63億ドル規模のBinanceハッキングを受け、CertiKがホットウォレットへのドル建て上限を提言

保管比率ではなくドル建ての上限を

セキュリティ企業のCertiKは、仮想通貨取引所がホットウォレットに保有する資金に対し、固定のドル建て上限を設けるよう勧告した。オンライン預け入れ比率だけで取引所の安全性を測るのは不十分だという主張だ。この提言は、記録的なBinanceハッキングから数日で出たもので、同ハッキングは取引所のオンラインウォレットを標的とし、約63億ドルの損失を引き起こした。多くの取引所が顧客の資金の大半をオンライン攻撃の手の届かない場所に置いていると示すため、コールドストレージ比率の公表を進める中での提案となる。Gateは総資産の88.26%をコールドストレージに置いたとし、Coinbaseは顧客資産の99%以上をオフラインで保管すると報告している。後者はハードウェアウォレットを基盤とするカストディモデルだ。CertiKの調査チームは、コールドストレージはオンラインへの露出を測る有用な指標だが、総合的なセキュリティ評価の代わりにはならないと説明した。同社の論点は、比率が高くてもオンラインに置かれた絶対額が大きければ、攻撃者が到達できる金額も大きくなるというものだ。高い保管比率は概してオンライン露出を減らすものの、極端に高い水準では効果は頭打ちになり、硬直的なノルマには別のコストが伴うと同社は指摘する。出金が遅れ、焦りを伴う送金を強いられ、鍵管理システム内にリスクが積み上がる可能性がある。比率目標に代わってCertiKが求めるのは、取引所が資産とブロックチェーンごとにホットウォレットの上限を設定することだ。3つの基準、すなわち顧客負債に対する一定割合、推定出金需要、そして運営者の財務と回復力に見合った絶対的な損失上限のうち、最も厳しい値を採用する。運用のための流動性は柔軟に保ちつつ、ハード上限とサーキットブレーカーで損失の枠を囲む構想だ。国ごとの規制はすでに比率をめぐって異なる。韓国は顧客資産の時価の80%以上をコールドストレージで保管することを義務付け、シンガポールのガイドラインは90%、日本の枠組みは95%、香港の認可取引所の基準は98%を求める。CertiKはこの転換を、資産がどこにあるかではなく、単一の事故でどれだけ失われ得るかを測る問題への移行として位置付けている。

Binance、流出トークンの98%を補填

Binanceは先週の攻撃で流出したトークンの約98%を補填し、残る損失は自己の計上で吸収すると発表した。補填の進捗は事件から数日以内に公表され、同社は不足分を自己資金で埋める方針を明示した。水曜日の回復状況の更新では、未補填のトークンは流動性が薄く調達に時間がかかるため、当面はごく一部の不足が残ると説明された。更新情報は対象資産の名前も完了時期も明示していない。攻撃はBinanceのオンラインウォレット、すなわちCertiKが上限設定を求めるカストディ層を突いた。補填率という数字は、取引所が約1週間で損失のどれだけを戻せたかを初めて測る指標となっている。一方で関心は流出資金の行方に移りつつある。ブロックチェーン分析企業のEllipticは、NEARネットワーク上で新たに発行された6つのトークンを経由して約43万ドルを追跡し、これを北朝鮮系ハッカーの仕業とみている。攻撃者はミームコインの発行を利用して、窃取資産の売却市場を作ったとされる。トークンは新設の流動性プールとともに登場し、犯行グループはそれを使ってアドレス間で価値を移動させた。Ellipticは追跡がオンチェーンで追える範囲にとどまることを明らかにし、移動総額の推計は公表していない。流動性プールとは、分散型取引所が直接的な売り手と買い手の突き合わせなしに取引を成立させるための資産プールであり、ウォレット間の資金移動の追跡を難しくしたが、取引自体は引き続きオンチェーンで追跡可能だ。攻撃と最初の補填発表はいずれも先週にあり、水曜日の更新が残り2%の状況を補足した。残りのトークンがいつ戻るかについて、Binanceは時期を明らかにしていない。

上限枠組みが変えるもの

この二つの流れを並べると、同じ方向を指す。公開されたコールドストレージ比率は、リスクの指標というより安心材料になりつつある。この論争の中心にあるのがCertiKの勧告であり、単一の比率による採点を明確に退け、取引所に許容できる最大損失額の数値化を求めている。この検証が最も厳しく当たるのは、今まさに高い保管比率を宣伝文句にしている取引所だ。NEAR上の43万ドルの資金の足取りは、63億ドルのハッキングに比べれば小さい。だが窃取資産が数日のうちに新規トークン市場を通じて動いた事実は、事故でどこまで被害が及ぶかを決めるのは比率ではなくオンライン残高の絶対額だということを示している。比率だけを開示しドル建ての上限を持たない取引所では、その数字は依然として見えないままだ。