Prabang、7人分の個人情報漏えい 1カ月で3度目のハッキング

会員7人、8項目のデータが流出

韓国の仮想通貨取引所Prabangは、11月5日(木)に公表した公式発表の中で、会員7人分の個人情報が外部からの不正アクセスによって流出したと明らかにした。侵入の発生時期は10月24日頃とされ、漏えいした記録は氏名、会員番号、メールアドレス、携帯電話番号、ワンタイムパスワード(OTP)のキー値、資産残高、個人ウォレットアドレス、ログイン用パスワードの8項目に及ぶ。同社の説明では、アカウントごとに保持しているデータの種類が異なるため、実際に流出した項目は会員ごとにばらつくという。Prabangは影響を受ける会員に対し、個別に連絡を行う方針を示している。

発表のタイミングは、プラットフォームがサービス停止を続けている最中だった。同取引所はシステム点検の過程でセキュリティ上の脆弱性を発見し、それ以降、取引と会員アクセスの双方を停止したままだ。会社側は適用法令に基づき関係当局へ本件を報告したことも確認しており、原因と被害の全容の特定は現在も進行中としている。今年、プラットフォームの事故が相次いでいる市場にとって目を引くのは漏えいの深さだ。OTPキー値とログインパスワードが同時に流出すれば、多くの取引所が依存する二要素認証を攻撃者が迂回できる可能性があり、フィッシング用の連絡先収集とは被害の規模が根本的に違う。ただしPrabangは、漏えいした認証情報がハッシュ化されていたのか平文で保存されていたのかをまだ明らかにしておらず、アカウント乗っ取りの実際のリスクは調査結果が出るまで定量評価できない。

約1億ウォンの流出と1カ月の連鎖

時系列で見ると、今回は単発の過ちではなく、続発した一連の事故の一端と映る。Prabangは10月2日に最初の個人情報漏えいを経験し、その後の10月24日にはホットウォレットから異常な出金を検知、デジタル資産およそ1億ウォンが流出した。取引所側は出金を発見した直後に緊急対応体制を起動し、システムの全面点検を実施したと説明しており、この点検で現在のサービス停止につながる脆弱性が見つかったという。同社の告知によれば、今週確認された個人情報の露出は10月24日のホットウォレット事故と同時期に発生したものとみられ、10月2日の漏えいとは別件としている。

補償対応については、喪失した資産の正確な額を検証したうえで、被害額を自己資金で全額補填する方針を掲げた。再発防止に向けて大規模なセキュリティ強化とシステム刷新を進めるとし、当局との合同調査で根本原因を確定させる段階だ。一方で、攻撃者がホットウォレットから資金をどのような手順で引き出したのか、どのチェーン上で資産が流出したのか、一部でも凍結または回収されたのかについては未開示のままであり、回収の見通しは今後の公表次第だ。

COINOTAG編集部の見立てとして、注目すべきは見出しの金額よりも流出した情報の組み合わせだ。1億ウォンは破格の窃取額ではないが、OTPキー値とログインパスワードが同じ形で漏れた場合、プライバシー事故がすべての該当アカウントに対する現役の認証情報リスクへと変わる。停止中のサービスに預けた資産を抱える会員は、認証情報の変更、アクティブなセッションの失効、そしてハードウェアウォレットを使った自己管理への移行を進めるのが妥当だ。ウォレットアドレスと残高データが漏れている状況では、標的型フィッシングの実行は容易だからだ。より広い教訓として、小規模取引所の1カ月3度の侵害事故と期限未定の停止は、DYORの原則が存在するまさにこの種の状況を示している。プラットフォームリスクは市場リスクと同じく資産配分の判断に織り込むべきであり、当社の優良仮想通貨取引所の評価基準でも事故履歴はそれに応じて重み付けされている。