韓国取引所Prabang、ハッキングで約1億ウォン損失し全サービスを停止

ホットウォレット侵害を受けPrabangがサービス停止

韓国のデジタル資産取引所Prabangは、外部からの不正侵入による異常な出金が発生したことを受け、全サービスを停止した。これまでに確認された損失は約1億ウォン。同社の公式発表によると、侵害は10月24日ごろに発生し、不正な第三者がシステムへのアクセスを確保した。職員が、顧客の出金処理のために資金を常時確保しておくネット接続型の暗号資産ウォレットであるホットウォレットからの不規則な流出を検知し、ただちに緊急対応体制を起動した。その後、会社システムの全面点検が実施された。点検の過程でPrabangはセキュリティ上の脆弱性を特定し、経営陣は調査の継続中に取引を動かし続けるのではなく、サービスを停止する道を選んだ。この事故は所轄当局にも報告されており、取引所は正確な原因と最終的な被害規模はなお調査中だとしている。現時点でアクセスは不可能だ。10月29日木曜日午前の時点で、Prabangの公式サイトもプライバシーポリシーのページも503(Service Unavailable)を返しており、会員はログイン、売買、出金のいずれもできない。技術的な事後分析はまだ公表されていない。攻撃者がどのシステムに触れたのか、どの資産が持ち去られたのか、資金が一つの取引で流出したのか複数回に分かれたのか、取引所はいずれも明らかにしていない。そのため1億ウォンという数字は最終値ではなく下限であり、Prabangは正確な被害は対象資産の特定が完了した後に確定すると説明している。10月24日に異常な出金が検知されたという事実は、侵入から封鎖までの時間窓が短かったことを示す。ただし、攻撃者がいつ最初にアクセスを得たのかは会社側も確認できていない。

全額補償を約束するも業界の不安は拡大

Prabangは会員への全額補償を自社の財務で実施する方針を打ち出した。現在確認されている被害は約1億ウォンであり、会社は対象となる保有資産の特定が終わり次第、法人資産で全額を負担するとしている。利用者に対して謝罪し、再発防止に向けたセキュリティ強化とシステム更新を約束したほか、新たに確認された情報は会員に直接伝えると述べた。一方で提示していないのが日程だ。サービス再開の時期はもとより、脆弱性の中身も、最初の不正アクセスがどうやって得られたのかの説明もない。今回の侵害は、韓国市場にとって微妙な時期に起きた。近年はBithumb、そしてGOPAXの運営会社Streamiでもセキュリティ事故が確認されており、業界全体のセキュリティ管理への懸念が高まっている。関連する開示によれば、GOPAXとPrabangはそれぞれ顧客情報漏えいの件で別々に謝罪しており、運営面の疑問に加えて個人情報保護の問題も重なっている。Prabangが説明した対応の流れ自体は整然としている。ホットウォレットの異常流出を検知し、緊急プロトコルを起動し、全システム点検を実施し、脆弱性を特定し、サービスを停止し、当局へ通報した。これは事後的に実行された手順書だ。未解決の問題はその上流にある。出金された資産の流先、すなわち暗号資産ミキサーを経由したのか、クロスチェーンブリッジを通じて移されたのかは明かされておらず、どちらであっても追跡と回収は一段と困難になる。法人資産による補償が成り立つのは損失が小さいからだ。同様の約束は、桁が二つ違う規模の侵害には通用しない。

当メディアの見方では、今回の事故は規模よりも構造こそが重要だ。損失が約1億ウォン付近に抑えられたのは、異常な出金が早い段階で捕捉され、プラットフォームが封鎖されたためだ。境界の防御は破られたものの、出金監視は機能したことを示している。法人資産での補償支払いが信頼に足るのも、金額が限定的だからにほかならない。一方、韓国の取締場三つが数週間のうちにセキュリティ事故を報告した事実は、偶然の重なりではなくカストディとアクセス管理に共通の弱点がある可能性を指し示す。今後注視すべきは三点だ。Prabangによる脆弱性の技術的開示、流出資産の流先の確認、そして確定的な再開日だ。当面プラットフォームを選び直そうとする利用者には、当メディアのおすすめの仮想通貨取引所総覧が、選択の中心に置くべきセキュリティとカストディの実績を整理している。