米仮想通貨取引所大手コインベースは米国時間4日、公式ブログで、バイナンスのハッキングの影響を受けておらず、顧客資産の99％超をオフラインのコールドウォレットで保管していると明らかにした。コインベースは顧客資産を1対1で保有し、顧客の財産として扱うほか、顧客の指示がない限り貸し出しや運用には使わないとしている。
コインベースの説明の背景には、世界最大の仮想通貨取引所バイナンスが日本時間10月30日未明、ホットウォレットから約63億4,000万ドル（1兆円規模）を奪われたハッキングがある。バイナンスは、攻撃者がマルウェアと盗んだ認証情報でウォレットの署名システムに入り込み、不正な取引を承認させたと説明した。
署名の管理について、コインベースは、コールドウォレットでは全顧客資産の秘密鍵を分割して管理し、署名時も完全な形に復元しないとしている。ホットウォレットでは、署名サービスの本番環境に常時アクセスできる個人はおらず、変更には複数の担当者の関与が必要だという。
また、コールドウォレットからホットウォレットへの資産補充の速度に厳しい上限を設け、出金量が警報を作動させた場合は、担当チームが確認するまで異常な量の移動を止めるとしている。不審な動きがあれば資金移動の一部または全てを止められ、署名用の鍵をオフラインにすることで、アクセスを意図的に復旧するまでどのシステムも署名できなくなると説明した。
コインベースの保管体制を巡っては、公式ブログの公表に先立ち、オンチェーン調査を手がけるXアカウントの@0x_zeemeが、コインベースでは秘密鍵が最初から複数の断片に分けて生成され、完全な形ではディスクにもメモリ上にも存在しないとの見方を示していた。署名用のソフトウェアや端末を自社で開発し、外部の署名アプリを使わない点も、同アカウントは特徴に挙げていた。
さらに同アカウントは、ウェブサイトのサーバーと署名用のハードウェアを物理的に分け、出金上限や承認者の人数をハードウェア側で独立して確認する構造だとした。ただし、自社開発や物理的な分離といった詳細は、コインベースの公式ブログでは触れられていない。
一方、バイナンスは4日、被害を受けた資産の約98％を補充し、顧客が検証できるプルーフ・オブ・リザーブズ（Proof of Reserves）の対象を10銘柄から44銘柄に広げたと発表した。残る2％は、流動性の低さから時間がかかる市場や店頭取引での調達を進めているという。
.jpg)