ゆめさくセキュリティ

2024年5月31日に発覚、日本、暗号資産交換業

DMM Bitcoin ビットコイン不正流出事件

ウォレット管理を委託した外部企業が標的型攻撃を受け482億円相当のBTCが流出した

何があったか

2024年5月31日午後1時26分頃、DMM Bitcoinは自社のウォレットからビットコインが不正に流出したことを検知した。流出した数量は4,502.9BTC、当時のレートで約482億円相当だった。会社は同日第一報を出し、顧客が預けていたビットコインは流出相当分をグループ会社の支援で調達し全額保証すると発表した。同時に新規口座開設の審査、暗号資産の出庫、現物取引の買い注文、レバレッジ取引の新規建玉注文を制限した。

9月26日、関東財務局は資金決済法に基づく業務改善命令を出した。立入検査の結果、システムを統括する役員がおらず、システムリスク管理や情報セキュリティ管理の権限が一部の者に集中してけん制機能が働いていなかったこと、秘密鍵の署名作業を単独で実施し秘密鍵を一括管理していたこと、複数ウォレットへの分散管理を検討していなかったこと、流出時の証拠保全に必要なログの保存期間を検討していなかったことなど、重大な問題が認められた。

事案は長期化し、12月2日、会社は口座と預かり資産をSBI VCトレードへ移管し事業を廃止すると発表した。同月24日、警察庁はFBI、米国防省サイバー犯罪センター（DC3）と共同で、ウォレット管理を委託していた株式会社Gincoの従業員がLinkedIn上で採用活動を装った標的型ソーシャルエンジニアリングを受け、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」がGincoの通信システムに侵入して正規取引のリクエストを改ざんし資産を窃取したと特定したと公表した。DMM Bitcoinはこの公表を受け、Gincoに手口や被害を防げなかった原因の説明を求めた。サービスは2025年3月8日に終了し、口座と資産はSBI VCトレードへ移管された。

入口
ウォレット管理を委託していた株式会社Gincoの従業員に、LinkedIn上でリクルーターになりすましたTraderTraitorが採用前試験を装って悪意あるPythonスクリプトのURLを送り、従業員の端末が侵害された
決め手の失敗
システムを統括する役員を置かず、システムリスク管理や情報セキュリティ管理の権限を一部の者に集中させてけん制機能が働いていなかった。暗号資産移転に係る秘密鍵の署名作業を単独で実施し、秘密鍵を一括管理するなど、社内規程に反する取扱いと認識しながら継続していた
被害
顧客から預かっていたビットコイン4,502.9BTC（流出当時約482億円相当、米当局の公表では3億800万ドル相当）が外部に流出した。新規口座開設の審査や暗号資産の出庫などのサービスを制限し、最終的に口座と預かり資産をSBI VCトレード株式会社へ移管して2025年3月8日に事業を終了した

攻撃の流れ

  1. 入口2024年3月下旬、TraderTraitorはLinkedIn上でリクルーターになりすまし、DMM Bitcoinがウォレット管理を委託していた株式会社Gincoのウォレット管理システムへのアクセス権を持つ従業員に接触した。採用前試験を装い、GitHub上に保管された悪意あるPythonスクリプトへのURLを送付し、従業員はこのコードを自身のGitHubページにコピーして侵害された
  2. 権限の奪取2024年5月中旬以降、TraderTraitorは侵害した従業員になりすますためセッションクッキーの情報を悪用し、Gincoの暗号化されていない通信システムへのアクセスに成功した
  3. 持ち出し2024年5月下旬、このアクセスを利用してDMM Bitcoin従業員による正規の取引リクエストを改ざんし、ウォレットから4,502.9BTCを外部へ送信させた。窃取された資産は最終的にTraderTraitorが管理するウォレットへ移動された
  4. 影響DMM Bitcoinは流出相当分のBTCをグループ会社の支援で調達し顧客への全額保証を発表する一方、出庫や新規建玉注文などのサービスを制限した。事案は長期化し、同年12月に事業の廃止と資産移管を決めた

数字で見る

  • 4,502.9BTC 不正流出したビットコイン[1] 流出当時約482億円相当
  • 3億800万ドル 米当局の公表による被害額[7]
  • 118日 検知から業務改善命令まで[2] 2024年5月31日から9月26日まで。資料の日付から数えた
  • 207日 検知から攻撃者の特定公表まで[6] 2024年5月31日から12月24日まで。資料の日付から数えた
  • 281日 検知からサービス終了まで[9] 2024年5月31日から2025年3月8日まで。資料の日付から数えた

気づいたきっかけ

2024年5月31日13時26分頃、自社ウォレットからのビットコインの不正流出を検知した

対応と復旧

検知当日のうちに新規口座開設の審査、暗号資産の出庫処理、現物取引の買い注文、レバレッジ取引の新規建玉注文を制限し、流出相当分のBTCをグループ会社の支援で調達して顧客への全額保証を発表した。9月26日の業務改善命令を受け、原因究明と業務改善計画の報告を求められた。12月2日、顧客保護を優先し口座と預かり資産をSBI VCトレード株式会社へ移管して事業を廃止する基本合意を発表し、2025年3月8日にサービスを終了して移管を完了した

組織が認めた原因と、決めた対策

認めた原因

  • システムを統括管理する役員を配置せず、システムリスクの管理やシステム開発・運用管理、情報セキュリティ管理の権限を一部の者に集中させ、システムリスク管理態勢のけん制機能が発揮されていなかった
  • 監査スキルを保有する人材を配置しない中、被監査部署に監査を実施させるなど、内部監査の独立性が保たれていなかった
  • 外部ウォレットの導入に際し、流出リスクについて議論せず、セキュリティ管理状況の評価の妥当性を確認せず、問題発生時の対応方法を理解しないままウォレットの利用を開始していた
  • 暗号資産移転に係る秘密鍵の署名作業を単独で実施し、秘密鍵を一括管理するなど、事務ガイドラインに反する取扱いであると認識しながら継続していた
  • 預かり暗号資産の規模が増大する中、複数のウォレットを設置して分散管理するなど、リスクに応じた対応を検討していなかった
  • 暗号資産の流出時の証拠保全に係るログを保存する期間等を検討しておらず、不正流出事案の調査及び原因分析に必要な証拠保全を適切に行っていなかった

公表した再発防止策

  • システムリスク管理態勢の強化
  • 暗号資産の流出リスクへの対応が適切に行われるための態勢の整備
  • 経営責任の明確化及び経営管理態勢等の強化
  • 被害が発生した顧客の保護の徹底、十分な説明・開示及び苦情への適切な対応

自分のサービスで確かめること

  • 委託先や提携先が管理するシステムのセキュリティ対策を定期的に確認しているか
  • 暗号資産の秘密鍵の署名作業が複数人の承認を経ており、単独で完結する経路が残っていないか
  • 秘密鍵やウォレットを一か所に集中させず、分散して管理しているか
  • システムリスクや情報セキュリティの管理権限が一部の担当者に集中せず、相互にけん制が効いているか
  • 不正アクセス時の原因究明に必要なログを十分な期間保存しているか

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2024年
  2. 5月31日 発覚 13時26分頃、自社ウォレットからのビットコインの不正流出を検知した[1]
  3. 5月31日 公表 不正流出発生に関するご報告（第一報）を出し、4,502.9BTC（約482億円相当）の流出とサービスの利用制限を公表した[1]
  4. 9月26日 処分 関東財務局が資金決済に関する法律第63条の16に基づく業務改善命令を発出した[2]
  5. 12月2日 対応 口座及び預かり資産をSBI VCトレード株式会社へ移管し、事業を廃止することで両社が基本合意した[5]
  6. 12月24日 公表 警察庁がFBI、DC3と共同で、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」をDMM Bitcoinからの暗号資産窃取の実行者と特定したと発表した[6]
  7. 12月26日 公表 警察庁の公表を受け、ウォレット管理を委託していた株式会社Gincoに手口や原因の説明を求めたことを公表した[9]
  8. 2025年
  9. 3月8日 対応 サービスを終了し、顧客の口座及び預かり資産を全てSBI VCトレード株式会社へ移管した[9]

攻撃した側について

公的機関が名指しした攻撃者 TraderTraitor、Lazarus Group

警察庁は、FBI及び米国防省サイバー犯罪センター（DC3）とともに、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」を、DMM Bitcoinから約482億円相当の暗号資産を窃取した実行者と特定したと2024年12月24日に公表した。TraderTraitorは北朝鮮当局の下部組織とされる「Lazarus Group」の一部とされ、FBI等はJade Sleet、UNC4899、Slow Piscesの名でも追跡していると説明している。DMM Bitcoinはこの公表を受け、ウォレット管理を委託していた株式会社Gincoに対し、手口や被害を防止できなかった原因の説明を求めたと発表した

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 【重要】暗号資産の不正流出発生に関するご報告（第一報） 株式会社DMM Bitcoin、2024年5月31日、被害組織の資料
  2. 株式会社DMM Bitcoinに対する行政処分について 財務省関東財務局、2024年9月26日、公的機関の資料
  3. 株式会社DMM Bitcoinに対する行政処分について 金融庁、2024年9月26日、公的機関の資料
  4. 【重要】当社に対する関東財務局の行政処分について 株式会社DMM Bitcoin、2024年9月26日、被害組織の資料
  5. 【重要】口座及び預かり資産のSBI VCトレードへの移管に向けた基本合意について 株式会社DMM Bitcoin、2024年12月2日、被害組織の資料
  6. 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について 警察庁、2024年12月24日、公的機関の資料
  7. （仮訳）FBI、DC3及び警察庁は、Bitcoin.DMM.Comから3億800万ドルを窃取したとして、北朝鮮のサイバーアクターTraderTraitorを特定 警察庁（FBI、DC3との共同発表の仮訳）、2024年12月24日、公的機関の資料
  8. Alert - Cyberattack by North Korean Cyber Actors, TraderTraitor（Provisional Translation） 内閣サイバーセキュリティセンター（NISC）、警察庁、FBI、DC3、2024年12月24日、公的機関の資料
  9. 【重要】暗号資産の不正送金に関する警察庁の公表を受けた今後の当社の対応について 株式会社DMM Bitcoin、2024年12月26日、被害組織の資料