の手がかり
ETHやBTCなど200種類を超えるトークン
サバテラ氏が共有したレポートによると、攻撃者のアドレスには現在、主に次の資産が残っている。
- 約2,852ETH（イーサリアム）
- 約106BTC（ビットコイン）
- 約10,700SOL（ソラナ）
- 約670万XLM（ステラ）
- 約7万7,000AVAX（アバランチ）
これらに加えて、200種類を超えるその他のトークンも含まれる。主要通貨からマイナーなトークンまで、取引所が扱っていた資産を根こそぎ持ち出した形だ。
コードの欠陥ではなく「署名の権限」が奪われた可能性
今回の送金は、スマートコントラクトの脆弱性を突いたものではなかった。スマートコントラクトとは、ブロックチェーン上で自動実行されるプログラムのことだ。DeFi（分散型金融）の事件では、このプログラムのバグが狙われることが多い。
しかし今回は、ごく普通の送金トランザクションで資金が動いている。銀行でたとえるなら、金庫を壊されたのではなく、正規の暗証番号で引き出されたような状態だ。
暗号資産の送金には「署名」が欠かせない。署名とは、秘密鍵という持ち主だけが知る鍵を使い、「この送金は正当だ」と証明する手続きだ。攻撃者は何らかの方法で、この署名の権限を手に入れたとみられる。
要は、プログラムではなく鍵の管理そのものが破られた疑いが強いということだ。ただし、攻撃者がどうやって署名権限を得たのかは、まだわかっていない。
複数チェーンの鍵がほぼ同時に使われた点も見過ごせない。チェーンごとに鍵の管理が完全に分かれていれば、全部を短時間で破るのは難しい。署名を一括で担うシステムや、運用担当者の端末が侵害された可能性も考えられる。
取引所の対応とTetherによる凍結
「迅速に封じ込めた」と声明
Mercado BitcoinはX（旧Twitter）で声明を出し、セキュリティインシデントを「特定し、迅速に封じ込めた」と説明した。
顧客への被害はなく、個人データの漏洩もないとしている。入出金の停止はあくまで予防措置だという。現在は調査と資産の追跡を進め、当局とも連携している。
送金先アドレスを公開、USDT450万ドル分を凍結
同取引所はその後、資金の送金先アドレスを公開した。対象はEVMチェーン、ビットコイン、ソラナ、ステラ、トロンだ。
EVM（イーサリアム仮想マシン / Ethereum Virtual Machine）チェーンとは、イーサリアムと同じ仕組みで動くチェーンの総称だ。ポリゴンやアービトラム、アバランチなどがこれにあたる。
アドレスを公開すると、他の取引所やセキュリティ企業が資金の動きを監視しやすくなる。盗まれた資金が別の取引所に入金されたとき、凍結につながる可能性があるからだ。
実際に、TetherのCEOパオロ・アルドイーノ氏は、事件に関連する450万ドル相当のUSDTを凍結したと明らかにした。USDTは米ドルに価値を連動させたステーブルコインで、発行元が特定アドレスの資金を凍結できる仕組みを持つ。
Binance事件との関係は？北朝鮮ハッカーの影
史上最大となったBinanceハッキング
今回の事件の数日前、世界最大の取引所Binanceが60億ドルを超える資金を盗まれた。被害額は約63億ドルにのぼり、暗号資産のハッキングとして過去最大の規模だ。
FBI（米連邦捜査局）は10月31日、この攻撃を北朝鮮のハッカー集団「TraderTraitor（トレーダートレイター）」によるものと確認した。あわせてDeFiコミュニティに、関連アドレスのブロックを呼びかけている。
TraderTraitorは、取引所や暗号資産企業を専門に狙う北朝鮮系の集団として知られる。2024年に起きたDMMビットコインの大規模流出にも関与したとされている。
現時点で両者を結びつける証拠はない
立て続けに起きた2件の大型事件に、関連を疑う声が出るのは無理もない。しかし、Mercado Bitcoinの件ではまだ犯人が特定されていない。Binanceへの攻撃と結びつける公開された証拠もない。
犯人の特定は「アトリビューション」と呼ばれる。資金の流れの追跡や手口の比較など、時間のかかる分析が必要な作業だ。現段階で「北朝鮮の仕業」と決めつけるのは早計といえる。
一方で、正規の署名を使って複数チェーンから一気に抜き取る手口は、取引所を狙う高度な攻撃によく見られる特徴でもある。今後の分析次第で、見え方が変わる可能性は残っている。
独自分析、事件が示す取引所セキュリティの課題
凍結で取り戻せる資金はごく一部
今回凍結されたUSDTは450万ドル分だ。推計被害額4,000万ドル超と比べると、多く見積もっても約11%にとどまる。残りの多くは、ETHやBTC、SOLといったネイティブ資産である。
ネイティブ資産とは、各チェーンが基盤として使う通貨のことだ。USDTのような発行元の「管理者」がいないため、後から凍結することができない。現金を盗まれた状態に近く、取り戻すのは格段に難しくなる。
取引所は「顧客に被害はない」としている。これは自社資金で損失を穴埋めできると判断しているためとみられる。財務的な余力が十分であれば、利用者の残高そのものは守られることになる。
「封じ込め」と原因不明の間にあるギャップ
気になるのは、取引所が「封じ込めた」と説明する一方で、署名権限が奪われた経路はまだ特定されていない点だ。侵入経路がわからない限り、同じ方法で再び鍵を使われるおそれは消えない。
そのため、入出金の再開には時間がかかる可能性がある。鍵の総入れ替えや署名システムの作り直しが必要になれば、数日で済まないケースも考えられる。
Binanceに続いて大手取引所の被害が相次いだことで、業界全体で鍵管理の見直しが進むとの見方もある。コードの監査だけでなく、人と運用の部分をどう守るかが改めて問われている。
利用者が今気をつけたいこと
取引所がハッキングされた直後は、便乗した詐欺が増えやすい。「補償の手続き」や「資産の保護」をうたう偽メール、偽サイトには特に注意が必要だ。
情報は取引所の公式サイトや公式SNSアカウントで確認するのが基本である。すぐに使う予定のない資産は、自分で鍵を管理するウォレットに移しておくのも1つの選択肢だ。
この記事のポイント
- ブラジルの取引所Mercado Bitcoinで、少なくとも10チェーンのウォレットから4,000万ドル超が流出した
- 流出はUTCの6時19分〜6時53分に集中し、通常の送金で行われたため署名権限の侵害が疑われている
- 取引所は顧客被害やデータ漏洩はないとし、送金先アドレスを公開。TetherはUSDT450万ドル分を凍結した
- 北朝鮮が関与したBinance事件の直後だが、両者を結びつける公開証拠はまだない
- 被害の大半は凍結できないネイティブ資産で、侵入経路の特定が入出金再開の前提になりそうだ
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。