魔の手が伸びる「仮想通貨」、新手の攻撃：セキュリティクラスタ まとめのまとめ 2018年5月版（2/3 ページ）

2018年5月のセキュリティクラスタは、引き続き「仮想通貨」関連の話題に注目が集まりました。ブロックチェーンの仕組み自体の弱点を突いた攻撃や、プラグインの改変などさまざまな手段を使って犯罪者がお金をかすめ取ろうとしています。加えて、仮想通貨を採掘させるスクリプトをサイトに設置すること自体が違法だという指摘がありました。仮想通貨以外では、情報漏えい事件の原因が「WAFの設定ミス」なのか「脆弱性」なのかという議論がありました。

[山本洋介山（エヌ・ティ・ティ・コミュニケーションズ），＠IT]

新種の攻撃を受け、国産の仮想通貨「モナコイン」の取引所がお金をだまし取られる

　仮想通貨取引所「コインチェック」が攻撃を受けるなど、2018年に入って攻撃の話題が尽きない仮想通貨。日本で生まれた「モナコイン」という仮想通貨が、5月15日までにロシアの仮想通貨取引所で攻撃を受け、取引所が1000万円ほどの被害を受けたということです。

　これまでは「コインチェック」のように交換所やユーザーが不正アクセスを受けて仮想通貨が盗まれることがほとんどでした。しかし、今回「モナコイン」が攻撃を受けたのは「Block withholding attack」という攻撃方法で、仮想通貨の根幹技術である「ブロックチェーン」の仕組み自体を攻撃するものでした。

　この攻撃ではコインを採掘するマイナーが生成したブロックを一定期間隠し持ってから公開することで、これまで正しいとされていたブロックチェーンを無効化します。その結果としてブロックチェーンの巻き戻し作業が始まります。ところが巻き戻しの前に交換所から換金することで、お金をだまし取ることができたようです。

　保有率が高いほどブロックの承認権利を得やすい仕組みを利用している全ての仮想通貨には、同様の脆弱性があります。これまでも原理的には今回のような攻撃が可能だと考えられていたそうですが、攻撃するには他のマイナーよりも圧倒的に大量の計算資源が必要になるため、これまで実際に攻撃が行われたことはありませんでした。この前提を打ち破る攻撃に驚いたツイートが幾つもありました。

　その後「モナコイン」以外のコインも同様の攻撃を受け始めたようです。他にも仮想通貨ウォレット「HB Wallet」が元内部開発者による攻撃を受けるなど、仮想通貨に対してさまざまな種類の攻撃が続いています。「51％攻撃」が行われる可能性についてもツイートされていました。