事件の概要を整理する

　連日なんらかの媒体が関連記事をあげて、多くの専門家が解説記事を寄せている。ここで改めて詳細を説明するまでもないが、29日時点でのポイントだけ以下に整理する。

セキュリティ対策は十分だったか？

　今回の問題は、完全な確認はとれていないが、サイバー攻撃による被害である可能性が高いとされる。この視点で、コインチェック問題を考えてみる。

　外部からか内部からか、どんな脆弱性が狙われたかは明らかになっていないが、記者会見では「マルチシグに対応していなかった」といい、送金処理のための鍵が漏えいしたと思われる。ここでいうマルチシグ（マルチシグネチャ）とは、秘密鍵を複数用意して鍵の分散管理を行うことで、仮に1つの秘密鍵が漏えいしても資産を移動できないよう対策することだ。

　マルチシグ非対応、この点だけをもってしても、コインチェック側のセキュリティ対策が十分だったかは疑問が残る。記者会見では「セキュリティは低くない。マルチシグ対応を含み、取り組んでいたが対策、人員が追いついていなかった（大塚取締役）」と述べているが、ホットウォレットでの運用、マルチシグ非対応などは結果として十分な対応だったとは言いにくい。

ブロックチェーンの安全性と仮想通貨取引所の安全性は「別物」

　コインチェック側は、不審なメールの着信、不審なプログラムの存在は確認できていない（精査中）とするが、鍵が漏れていることから、標的型攻撃などによるマルウェアの侵入はあったかもしれない。現状の情報のみでの判断はできないが、内部犯行という可能性も残る。

　また、コインチェックのサイトを見ると、セキュリティ対策についてビットコインの安全性、NEM等仮想通貨の安全性、さらに利用者のユーザーアカウントの保護（ハッシュ化や多重認証など）について言及がある。しかし、よく読むと、ブロックチェーンの安全性や各仮想通貨の安全性を説明しているだけで、取引所のシステムが安全かどうかの説明になっていない。

　ユーザーアカウントの保護には力を入れていたようだが、肝心の口座保護やシステム全体のセキュリティ（管理者権限や鍵の管理）が甘かった可能性がある。

　ちなみにブロックチェーンの暗号化技術は高度で、非常にセキュリティが高い。チェーンに記録された取引情報（金額、日時、取引相手）の改ざんは相当にハードルが高い。だからこそ貨幣として流通できると言われるわけだが、それを扱う取引所や金融機関のシステムの強度や脆弱性は別だ。

【次ページ】あり得ないコンプライアンス実態、返金は現実的か？ 誰が得をしたのか？