税務執行の成果を強調するはずだった公開プレスリリースが、押収した数百万ドル相当の暗号資産を誤って露呈した。
韓国国税庁（NTS）は、押収したLedgerハードウェアウォレットのニーモニックシードフレーズを誤って公開し、何者かが約480万ドル相当のデジタル資産を送金できる状態になった。
「窃盗犯はまず、トークンを引き出す際の取引手数料（ガス代）に使うため、ウォレットに少額のEthereum（ETH）を入金した。その後、細心の注意を払って、400万PRTGトークンを3段階に分けて自分のウォレットへ引き出した」と報じた韓国のMaeil Business Newspaper。
シードフレーズの露呈が480万ドルの盗難につながった経緯
盗まれた資金は、資産価値の高い脱税者124人を標的とした、より大規模な取り締まりの一環だった。この過程で韓国国税庁（NTS）は、約81億ウォン（約560万米ドル）相当のデジタル資産を押収した。
この作戦の成功を広報するため、同庁は押収したLedgerハードウェアウォレットの写真を公開した。
しかし、その画像には手書きのニーモニック復元フレーズも写っていた。これは暗号資産ウォレットへの完全なアクセスを可能にする、暗号学上のマスターキーだ。
Ledgerなどのハードウェアウォレットは、秘密鍵をオフラインで保管し、リモートからの侵害を防ぐよう設計されている。
しかし、その安全性は最終的に復元フレーズの機密性に依存する。復元フレーズは通常、ウォレットのセットアップ時に生成される12語または24語のニーモニックだ。
このフレーズは信頼の起点として機能する。これを持つ者は、互換性のある別のデバイスでウォレットを復元し、元のハードウェアウォレットやPIN、所有者の承認なしに資金を送金できる。
今回、公開された画像によって、この復元フレーズが露呈したと報じられている。
プレスリリースの公開直後、ブロックチェーン上のデータから、400万個のPre-Retogeum（PRTG）トークン（当時の価値でおよそ480万米ドル相当）が、押収されたウォレットから新しいアドレスへ送金されたことが分かった。
オンチェーン分析によると、攻撃者はまず取引手数料を賄うために少額のEthereum（ETH）を入金し、その後、トークンを3回の別々の取引で移動させた。プレスリリースはその後、NTSのウェブサイトから削除された。
取引の動きを検証したHansung UniversityのCho Jae-woo教授は、検証し「財布を開けたまま、国民全員に宣伝しているようなものだ」とこのミスをたとえた。
同教授は、仮想資産のセキュリティーに対する理解不足が損失を招いたと指摘し、ブロックチェーン取引は一度承認されると取り消せないと説明した。
復元フレーズなどの有効な認証情報を使って送金が承認された場合、取引所や法執行機関との複雑な連携がない限り、資金の移動を取り消したり凍結したりする仕組みは組み込まれていない。
暗号資産のカストディー慣行を強化する
暗号資産の普及が進むにつれ、秘密鍵やシードフレーズの管理を誤ることに伴うリスクも高まっている。
従来の金融システムとは異なり、誤った、または不正なブロックチェーン取引を取り消す中央機関は存在しない。
組織も個人の保有者も、規律あるセキュリティー管理策を適用してデジタル資産を保護し、取り返しのつかない損失の可能性を抑えなければならない。
暗号資産を扱う組織向け
デジタル資産を押収、管理、保管する組織は、シードフレーズの露呈や運用上のミスのリスクを抑えるため、技術面と手続き面で多層的な管理策を導入すべきだ。
- シードフレーズと秘密鍵の情報を極めて機密性の高い認証情報として扱い画像や文書を公開する前に、厳格な墨消し、メディアレビュー、公開管理を徹底する。
- マルチシグウォレット、機関向けカストディーソリューション、または秘密分散方式を導入し資産管理における単一障害点をなくす。
- 復元フレーズを物理的に安全でアクセスが管理された環境に保管し二重承認の手続きと、アクセス履歴の記録を整備する。
- リアルタイムのブロックチェーン監視とアラートを導入し、不正な送金を検知するとともに、迅速な対応を可能にする。
- フィッシング耐性のある多要素認証を必須とし、暗号資産のカストディー業務に関わる担当者には最小権限のアクセスを付与する。
- カストディー手続きを継続的に検証し、インシデント対応計画を、シードフレーズの露呈や緊急時のウォレット移行を想定した机上演習でテストする。
個人の暗号資産保有者向け
個人のウォレット所有者は、資金の取り返しのつかない損失を防ぐため、基本的ながら規律あるセキュリティー対策を実践すべきだ。
- シードフレーズを撮影、デジタル化、メール送信したり、クラウドストレージやメッセージアプリに保存したりしてはならない。
- 復元フレーズは安全な物理的場所にオフラインで保管しさらなる保護のため、任意のパスフレーズの利用も検討する。
- シードフレーズが露呈した場合は、新たに生成したウォレットへ直ちに資金を移しPINやパスワードを変更しても侵害は軽減できない。
- 多額の資産を単一のデバイスや単一の場所だけに保管することは避け残高が大きい場合はマルチシグ構成も検討する。
ブロックチェーン取引は取り消せないため、規律ある鍵管理と多層的な管理策が、暗号資産を取り返しのつかない損失から守るうえで不可欠だ。
NTSの事件は、暗号資産の運用において、セキュリティーがテクノロジーだけでなくプロセスにも同じように依存していることを浮き彫りにしている。
ハードウェアウォレットは強力な保護を提供するが、復元フレーズが露呈すれば、その保護は機能しない。
こうした現実を受け、組織はゼロトラストの原則を採用し、露呈は起こり得ると想定したうえで、機密性の高い資産に対する継続的な検証と厳格なアクセス管理を求めている。