Revolutがフィッシングで本人確認書類とビットコイン取引履歴を流出——「政府機関のメール」を信じた代償
本物のドメインから来た偽の令状
Revolutが、政府機関の正規メールドメインから送られてきた偽の情報開示要求に応じてしまい、ユーザーのパスポートやビットコイン取引履歴を外部に渡していたことが明らかになりました。いわゆる「緊急開示要求（EDR）詐欺」と呼ばれる手口で、攻撃者は政府機関のメールシステム自体を乗っ取り、そこから本物そっくりの令状を企業に送りつけます。受け取った側は送信元ドメインが正規のものだから疑いようがない。Revolutのコンプライアンスチームが騙されたのも、ある意味では当然の流れです。
2022年のFTX破綻前後から、取引所やフィンテック企業が「ちゃんとKYCをやっています」「規制に準拠しています」と声高に言い始めた時期がありました。あの頃から集めてきたパスポートや取引記録が、今度は全く別のルートで漏れ出ている。皮肉な話だと思っています。
なぜこの事件が暗号資産ユーザーにとって深刻なのか
流出したのは「金額」だけじゃない
普通の金融機関で情報漏洩が起きた場合、流出するのは口座番号や残高といった数字が中心です。でも暗号資産の取引履歴は性質が違います。ビットコインのトランザクションはブロックチェーン上で追跡できますから、取引履歴＋本人確認書類（パスポート）がセットで漏れると、「この人物がこのウォレットアドレスを持っている」という紐付けが完成します。
オンチェーン分析ツールを使えば、そこからアドレスをたどって現在の残高も推定できます。つまり今回の流出は、「誰がどれだけ持っているか」という情報を攻撃者に渡した可能性があります。これは標的型の恐喝や物理的な強盗（いわゆる「$5 wrenchアタック」）に直結するリスクです。2017年のバブル期にも、取引所のKYC情報が流れてフィッシングに使われるケースが頻発しましたが、今回はそれより深刻だと自分は見ています。
「限定的なユーザー」という言葉を額面通りには受け取れない
Revolutは「限定的なユーザー数」という表現を使っています。この言葉、過去に何度も見てきました。FTXが破綻した当日も「ユーザーへの影響は限定的」という声明が出ていましたし、ハッキングを受けた取引所は必ずと言っていいほど最初は被害を小さく見せます。実際の規模が明らかになるのはいつも後からです。Revolutの欧州ユーザー基盤は4500万人を超えているので、「限定的」が何人を指しているのかは注視する必要があります。
EDR詐欺という手口が広がっている背景
この攻撃手法は2022年頃からアメリカのティーンエイジャーハッカーグループ「Lapsus$」が大規模に使い始め、AppleやMetaからも情報を引き出したことで一気に知られるようになりました。政府機関のメールアカウントを侵害してから正規の要求に見せかけた令状を送る。企業のコンプライアンス部門は「本物の政府機関からの要請」を断れないという心理的プレッシャーを逆手に取っています。
暗号資産企業はこの攻撃の格好の標的です。規制対応に敏感で、当局からの開示要求を無視すればライセンスを失うリスクがある。そのプレッシャーがあるからこそ、確認を急いでしまう。Revolutが今回の要求に二重確認の電話をかけたかどうかは報道からは読み取れませんが、正規ドメインのメールだけで判断したとすれば、内部プロセスに穴があったということです。
自分が今回の件から考えること
KYCを義務付けた規制当局は、集められた個人情報がこういう形で悪用されるリスクまで考えているのかという疑問が改めて頭をよぎります。もちろん規制には意味があって、マネーロンダリング対策は必要だという前提は理解しています。でも「KYCをやれば安全」という話と、「KYCで集めたデータをきちんと守れるか」という話は別の問題です。
Revolutのようなフィンテック大手でさえこれが起きるなら、より小規模な取引所や新興のDeFiフロントエンドが独自にKYCを抱え込むのはリスクそのものだと思っています。ゼロ知識証明を使ったプライバシー保護型の本人確認技術がここ数年で実用段階に近づいていますが、普及する前に被害が積み上がっていく構図になっています。
Revolutを使っている方は、まず自分がいつKYCを完了したかを確認して、その当時提出した書類（パスポートや免許証）の有効期限と紐付いているアドレスを把握しておくことが現実的な対応です。特にRevolutに登録したメールアドレスに届くフィッシングメールには警戒が上がります。取引履歴が流れているなら、そのメールアドレスが標的リストに乗っている可能性を念頭に置いておく必要があります。
こういう時期だからこそ「分散」の意味を再確認している
相場はFear & Greed指数で61（Greed）、PPIの上振れでBTCが1200万円を割り込む場面があった一日でした。価格の動きよりも、こういうセキュリティ事案の方が長期的に見て重要な出来事だと自分は思っています。資産の保管場所を一箇所に集中させないこと、フィンテックアプリに大きな残高を置き続けないこと——これは何度バブルを経験しても変わらない自分の基本姿勢です。
トレードを続けながら取引所リスクを分散したい方には、コピートレード機能を持つBingXを使っている方もいます。自分が全部判断しなくていい仕組みとして選択肢の一つに挙げておきます。そんな感じで見ています。
