bitFlyerセキュリティーファースト主義と顧客の資産保護優先を約束

Coincheck 事件で仮想通貨への警戒心が強まり、業界全体が冷え込むのではないかという観測が広がる中、大手仮想通貨取引所のbitflyerが、セキュリティに関する声明を発表しました。

顧客の資産保護を第一優先に取り組むことを盛り込んでおり、仮想通貨投資家から安堵の声が漏れています。今回は、bitflyerの発表したセキュリティ対策の全貌をまとめます。

「bitFlyer セキュリティ・ファースト」主義をPDFにて公開

今回CC社の事件を受けて、業界大手のbitFlyerがセキュリティに関する方針と顧客資産保護に関する取り決めをPDFファイルにて公開しました。

以下ポイントとなる部分をまとめます。

1.bitflyerと顧客の資産の80%以上をコールドウォレットに保管

bitflyerは、bitflyerと顧客の資産の80%以上を、すでにインターネットから遮断されたコールドウォレットに保管しています。

多重の物理的セキュリティによって保護されている上に、24時間監視システムによって守られているのです。すでに80%以上の資産をコールドウォレットに保管していますが、今後はコールドウォレットに保管する基準をさらに厳格化する予定です。

これが徹底されれば、ハッキングによる盗難リスクを大幅に低減できますね。

2.暗号化された秘密鍵

コールドウォレットだけでなく、ネットワークに接続されているウォレットの仮想通貨についても、秘密鍵を暗号化しているため、万が一漏洩しても、第三者が秘密鍵を使って、通貨を取り出すことはできません。

3.マルチシグ化の厳格化

bitflyerでは、すでに顧客の資産は一定の基準を元に、マルチシグを採用していますが、さらに基準を厳格化して、マルチシグ化していく予定です。

4.自社開発のビットコインデーモン

一般的に利用されているビットコインデーモンは、ソースコードが公開されているので、ハッキングを受けるリスクが高くなっています。ところが、bitflyerは、自社開発のビットコインデーモンと、通常のビットコインデーモンを併用しているので、不具合が発生してもすぐに検知修正できます。

5.擬似乱数生成器の使用

bitflyerでは、秘密鍵の生成に暗号学的に安全な乱数生成器を使用することで、秘密鍵などの情報が推測されることを防いでいます。

6.安全なコインに限って取り扱い

アルトコインの中には、匿名性が高くて取引が追跡できないものもあります。

そう言ったコインはマネーロンダリングに利用されることが多く問題視されています。そこで、bitflyerでは、金融庁や社内エンジニア、社外専門家と協議して、セキュリティ上問題がないと判断したコインのみを取り扱っていくとのこと。

7.通信セキュリティ

ユーザーがbitflyerに接続する際の暗号化技術は、大手金融機関よりも強度が高いものを使っています。

8.ファイアーウォール&IPアドレス制限

bitflyerは、ファイアーウォールによって、外部ネットワークからの攻撃や不正アクセスを防御しています。dos攻撃はウェブアプリケーションファイアウォールによってブロックしています。さらに、IPアドレスにより接続元を判別して、アクセスを制限しています。

あらかじめ決められたIPアドレスからのみサービスをアクセスさせるようにしているため、第三者によるアクセスを防止しています。

不正アクセスしようとしたアドレスは自動的にブロックされて、ブラックリスト化しています。国ごとにアクセスも遮断していて、特に北朝鮮に対しては厳重警戒しています。

9.2段階認証の推奨

bitflyerへのログインや出金、外部に送金の際は、メールアドレスや認証アプリによる2段階認証を設定できます。特に仮想通貨の外部送付時に2段階認証は必須なので、第三者による盗難を防止できます。

10.ログイン履歴の管理

ログインするたびに、設定したメールアドレスに「アカウント凍結リンク付き確認メール」が送付されるよう、事前に設定できます。これを設定することで、不正ログインに瞬時に気付いてユーザー自ら、ログインを凍結することができます。またログイン記録は全て保存されているので、IPアドレスや日時も確認可能です。

11.各種保険の完備

bitflyerは、サイバー攻撃によって発生したビットコインの盗難消失等に係るサイバー保険、という保険と2段階認証登録ユーザー様のメールアドレスパスワード等の盗取により行われた不正な日本円出金に係る保証という保険に加入しています。

要するに、ビットコインがハッキングされた時、もしくは2段階認証に登録しているユーザーメールアドレスやパスワードを不正使用されてが日本円を盗まれた時に、保険金が支払われるものです。

12.オフィスセキュリティ

オフィス内には監視カメラ、24時間常時監視システム、生体認証装置などが設定されていて、厳重なセキュリセィシステムが導入されています。

13.セキュリティ研修

全ての社員にセキュリティ研修を行っている上に、サイバーセキュリティチームによって業務上使用する端末に対して、厳重なセキュリティチェックをおこなっています。カスタマーサポートエリアでは、携帯電話等は持ち込み禁止ですし、完全に別のネットワークに接続されるので、個人情報は厳格に管理されています。

まとめ

bitflyer社のセキュリティファースト主義の取り組みは、80%以上の資産をコールドウォレットに保管、マルチシグ化など、今回のcoincheck事件を教訓として、ハッキングに対して物理的にもソフト的にも厳重なセキュリティを施してあることをアピールしています。

これは、多くの仮想通貨投資家を安心させましたが、保険の部分では少し踏み込みが浅く、coincheck事件が再来した場合に、全てをカバーできるものではありません。ビットコイン以外の通貨が盗まれた場合は、保険の対象外ですし、2段階認証を設定していなければ、日本円が不正に引き出されても補償されません。

Bitflyer社のセキュリティ対策は徹底していますし、coincheck事件の再来が起きないように、厳重に管理されていますが、保険で全てがカバーできる訳ではありませんので、やはり自己防衛は必要です。分散型取引所のウォレットや、ハードウェアウォレットを活用するなどして、策を怠らないようにしましょう。