Binanceで発生した大規模なデジタル資産の不正流出を巡り、ブロックチェーンそのものの脆弱性ではなく、取引所内部の署名権限や端末、運用体制を狙った攻撃だった可能性が強まっている。DSRVは、今回の事案が国内取引所にとっても無関係ではないと指摘している。

業界関係者によると、先月30日（韓国時間）、Binanceのホットウォレットから約63億ドル（約9450億円）規模のデジタル資産が不正流出した。原因としては、従業員の業務用ノートPCの侵害や、取引承認・署名システムへの不正アクセスなどが取り沙汰されていた。

DSRVは今回の事案について、「ブロックチェーンは破られていない」と分析。実際の攻撃対象は、署名権限を持つ担当者とその端末、さらに一部が侵害されただけでも大規模な資産移動が可能となる運用構造だったとみている。

同社によれば、偽の採用面接や改ざんされたパッケージを通じて従業員端末が感染し、社内の人工知能（AI）ツールを介して、他の従業員端末へ侵害が広がった可能性があるという。

リスク要因としては、端末内に残っていたデプロイ権限トークンを使った署名サービスへのアクセスや、事前に署名されたEIP-7702の委任署名を挙げた。多者間計算（MPC）を採用していても、付与済みの委任権限を即時に取り消せない点が問題として浮上したとしている。

DSRVは対策として、開発環境と業務端末における外部コード実行を厳格に統制し、署名環境を一般業務用端末から分離する必要があると提言した。

AIツールやAIエージェントについても、人のアカウントと同等水準の権限制御が必要だと指摘。デプロイ権限は短期間に限定して付与し、複数主体の承認を経る仕組みにすべきだとした。さらに、署名サービスへのアクセス経路を分離したうえで、MPCやマルチシグを導入していても、署名ノード内部で追加のポリシーチェックを行う必要があると説明した。

ホットウォレットの運用見直しも重要な論点だ。DSRVは、ホットウォレットで保管する資産の上限設定やコールドウォレット比率の引き上げに加え、チェーンやウォレットのリスク水準に応じて署名経路を分離する必要があるとみている。

加えて、ソーシャルエンジニアリング攻撃によって従業員が不正な署名を承認する事態を防ぐため、実際の署名対象や金額、送付先アドレスを人が確認できる形で表示する手順も必要だと分析した。

こうしたリスクは、国内取引所にとっても対岸の火事ではない。DSRVによると、仮想資産利用者保護法に基づき、国内取引所は利用者のデジタル資産の80％以上をコールドウォレットで保管しなければならない。ただ、署名システムが侵害された場合、ホットウォレットに残る資産だけでも被害が拡大する恐れがあると指摘した。

事故発生時に、利用者被害をどこまで補償できるかも課題として残る。現行制度では、取引所はホットウォレット保管額の一定部分を保険や準備金で確保することになっているが、電子金融取引法上の無過失賠償規定はデジタル資産取引所には適用されない。

金融当局も、Binanceの事案を受けて国内取引所へのセキュリティ点検を強化している。

金融委員会は2日、取引所のほか、金融監督院、金融保安院、デジタル資産取引所共同協議体（DAXA）などが参加する緊急会議を開き、コールドウォレット比率の引き上げ、入出庫の常時モニタリング、異常アクセスに関する報告・共有、準備金の追加積み増しなどを求めた。

DSRVは「どこに保管すれば安全かという問いに、特定の場所という答えはない」としたうえで、「鍵と署名権限が誰の手を経て、何層の確認を通って動くのかが重要だ」と強調した。