Coinbase、顧客資産3,770億ドルの99%超をコールド保管と公表

Coinbaseが明かす3,770億ドルの保管体制

Coinbaseは水曜日、顧客の仮想通貨資産の99%超をインターネットから隔離したコールドストレージで保管していると明らかにした。Binanceで63億ドル規模の窃取が起きた直後の開示で、同社は自社の防衛策を体系的に説明し、事態への直接の答えという位置づけを示している。

同社の最新四半期提出書類によれば、9月末時点でプラットフォーム上の資産は3,770億ドルに達する。Coinbaseは公式のセキュリティ投稿で、この資金は会社のものでなく顧客のものだと述べ、「Coinbaseは顧客の指示がない限り、これらの資産を貸し出さず、利用もしない」と明言した。帳簿上は3,770億ドルの顧客資産と、会社自身の現金86億ドル、保有仮想通貨22億ドルが明確に分けられている。S&P 500構成銘柄でNasdaq: COINとして取引される同社は、規制面の裏付けも示す。米国の保管部門はニューヨークの銀行規制当局のもとで適格保管業者かつ受託者として運営され、欧州ではルクセンブルクの金融監督機関がEUの暗号資産市場規制(MiCA)の枠組みで監督する。外部検証もある。セキュリティ責任者のJeff Lunglhofer(前職はBNYで情報セキュリティを統括)のもと、統制が実際に機能するかを試す監査であるSOC 1およびSOC 2 Type IIの検査を、暗号資産保管業者として最初期に通過したという。公式アカウントは水曜日の投稿でこの姿勢を確認し、安全な保管を日々の業務と述べ、1対1の裏付け、鍵の分割、単一障害点の排除を挙げた。一方で沿革は無傷ではない。2025年には海外の委託サポート担当者が顧客データを売る事件が起き、会社の推計では費用が最大4億ドルに及ぶ可能性がある。投稿と併せて引用された調査では、米国の現物ビットコインETF資産の約84%がCoinbaseの保管に置かれているとされる。

@coinbase · Xの投稿

水曜日の投稿でこの姿勢を確認.

Xで見る

Binance攻撃の手口は何だったのか

Binance自身の侵害説明が、Coinbaseがこの時期を選んだ理由を示す。同取引所によれば、63億ドルの攻撃は偽の求職面接から始まった。侵入者が職員のノートパソコンに達し、10月29日に不正な出金要求を承認システムに通した。秘密鍵そのものには触れていない。出金に署名する承認機構が騙されたのだ。11月1日に報じられたBybitとBitgetの窃取事件も同じ型で、いずれも鍵を盗むのではなく取引所の承認システムに署名させた。

Coinbaseの設計は、まさにこの攻撃経路を想定して組まれている。秘密鍵を複数の断片に分割して別々のマシンに保管するマルチパーティ計算を採用し、セキュリティソフトを社内で開発する。BybitとBitgetが外部ベンダー経由で突破されたのとは対照的だ。オンチェーン調査筋は、仮にCoinbaseのノートパソコンが盗まれても出てくるのは無用な鍵の断片一つだけだと指摘する。資産を少数の稼働中のホットウォレットに寄せず、6,980万の個別アドレスに分散することで、おいしい標的になる問題も回避しているという。規制当局も動く。韓国の金融委員会傘下の監督当局は月曜日、国内取引所に法定最低80%を上回るオフライン保管を要請し、約99%への引き上げを検討しているとNews1が伝えた。Herald Businessの報道では、Upbitはすでに資産の99.17%をオフラインで保管している。ただしオフライン保管には代償がある。8月にはBithumbのオンラインウォレットが枯渇し、一部の出金が13時間以上止まった。韓国の取引所は、警備要員の増強が小規模プラットフォームを最も圧迫すると警告する。

99%オフラインが背負うトレードオフ

この1週間で保管設計は競争の主戦場となり、Coinbaseの開示はその時期を見計らったものだ。本質はメカニズムの差にある。63億ドルの損失は鍵の窃取でなく、ソーシャルエンジニアリングによる承認の詐取から生じた。ならば鍵を分割し、ソフトを自社開発し、ほぼすべてをオフラインに置く取引所が直面する攻撃面は、資金をオンラインに寄せベンダー頼みの競合とは別物になる。韓国案の99%基準はこの姿勢を法に刻むものだが、8月のBithumbによる13時間の出金停止が、全額オフライン準備が払う流動性の代償を示した。規制が導入されれば、コンプライアンス費用から韓国の大手会場を中心に再編が進む可能性がある。個人投資家は同じ姿勢をそのまま真似られる。ハードウェアウォレットの仕組みは初心者向けガイドで解説しており、Tangemモバイルウォレットのようなデバイスは、同じ鍵分離の原則をポケットサイズで実現する。