目を覚ましたらUNIが損切りされていて、昨夜の米国PCEで何か極端なシグナルが出たのかと思った。ところが見てみると、いやはや、10月は本当にいろいろ起きるなあ。自称・野良研究員の阿简が真っ先に考えたのは押し目買いではなく、今回のセキュリティインシデントについて、みんなに向けて以下のとおり整理して解説することだった。

現時点でバイナンスが公表している潜在的な影響額は約63億ドル（すでに約30億ドル相当の資産が凍結済み）で、もはや一般的なハッキングとして片付けられる規模ではない。初期調査では、DevOpsエンジニアのノートPCが侵害されたことに攻撃が関連している可能性があるとされており、主な問題は署名にあったようだ。現時点でウォレットの秘密鍵が漏えいした証拠は見つかっていない。cz@CZ と一姐@Yi He は、いずれもXで声明を発表し、SAFU基金と会社資金で損失の全額を補填するとともに、ユーザー資産は安全だと表明した。阿简個人としては、バイナンスの責任感と緊急対応能力を全面的に信頼している。ただ、この件についてはきちんと話しておく必要がある。

まず強調しておきたいのは、63億ドルは現時点での公式な潜在的影響額の推定であり、調査はまだ続いているため、最終的に確認された盗難額とそのまま同一視すべきではないということだ。そして今回の件で本当に警戒すべきなのは、攻撃対象が従来の意味での秘密鍵ではなく、企業内部の開発・運用環境だった可能性がある点だ。この問題は阿简も業界関係者も何度も指摘してきたが、暗号資産業界ではソフトウェアサプライチェーン全体や内部の権限管理を守る体制に、依然として多くの穴があるように見える。

AIの進化がますます加速していることも踏まえると、取引プラットフォームのセキュリティ境界は、単なるウォレットアドレスよりもはるかに複雑だ。取引システムには少なくとも、開発者の端末、CI/CDによる自動デプロイ、クラウドサービスのコンテナ、内部のID認証と権限管理、出金承認およびリスク管理システムが関わる。これらのどこか一つでも権限管理が破綻すれば、攻撃の侵入口になり得る。

そのため阿简は、本当に成熟した取引プラットフォームのセキュリティ体制は、コールドウォレットの比率や秘密鍵の分離を強調するだけでは不十分で、最小権限の原則、デバイスの安全性、異常な操作の検知、出金プロセスの分離にも目を向けるべきだと考えている。もちろん、現時点ではこれもバイナンスによる初期調査の方向性にすぎず、攻撃の全容がすでに解明されたと断定することはできない。また、プラットフォームの信用リスクを、基盤となるブロックチェーンの技術的リスクと直接同一視することもおすすめしない。

以上、DYOR