【2024年】DMM Bitcoin、482億円相当が流出 半年後に廃業を発表

何が起きたのか

DMM Bitcoin は国内の暗号資産交換業者でした。関東財務局によると、2024年5月31日、同社が顧客から預かっていた4,502.9BTC が不正に外部へ送られました。警察庁は約482億円相当としています。

警察庁と米 FBI などは2024年12月、北朝鮮を背景とするグループ TraderTraitor の犯行と特定しました。

最初に狙われたのは別の会社の社員です。2024年3月下旬、攻撃者は LinkedIn で採用担当者を装い、ウォレットのソフトを提供する Ginco の社員に接触しました。相手はウォレットの管理システムへの権限を持つ社員で、採用前の試験と偽って悪意のあるプログラムを渡し、この社員を足がかりに侵入しました。

5月中旬以降、攻撃者はセッションクッキーを悪用して社員になりすまし、Ginco の暗号化されていない通信システムへ入りました。セッションクッキーはログインした状態を保つ情報で、盗まれるとパスワードを知らなくても本人として扱われることがあります。5月下旬には DMM の社員による正規の取引の依頼を改ざんしたとみられています。

会社に何が起きたのか

• 流出：4,502.9BTC、約482億円相当（2024年5月31日）
• 顧客の資産：Impress Watch の配信記事によると、流出分の調達は完了し、全額保証の状態
• サービス：暗号資産の出庫や現物の買い注文の受け付けなどを制限
• 行政処分：2024年9月26日、関東財務局が業務改善命令。経営責任の明確化も求める
• 取引の再開：原因の究明と態勢の整備の後とされる
• 廃業：報道によると、2024年12月2日に発表。サービスの制限が長引くと利便性を損なうと判断
• 移管：SBI VC トレードが全口座と預かり資産を受け入れる。システムや組織人員は対象外
• レバレッジ取引：未決済のポジションは移管の対象外で、移管日の前に決済
• 移管の日：2025年3月8日。14時までの完了の予定だったが、一部の利用者で遅延と SBI VC トレードが案内

なぜそこまで広がったのか

関東財務局は著しい不備があると判断し、次の点を指摘しました。

• 秘密鍵（暗号資産を動かす鍵）の署名を単独で行い、鍵を一括で管理していた。ガイドラインに反すると認識しながら続けていた
• 分散の必要性を認識しながら、複数のウォレットに分ける管理を検討していなかった
• 業務の開始以降、システムを担当する役員がいなかった
• リスク管理、開発と運用、情報セキュリティの権限が一部の者に集中し、リスク管理部門が自らを監視していた
• 内部監査の独立性が保たれていなかった
• 外部のウォレットの流出リスクについて、議論や評価の確認をしないまま使い始めた
• 原因分析に必要な証拠の保全が不十分だった

処分の時点で、財務局は流出の具体的な手口を未究明としていました。ログの保存期間を検討していなかったことも指摘しています。手口が公表されたのは処分から3か月後の12月24日です。

命令が求めたこと

業務改善命令は事実関係と根本原因の究明、被害顧客の保護、システムリスク管理の見直し、流出リスクの低減、経営責任の明確化を求めました。報告の期限は2024年10月28日で、その後も実施が終わるまで毎月の報告を課しています。止めていた取引の再開と新規口座の開設は、これらの対応の実効性を確保した後と定めました。

同社は取引を再開しないまま他社への移管を決め、命令から約2か月後に廃業を発表しました。

警察庁などが示した対策

警察庁、内閣サイバーセキュリティセンター、金融庁は2024年12月24日、手口の例と対策をまとめた注意喚起を出しました。攻撃者は SNS で企業の幹部などを装い、経歴に合わせて「プログラムの不具合を直してほしい」といった話を持ちかけます。メッセージを消せるアプリへの移動を求めることもあります。

社員向けの対策には SNS で接触されたらビデオ通話を求めること、実行を急がせる相手を疑うこと、内容を確かめずにコードを実行しないこと、実行するなら業務用のパソコン以外か仮想マシンを使うことが挙げられています。管理者向けには多要素認証、必要最小限の権限、普段と違う時間や場所からのアクセスの監視、ログの集中保存があります。

中小企業が学ぶこと

暗号資産を扱わない会社にも当てはまる点が3つあります。

1つ目は採用を装った接触です。社員個人を狙うので、会社の防御の外から始まります。勧誘で届いたファイルを業務用のパソコンで開かないよう、社員に伝えておきましょう。技術の相談を装う連絡も同じです。

2つ目は送金の二重確認です。銀行振込でも、依頼と承認は別の人に分けておきたいところです。DMM の例では正規の依頼そのものが改ざんされたとみられています。承認する人は画面の表示だけに頼らず、振込先と金額を依頼した人に別の手段で確かめます。

3つ目は外部サービスの確認です。使い始める前に、事故のときの対応と責任の分担を確かめておきましょう。ログをどれだけの期間残すかも、契約の前に聞いておく項目です。関東財務局も証拠の保全の不足を指摘しました。