Bitcoin(BTC)決済のSwiss Bitcoin Pay、顧客データ漏えいを受けサーバー停止

スイス・ヌーシャテル拠点のノンカストディアル型Bitcoin(BTC)決済プロセッサー、Swiss Bitcoin Payは月曜日、内部システムへの不正アクセスが疑われる事態が判明したとして、自社サーバーをオフラインにした。同社は公式Xアカウントでこの措置を発表し、インフラの調査と保全の間に講じた予防的停止であると説明している。発表によれば、影響が疑われるデータには顧客のメールアドレス、Bitcoinアドレス、IBAN、取引履歴、ハッシュ化されたパスワードが含まれる。同社はユーザーの資金は安全であり、ユーザーへの未払い額は全額返金されることを強調した。

問題のサービスは、ベースレイヤー取引とLightning Networkの双方を通じて店舗や事業者がBitcoinでの支払いを受け付けることを可能にするもので、コインを会社のバランスシート上で保有するのではなく、顧客から事業者へと価値を直接ルーティングする仕組みだ。このアーキテクチャが今回の文脈で重要になる。月曜のインシデントはデータ漏えいであってカストディ(預かり)の失敗ではなく、不正なBitcoin送金は報告されていない。ヌーシャテルの同社は、カストディリスクを負わずにビットコイン決済を導入したい事業者層を対象に売り込んでおり、今回の停止はインフラの保全が完了するまで、こうした加盟店から利用可能な決済手段を奪う結果となっている。漏えいの公表では攻撃者の手法には触れられておらず、同社は調査が進行中であるとする一方、侵入経路は特定していない。今回の一件は、Bitcoinやクリプトセクター全体で続いている漏えい事案の流れに位置づけられる。Revolutは先週、正規の政府機関のメールドメインから送られた不正リクエストを行った未許可の第三者に、顧客のパスポート、運転免許証、本人確認用のセルフィー、取引履歴を提供したことを認めた。ハードウェアウォレット大手のTrezorも別に、ニュースレター配信に使っている第三者マーケティング基盤での漏えいが、顧客を狙ったフィッシング試行を助長していると警告した。執筆時点で、Swiss Bitcoin Payからコメントの回答は得られていない。

同社は、影響を受けた顧客の数、侵入者がアクセスを得た方法、データがコピーされたのか閲覧されただけなのか、そしてサービスがいつ復旧するのかをいずれも開示していない。ただし、運用面での一つのニュアンスが浮かび上がった。Xでの追加投稿において、Swiss Bitcoin Payは一部のユーザー残高――一般的に小口の金額だ――を短期的に保有していると明らかにした。Lightning経由の入金はバッチ処理され、日次・週次・月次のサイクルでオンチェーン決済されるためだ。サーバーがオフラインの間、こうしたフロート残高は実質的に凍結され、インフラの復旧まで動かせない。決済ビジネスにとって、今回の露出はとりわけ敏感だ。IBANと取引履歴が漏えいすれば、攻撃者は各加盟店のほぼ完全な金融プロファイルを手にすることになる。ハッシュ化されたパスワードは、別のサービスで認証情報を使い回している顧客へのオフライン解析(クラッキング)の格好の標的になる。セキュリティ研究者のPasquale Pillitteri氏は、漏えいした各項目を組み合わせると、標的型フィッシングキャンペーンにそのまま使える材料になると指摘した。同氏はより長期的な懸念も示した。被害ユーザーのBitcoinアドレスが実世界の身元と紐づけられる状態になり、外部の観察者がオンチェーン上の活動を追跡可能になるという。デジタル資産を巡るデータ窃取は現在、相次いでいる。BlockstreamのLiquidサイドチェーンは、連合(フェデレーション)ウォレットの侵害でおよそ4,000 BTCが引き出されたと伝えられる事案の後、先週ようやくブロック生成を再開した。日本のデジタル庁は別に、職員および委託先の約24万6,000件の記録が漏えいした可能性があると公表した。ウォレットプロバイダーのSafePalは先月、氏名、住所、購入データを含む約39,798名の顧客の注文情報への不正アクセスを報告した。さらに1月には、ハードウェアウォレットメーカーLedgerが利用する決済プロセッサーGlobal-eを通じて、攻撃者が顧客データを取得していた。攻撃者の正体も身代金要求も、いまだ公に確認されていない。

私たちの見立てでは、2026年の攻撃者はBitcoinの暗号技術的な中核ではなく、その周辺にあるデータ基盤を狙っている。Revolut、Trezor、SafePal、そして今回のSwiss Bitcoin Payはいずれも、鍵とカストディが無傷のまま、身元情報やアカウントのメタデータを漏えいした――そしてノンカストディ設計であったこそが、被害をこの範囲に食い止めた。同社自身の投稿が最も信頼できる一次記録だ。それによれば、不正なBitcoin移動は現時点で確認されていないが、調査は継続中で、復旧日程も定まっていない。加盟店にとっての短期的なコストはダウンタイムであり、影響を受けたユーザーにとっては、メール、IBAN、アドレスのデータを材料にした標的型フィッシングだ。侵入経路を特定したより詳細な事後報告が公開されると見込んでいるが、それまでの間、確定している被害はこのメタデータの露出である。