暗号資産デビットカードを手がけるGnosis Pay（ノーシス・ペイ）が、顧客データの流出を公表した。
同社は11月3日、消費者向けカードシステムへの不正アクセスを検知した。氏名や自宅住所、カード番号に加え、アカウントに紐づく暗号資産ウォレットのアドレスまで外部に漏れている。顧客の資金そのものは無事だったという。
お金が盗まれていないのに、なぜ深刻なのか。この記事では事件の経緯を整理したうえで、住所とウォレットが結びつくことの危うさと、利用者が取れる対策を順に見ていく。
Gnosis Payの顧客データ流出、何が起きたのか
11月3日に検知、2時間以内に封じ込め
Gnosis Payは公式ブログで、11月3日に不正侵入を検知したと発表した。検知から2時間以内に封じ込め作業へ入り、影響を受けた認証情報を差し替えている。侵入を許した欠陥もすでに修正済みだ。
被害を受けたのは、自社ブランドで提供してきた消費者向けカードの旧システムである。他社のカード事業を裏側で支える法人向けプラットフォームは別の仕組みで動いており、今回の侵入の影響は受けていない。
一方で、影響を受けた顧客の人数は明らかにしていない。該当する利用者には個別にメールを送り、どの情報が漏れたかを伝えたとしている。
流出した情報と、無事だったもの
漏れた情報は、日常生活に直結するものばかりだ。氏名、自宅の完全な住所、カード番号、そしてアカウントに登録された暗号資産ウォレットのアドレスが含まれる。
暗号資産のポートフォリオ管理ツールRotki（ロトキ）の創業者、Lefteris Karapetsas氏は、Gnosis Payから届いたメールをX上で公開した。同氏の場合、名前と住所、カード番号に加え、アカウントに紐づけたすべてのウォレットアドレスが流出対象だったという。
同氏は投稿で、すでにサービスからは離れていたが、せめてデータくらいは守ってほしかったと不満をあらわにしている。
資金が守られたのは不幸中の幸いだ。ただ今回の流出は、お金そのものより「誰がどのウォレットを持っているか」という情報が漏れた点に重みがある。この点は後の章で詳しく見ていく。
Gnosis Payとはどんなサービスか
ステーブルコインをVisaカードで使う仕組み
Gnosis Payは2023年に登場したサービスだ。暗号資産ウォレットとVisaのデビットカードをつなぎ、ステーブルコインで日常の買い物ができるようにしている。
ステーブルコインとは、米ドルやユーロなどの法定通貨に価値を連動させた暗号資産のことだ。値動きが小さいため、決済に使いやすい。たとえるなら、ブロックチェーン上で持ち歩ける「デジタルの現金」に近い。
利用者は、自分のウォレットに入れたステーブルコインをカード払いでそのまま店舗やネットで使える。取引所で売却して銀行口座に戻す手間がいらない点が売りだった。
決済データを集計するPaymentscanによれば、年間換算の決済額はおよそ6,760万ドルにのぼる。暗号資産カードの中では、一定の利用実績を持つサービスだ。
6月の不正流出と12月20日のカード終了
同社のトラブルは今回が初めてではない。6月にはウォレットのソフトウェアの欠陥を突かれ、約150万ドルが不正に引き出された。損失はGnosis側が補填し、顧客の資金は元に戻されている。経緯は同社の事後報告書で公開されている。
その後、同社はオンライン決済での3Dセキュアを必須にした。3Dセキュアとは、ネットでカードを使う際に、ワンタイムコードなどで本人確認を1段階追加する仕組みだ。あわせて不正利用の監視体制も強化している。
さらに同社は、自社ブランドのカードを12月20日に終了し、提携先のカード事業に軸足を移す方針を示していた。今回の流出は、まさにその終了予定の旧システムで起きている。
住所とウォレットの紐づけが危ない理由
ブロックチェーンは「名前のないガラス張り」
なぜ住所とウォレットアドレスの組み合わせが問題になるのか。理由はブロックチェーンの透明性にある。
ブロックチェーン上の取引記録は、誰でも閲覧できる。ウォレットアドレスさえわかれば、残高や過去の送金履歴を第三者が自由に確認できる仕組みだ。
それでも安全とされてきたのは、アドレスに持ち主の名前が書かれていないからだ。これを疑似匿名性と呼ぶ。中身が丸見えのガラス張りの金庫でも、誰の金庫かわからなければ狙いにくい、という発想に近い。
今回の流出は、そのガラス張りの金庫に持ち主の名札と自宅住所を貼り付けたようなものだ。要は、ブロックチェーンが持っていた最後の目隠しが外れてしまったことになる。
標的型詐欺と物理的な危険
流出データを手にした攻撃者は、誰がいくら持っているかを把握したうえで相手を選べる。資産の多い利用者ほど、手の込んだ詐欺の標的になりやすい。
Gnosis Pay自身も、盗まれた個人情報や過去の購入履歴を使えば、偽のメッセージを本物らしく見せかけられると警告している。実際の買い物内容に触れた連絡が届けば、疑うのは難しい。
より深刻なのは、オンラインの詐欺にとどまらない点だ。近年は暗号資産の保有者を狙った自宅への押し入りや誘拐が各国で報じられている。住所と保有額が一緒に漏れることは、身体的な危険にもつながりうるとの指摘がある。
暗号資産カードが抱える構造的な弱点
今回の件は、暗号資産カードという仕組みそのものの弱点を浮き彫りにしたとの見方がある。
カードを発行するには、法規制に沿ったKYC（本人確認 / Know Your Customer）が欠かせない。銀行口座を開くときに身分証を出すのと同じ手続きだ。その結果、カード会社には実名・住所とウォレットアドレスの対応表が自然とたまっていく。
ブロックチェーンの利用者が普段は分けて管理している2つの情報を、1か所にまとめて保管している状態だ。攻撃者から見れば、これほど効率のよい標的はない。
似た構図の事件は過去にもある。2020年にはハードウェアウォレット大手Ledgerの顧客情報が流出し、その後も長期間にわたってフィッシングや脅迫メールが続いた。住所のように変更が難しい情報は、一度漏れると長く悪用される。
もう1つ気になるのは、狙われたのが終了間近の旧システムだった点だ。廃止が決まったシステムは、改修や監視の優先度が下がりやすいとされる。サービス終了の前後こそ、利用者データの扱いに目を配る必要があると考えられる。
影響人数を公表していない点も、透明性の面で課題が残る。利用者や周辺の事業者が、リスクの大きさを見積もれないためだ。
Gnosis Payの利用者が取るべき対策
「本物そっくり」の連絡を疑う
Gnosis Payのカードを使っていた人は、まず届いたメールで流出した項目を確認したい。そのうえで、今後届く連絡には慎重に向き合う必要がある。
- メールやSMSのリンクは開かず、公式アプリや公式サイトに自分でアクセスして確認する
- シードフレーズ（ウォレットを復元するための秘密の単語列）の入力を求める連絡は、すべて詐欺と考える
- 「資金を安全な場所へ移して」と急かす連絡にも応じない
- 過去の購入内容に触れたメッセージでも、それだけで本物と判断しない
Ledgerの事件では、偽のハードウェアウォレットが郵送されるケースも報告された。住所が漏れた以上、郵便物や宅配物を装った手口にも気を配りたい。
ウォレットとカードの管理を見直す
流出したアドレスは、今後も持ち主と結びついたまま残る。資産をそのアドレスに置き続けると、残高や動きを第三者に追跡され続けることになる。
対策として、身元と結びついていない新しいウォレットを用意し、資産を移す方法が考えられる。ただし移動の送金記録もブロックチェーンに残るため、移動先が完全に見えなくなるわけではない点は理解しておきたい。
カード番号については、明細に身に覚えのない請求がないかをこまめに確認したい。自社ブランドカードは12月20日で終了するため、終了に向けた手続きも公式の案内を確認しながら早めに済ませておくと安心だ。
SNSなどで保有額や取引内容を公にしないことも大切になる。住所が漏れた今、暗号資産を持っている事実そのものを目立たせないことが、身を守る基本だ。
この記事のポイント
- Gnosis Payは11月3日に消費者向けカードシステムへの不正アクセスを検知し、2時間以内に封じ込めた
- 氏名、自宅住所、カード番号、紐づくウォレットアドレスが流出したが、資金と法人向け基盤は無事だった
- 住所とウォレットが結びつくことで、標的型詐欺や物理的な危険が高まる懸念がある
- 6月の約150万ドル流出に続くトラブルで、自社ブランドカードは12月20日に終了予定だ
- 利用者は公式経路での確認を徹底し、新しいウォレットへの移行も検討したい
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。