2018年1月26日に発覚、日本、暗号資産交換業

コインチェック仮想通貨NEM流出事件

設定の誤り
検知

NEMをホットウォレットで管理し、マルウェアで秘密鍵を盗まれ約580億円相当が流出した

何があったか

2018年1月26日の午前0時2分から8時26分の間、コインチェックが運営する仮想通貨取引サービスCoincheckで、顧客から預かっていた仮想通貨NEMが不正アクセスによって外部へ送金された。NEMの売買を止めたのは同日12時9分で、最初の不正送金から約12時間、最後の不正送金からも約4時間がたっていた。調査の結果、外部の攻撃者が従業員の端末にマルウェアを感染させ、その端末を経由して社内ネットワークに不正に入り込み、遠隔操作ツールでNEMのサーバー上の通信を傍受してNEMの秘密鍵を盗み出し、盗んだ鍵で外部の送金先へNEMを送っていたことが分かった。

会社はNEMを常時ネットにつながるホットウォレットで管理しており、この送金を止められなかった。検知後、ビットコインに関する一部サービスを除いてサービスを順次停止し、対象のNEMをコールドウォレットへ退避させた。流出量は当初5億2,300万XEM(約580億円相当)と公表されたが、後の調査で5億2,630万10XEMに変動し、影響を受けた保有者は約26万人となった。

1月28日に会社が補償方針を発表し、翌29日に金融庁が業務改善命令を出し、2月2日に立入検査が始まった。会社は外部専門家の協力を得て原因究明と再発防止に取り組み、3月8日に調査結果と再発防止策を公表するとともに、金融庁から2回目の業務改善命令を受けた。3月12日、保有者に1XEMあたり88.549円の補償を実施した。

入口: 外部の攻撃者が従業員の端末にマルウェアを感染させ、その端末を経由して社内ネットワークに不正アクセスした
決め手の失敗: 顧客から預かっていたNEMをコールドウォレットではなくホットウォレットで管理しており、秘密鍵を盗まれた際に不正送金を防ぐことができなかった
被害: 2018年1月26日午前0時2分から8時26分の間に、顧客預かりのNEM5億2,630万10XEM(当初公表は5億2,300万XEM、約580億円相当)が外部へ不正送金され、約26万人の保有者に影響が出た。NEM以外の仮想通貨と日本円の不正送金は確認されていない

攻撃の流れ

入口外部の攻撃者が当社従業員の端末にマルウェアを感染させ、外部ネットワークから当該端末経由で社内ネットワークに不正アクセスした
窃取遠隔操作ツールを使ってNEMのサーバー上で通信を傍受し、NEMの秘密鍵を窃取した
持ち出し窃取した秘密鍵を使って外部の不審な送金先へNEMを不正送金した(2018年1月26日午前0時2分から8時26分の間)
影響NEMをホットウォレットで管理していたため送金を止められず、約26万人が保有していたNEMが流出した。NEM以外の仮想通貨と日本円への影響は確認されなかった

数字で見る

約5億2,300万XEM(約580億円相当) 流出したNEM(金融庁公表時点)[4]
5億2,630万10XEM 流出したNEM(調査後の確定値)[1] 当初公表の数値から変動した
約26万人影響を受けたNEM保有者数[1]
1XEMあたり88.549円補償単価[3] 2018年1月26日23時59分59秒時点の保有数に基づく
2回業務改善命令の回数[5] 2018年1月29日と3月8日
約12時間不正送金の開始から売買停止まで[2] 送金開始0時2分から売買停止12時9分までを資料の時刻から数えた

対応と復旧

検知後、ビットコインに関する一部サービスを除いてサービスを順次停止し、各仮想通貨を管理するサーバーを外部ネットワークから遮断するとともに、ホットウォレットで管理していた仮想通貨をコールドウォレット等へ退避させた。情報セキュリティ関連の外部専門家5社に調査を依頼し、通信ログの解析、従業員へのヒアリング、端末のフォレンジック調査を行った。社内ネットワークとサーバーを再設計・再構築し、業務端末を入れ替え、外部専門機関によるセキュリティ監視を導入した。システムセキュリティ責任者(CISO)を選任してCISO室を新設し、システムリスク委員会を新設して内部監査態勢も強化した

組織が認めた原因と、決めた対策

認めた原因

外部の攻撃者が当社従業員の端末にマルウェアを感染させ、外部ネットワークから当該従業員の端末経由で当社のネットワークに不正にアクセスをし、遠隔操作ツールにより当社のNEMのサーバー上で通信傍受を行いNEMの秘密鍵を窃取したうえで、窃取したNEMの秘密鍵を使用して外部の不審通信先にNEMを不正送金したものであると想定される
顧客からお預かりしていたNEMをホットウォレットにて管理をしていたことから、不正送金を防止することができなかった

公表した再発防止策

社内ネットワークの再構築(外部からの接続への入口対策の強化、外部への接続への出口対策の多層防御、アクセス制限の強化)
サーバーの再設計及び再構築(サーバー間通信のアクセス制限強化、機密情報の暗号化、定期的なペネトレーションテスト)
端末のセキュリティ強化(業務端末の入れ替え、端末認証の強化、接続できる端末の制限)
社内モニタリングに加え、外部専門機関によるセキュリティ監視を実施する
仮想通貨の管理についてコールドウォレットへの対応等、安全な入出金の技術的検証を行う
システムセキュリティ責任者(CISO)を選任しCISO室を新設する。システムリスク委員会を新設する。内部監査態勢を強化する

自分のサービスで確かめること

預かり資産や鍵をオンラインに常時接続したホットウォレットだけで管理していないか、コールドウォレット等のオフライン管理と併用しているか確かめる
従業員の端末がマルウェアに感染した場合に重要なサーバーへ到達できてしまわないか、端末からサーバーへのアクセス経路と権限を点検する
外部からの不正アクセスや異常な送金を検知できる監視体制が社内と社外の両方にあるか確かめる
セキュリティの責任者と専門組織が置かれ、取締役会と連携して管理体制を作れているか確かめる
サーバーや機密情報の暗号化、定期的なペネトレーションテストなど再発防止策が実際に行われているか確かめる

関わる攻撃とレッスン

学べるレッスン

1-2 暗号とその失敗 (準備中)
1-1 脅威モデリング
4-3 インシデント対応
4-2 検知の決まりの設計 (準備中)

時系列

1月26日侵入午前0時2分から8時26分の間に、外部の攻撃者が盗んだ秘密鍵を使い顧客預かりのNEMを外部へ不正送金した[1]
1月26日発覚不正送金を検知し、12時9分にNEMの売買を停止するなど、ビットコインに関する一部サービスを除いてサービスを順次停止した[2]
1月28日公表対象となる約26万人のNEM保有者への補償方針を発表した[2]
1月29日処分金融庁が資金決済に関する法律第63条の16の規定に基づき業務改善命令を発出した[4]
2月2日対応金融庁が利用者保護の観点から立入検査に着手した[4]
3月8日公表不正送金の発生原因の調査結果と再発防止策を公表した[1]
3月8日処分金融庁がシステムリスク管理態勢等の問題を理由に2回目の業務改善命令を発出した[5]
3月12日対応 NEMを保有していた顧客に1XEMあたり88.549円の補償を実施した[3]

攻撃した側について

資料に攻撃者の名前の記載はない。会社は関係機関への報告や警察の捜査等に全面的に協力したと公表している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

仮想通貨NEMの不正送金に関するご報告と対応についてコインチェック株式会社、2018年3月8日、被害組織の資料
不正に送金された仮想通貨NEMの保有者に対する補償方針についてコインチェック株式会社、2018年1月28日、被害組織の資料
不正に送金された仮想通貨NEMの保有者に対する補償についてコインチェック株式会社、2018年3月12日、被害組織の資料
アクセスFSA 第175号金融庁、2018年2月、公的機関の資料
アクセスFSA 第176号金融庁、2018年3月、公的機関の資料

コインチェック 仮想通貨NEM流出事件