Ledgerのセキュリティ脆弱性が波紋を呼ぶ — コールドウォレットの「安全神話」は崩壊するのか

自分の資産を最も安全に守るための最後の砦として、よく「ハードウェアウォレット」が挙げられます。インターネットから遮断されたオフラインウォレットだから、絶対にハッキングされるはずがないと固く信じられてきました。しかし最近、この安全神話を根底から揺るがす大規模なセキュリティ事故が発生し、クリプト界隈が騒然としています。

5年間潜んでいた脆弱性、そして取引所の非常ベル

今回の騒動は、レイヤー1ブロックチェーンのZilliqa（ZIL）が、ハードウェアウォレットメーカーであるLedgerのアプリに5年間も放置されていた致命的なセキュリティ欠陥を発見したことで始まりました。

セキュリティ企業Secbitなどによると、あいにくこの隙を突かれ、あるパートナー取引所のオフライン金庫であるコールドウォレットから実際に資産が流出するハッキング事故が発生してしまいました。

最も安全だと信じられていた金庫に穴が開いたというニュースに、市場は即座に反応しました。UpbitやKuCoinなどの国内外の大手取引所は、万が一の被害拡大を防ぐため、Zilliqaの入出金を即時停止したり、監視銘柄に指定したりするなど、緊急対応に乗り出しました。

機器は安全なのになぜ突破されたのか？真犯人は別にいる！

ハードウェアウォレットが突破されたと聞くと、機器そのものがハッキングされたと誤解しやすいですが、幸いにも機器内部の物理的なセキュリティチップは依然として堅牢です。

真の原因は、機器内で動作する各ブロックチェーン用アプリの設計上のエラーにありました。どれほど頑丈な金庫を買ったとしても、金庫を開け閉めする鍵の作りが甘く、複製できる隙を与えてしまったようなものです。

結局、ハードウェア自体がいかに堅牢であっても、その上で動くソフトウェアのコード検証が杜撰であれば、いつでも大きな穴が開く可能性があるということを、今回の事件はまざまざと見せつけました。

個人保管の限界、機関投資家が目を向ける先

数百万ドル相当の資産を動かす機関投資家にとって、このようなハードウェアウォレットのセキュリティ問題はまさに戦慄のニュースです。単一の機器やパスワードに全資産の運命を預ける個人用の方式は、機関にとってリスクが大きすぎるからです。そのため最近、機関は資産を安全に保管するために、パラダイムを変える新しい技術に注目しています。

最も代表的なのがマルチパーティ計算（MPC）技術です。簡単に言えば、一つの完全なマスターキーを使う代わりに、鍵をいくつかに分割し、それぞれ別の安全な場所に保管しておく方式です。資産を動かすには、これらの断片が合わさることで初めて認証が完了します。まるで映画の中で巨大な金庫を開ける際、複数人が同時に鍵を回すようなものです。こうすれば、断片が一つ流出したとしても、資産全体を安全に守ることができます。

さらに、規制ガイドラインを徹底的に遵守する専門受託機関であるカストディサービスへ目を向ける企業も急速に増えています。結局、クリプト市場の規模が拡大するにつれ、個人用ハードウェア機器に依存する時代から脱却し、高度な分散保管技術と制度レベルの安全な受託インフラが市場の主流として定着していくと見られます。

私たちが今後見守るべきサイン

今回のことは、単にあるプロジェクトが経験したハッキング事故では終わりません。クリプト市場全体に「果たして自分の資産をどこに預けるのが安全なのか？」という非常に重い問いを投げかけたからです。今後、ハードウェアウォレットメーカーは、単に機器を販売するだけでなく、外部の開発者が作成したアプリのセキュリティまで、より徹底的に検証しなければならないという宿題を抱えることになりました。

この世に絶対的に完璧な金庫はありません。技術が発展し複雑になるほど、私たちが信じていた安全地帯もいつでも揺らぎ得るという事実を、必ず心に留めておく必要があります。