コインベースによると、顧客の暗号資産の99％超がコールドウォレット、つまりハッカーがインターネット経由で到達できないオフラインウォレットで管理されている。同社のこの対応は、競合のバイナンスで発生した63億ドル規模の盗難事件への答えである。
一方、バイナンスは、窃盗犯がプライベートキーに触れたことはないと主張する。窃盗犯は出金承認システムを欺いたという。調査によれば、コインベースは米国現物ビットコインETF資産の84％を保有する。
コインベースの顧客資産保護策
コインベースのプラットフォーム上の資産は、9月末時点で3770億ドルとなった。同社は、これら資産は企業ではなく顧客に帰属するとする。
「コインベースがこれらの資産を貸し付けたり、利用したりすることはありません。顧客からの指示があった場合を除きます」
さらに、S&P500上場や定期監査も強調する。米国のカストディ事業はニューヨーク州の銀行規制当局の監督下で運営されている。
では、どのようにして資産を守っているのか。
- 最初の防御は帳簿分離。
コインベースは、最新四半期報告書によると、3770億ドルの顧客資産を、自社保有の現金86億ドルと暗号資産22億ドルとは別に管理している。
- 二つ目は法的な責務。
ニューヨーク州のカストディ事業は、適格管理者であり信託義務を負い、顧客利益を最優先とする法的義務がある。欧州ではルクセンブルクの金融規制当局が、コインベースの業務をEUの「暗号資産市場（MiCA）」規則に基づき監督している。
- 三つ目が外部審査。
コインベースは、SOC1およびSOC2タイプII試験を通過した初期の暗号資産カストディ業者のひとつとされる。これらの監査では、セキュリティ管理策が実際に機能するか確認される。
- 最後の防御は人材。
セキュリティ最高責任者ジェフ・ルングルホファー氏は、以前BNYで情報セキュリティを統括していた。同氏のチームは、金融、国家安全保障、法執行機関出身の暗号専門家や調査員で構成される。
バイナンスが秘密鍵を失わずに63億ドルを失った理由
バイナンスによると、攻撃は偽の就職面接が発端だった。ハッカーはスタッフのノートパソコンにアクセスし、10月29日に偽の出金リクエストを送信した。
BeInCryptoは11月1日、バイナンス、バイビット、ビットゲットでの盗難が同様のパターンで発生したと報じた。攻撃者は各取引所の許可システムを欺き、出金への署名を取得した。秘密鍵自体は1つも盗まれなかったという。
同報道はまた、コインベースのセキュリティ実績をこれらの手口と比較した。コインベースでは、各秘密鍵を分割し複数機器に保存する「マルチパーティ計算（MPC）」方式を採用する。
また同社は、セキュリティソフトウェアを自社開発している。一方、バイビットとビットゲットは外部ベンダーのシステム経由で侵害された。研究者によれば、仮にコインベースのノートパソコンが盗まれても、分割された鍵片の1つだけが得られるに過ぎず意味はない。
ただし、コインベースも被害を受けたことがある。2025年、海外のサポート担当者が顧客データのために犯罪組織から賄賂を受け取った。取引所は損害額を最大4億ドルと推定している。
同社の最新投稿では、AI（人工知能）が攻撃手法を変化させていると警告している。
オフライン管理は出金遅延のデメリットを上回るか
一方、韓国の金融委員会が月曜日に、法令で定める80％超のオフライン保管を取引所に要請したと現地報道が伝えた。ヘラルドビジネスによれば、アップビットはすでに99.17％の資産をオフラインで管理しているという。
ただし、オフライン管理のコインは動きが遅い。ソウル新聞によると、8月にBithumbのオンラインウォレットが枯渇した際、一部の出金が13時間超も滞留したという。
韓国の取引所各社は、追加のセキュリティ人員確保がコスト増につながると警告する。ニューズウェイは、小規模のプラットフォームではこれが難しく、結果として大手に顧客が集中する可能性が高いとした。
