デジタル資産
WazirXの最暗時代：2億3千万ドルのハッキングとその余波を詳細に検証
Securities.io を Google の優先ソースに追加
インドの暗号通貨ユーザーは、中央集権型暗号取引所（CEX）WazirXが顧客のための回復プランを見つけるのに苦労しているため、厳しい状況に直面しています。
WazirXはインドの主要な暗号取引所の一つで、ユーザー数は1600万人を超えています。7月18日、同社は2億3千万ドルのハッキング被害を受けました。
このセキュリティ侵害はWazirXのマルチシグウォレットの一つに影響しました。マルチシグウォレットは取引が実行される前に複数の署名者が必要です。WazirXの場合、ユーザー資産を保護するために5人の署名者が設定されていました。
攻撃者はShiba Inu（SHIB）で1億ドル、Etherで5200万ドル、MATICで1100万ドル、PEPEで600万ドルを流出させました。2024年6月の報告によると、これらの資金は取引所の総準備金5億ドルの45%以上に相当します。
ブロックチェーン追跡ツールLookonchainによると、犯人は盗まれた資金の大部分をEthereum（ETH）に変換しました。ハッカーは通常、Tornado Cashのようなミキシングサービスを利用してトークンを変換し、取引活動を隠すことができます。
犯人は現在、約2億ドル相当の59,097 ETH以上をさまざまなトークンで保有しています。彼らは人気のDEXであるUniswapを使って盗まれたトークンを売却しています。
この攻撃の結果、取引所に上場しているトークンは流動性不足のため、国内外の価格に対して大幅な割引価格で取引されました。その後、取引所はプラットフォーム上のすべての取引および暗号・法定通貨の出金を停止しました。WazirXがハッキングされてからほぼ2週間が経過していますが、活動は依然として停止したままです。
取引所内のすべてが凍結された状態で、BTC/USDTはWazirXで64,052、CoinDCXでは66,687で取引されています。一方、USDT/INRはCoinDCXで88.64、WazirXでは68.40で取引されています。取引所のネイティブトークンであるWZXは、ハッキング以降36.24%下落しています。
何が起こったかについて、取引所はLiminal Custodyのデジタルインターフェースに表示された情報と、署名された取引の実際の内容との間に「不一致」があったと非難しました。取引所は投稿で次のように述べました：
“ペイロードが置き換えられ、ウォレットの制御が攻撃者に移されたと疑っています。”
一方、Liminal CustodyはWazirXが攻撃の原因であると非難し、インフラは侵害されていないと述べました。
“残念ながら、被害者のマシン3台が取引に悪意のあるペイロードを注入していることが判明しました。これは、特定のGnosisスマートコントラクトマルチシグウォレットに対する高度に計画された標的型攻撃を示しています。”
– Liminal（X）
しかし、すべての人が説明や非難合戦に納得しているわけではありません。Xで人気の暗号YouTuberであるPankaj Tanwarによれば：
“このミスはインドの#Cryptoに想像を超えるダメージを与えるでしょう。”
WazirXが「損失の社会化戦略」で非難される
盗まれた資金が総準備金に占める割合を考えると、返還の期待はほとんどなく、さらに犯人が北朝鮮と関係があるとされていることが、回復への希望を大きく打ち砕いています。
取引所は解決策に対して2300万ドルのバウンティを提供し、130件以上の応募がありましたが、未損失資金の分配を検討し始めました。
そのため、WazirXは暗号資産の55%を返還し、残りはUSDT相当トークンでロックすることを検討しています。ユーザーのトークンが盗まれたかどうかに関わらずです。つまり、ハッキングで損失を被っていないユーザーでさえ、資産の55%しか利用できず、残りはステーブルコインに変換されロックされることになります。
取引所は現在、この「出金管理プログラム：意見投票」により、顧客だけでなく業界全体からさらなる精査と批判に直面しています。
この投票は7月27日に実施され、その際に取引所は「すべてのユーザーに影響を公平に配分するための損失の社会化戦略」を導入しました。この戦略により、ユーザーは資産の大部分に即座にアクセスでき、”待機することを選択したユーザーに対してさらなる回復の可能性を維持”します。
この投票では、顧客に2つの異なるオプションへの投票が求められました。一つのオプションでは、ユーザーは資金の大部分に取引用としてアクセスでき、引き出しも可能ですが、回復した資金に対しては第二の優先順位となります。対照的に、もう一つのオプションでは引き出しは許可されず、ユーザーは回復金に対して第一の優先順位を得ます。
この提案に対し、WazirXはユーザーから批判を受けました。あるユーザーは「損失は社会化、利益は民営化」と述べ、別のユーザーは盗まれていないトークンを持つユーザーがなぜ罰せられるのかと疑問を呈しました。
競合する暗号取引所もWazirXの最新の動きについて意見を述べました。CoinDCXの共同創業者Sumit Guptaは、これは「コミュニティ第一」の決定ではないと述べました。WazirXの対応は「彼らにとって好ましくない」とし、さらに「他のエコシステム参加者にも損害を与えている」と付け加えました。
Giottusの共同創業者Arjun Vijayは、WazirXの投票は「エコシステムの最善の利益にかなっていない」と述べ、これは「顧客に回復金の優先権を得るオプションを選ばせるよう設計されている」からだと指摘しました。
Unocoinの共同創業者Dr. Sathvik Vishwanathも、この問題の対処方法に失望を表明し、すでに暗号業界を「困難な状況」に追い込んでいる事態を「さらに悪化させている」だけだと述べました。
WazirXは自らを弁護し、投票は「法的拘束力がある」ものではなく、顧客の要望を理解するための一歩に過ぎないと述べました。取引所は今後もユーザーからのアイデアやフィードバックを収集し続けます。
損失を分担する計画の理由について語る際、WazirXの副社長Rajagopal Menonは、同様の状況に直面した他の主要取引所を調査したと共有しました。調査対象となった2つの大規模ハックはMt. GoxとBitfinexです。
ビットコイン取引の大部分を占めていたMt. Goxは2014年にハッキングされ、85万BTCが失われました。その後、Mt. Goxは破産し、10年後の2024年7月にユーザーは元の保有分のごく一部を受け取り始めました。
次にBitfinexがあります。2016年のハックで119,756 BTCを失いました。取引所は損失を全ユーザーに分散させ、残高を36%削減し、損失を表すBFXトークンを顧客に提供することで対応しました。
他の選択肢とEDの資金がWazirXに凍結されたまま
「損失の社会化戦略」以外にも、取引所はBinanceに支援を求めるなど他の選択肢を模索しています。Moneycontrolの報道によると、WazirXは元パートナーであるBinanceに顧客救済の支援を要請したと、匿名情報源が語っています。
業界関係者は、Binanceが取引所の収益余剰と約8,000万ドル相当のWRXトークンを管理しているとも述べています。情報源は次のように語っています：
“彼らの法的紛争はまだ続いています。WazirXの事業の一部は依然としてBinanceの管理下にあり、収益やその余剰も含まれます。WRXトークンも彼らの管理下です。したがって、Binanceに連絡を取り、交渉は始まっていますが、まだ初期段階です。”
2023年1月のリザーブ証明報告書で、WazirXはユーザー資産の90%がBinanceウォレットに保管されていると開示しました。その数か月後のブログ投稿で、WazirXはネイティブトークンがBinanceに管理されていると述べました。BinanceはWRXのIEOを実施し、108,401 BNBトークン（約200万ドル相当）を販売し、その収益は「Binanceが回収し保持した」としています。
これらはすべて、WazirXの共同創業者Nischal ShettyがBinance CEOのChangpeng Zhaoと、WazirXの支配権について公開で口論した後に起きました。興味深いことに、2019年11月に世界最大の取引所であるBinanceはWazirXを買収したと述べましたが、2022年夏にインド当局がWazirXのムンバイオフィスをマネーロンダリングの疑いで捜索したことで状況が変わりました。
これに対し、インドの取締局（ED）はWazirXの資金を凍結し、同国の財務省は外貨管理法（FEMA）に基づき取引所の調査を発表しました。
現在の報告によると、EDはWazirX上に約110万ドル相当の差し押さえられた暗号資産を保有していたとされています。これらの資金は、E-Nuggetsというゲームアプリに対する汚職事件で差し押さえられ、ハッキングの数か月前に取引所に移されたものです。
インドのニュースメディアThe Printは、E-Nuggetsの調査後、EDがWazirXやCoinDCXを含むすべての国内暗号取引所にソースアカウントの特定を要請したと報じました。これにより、暗号購入に使用された仮想支払アドレス（VPA）が発見され、結果としてEDはZebPay、WazirX、ドバイ拠点のBinanceが保有する70の暗号アカウントの資金すべてを凍結しました。
このように暗号資産を掌握した後、当局はED用に暗号アカウントを開設し、WazirXが国内最大のユーザーベースと流動性を持つため、すべての暗号資産をWazirX経由で移転しました。しかし現在、WazirXはハッキングされ、資金の45%を失っています。今後、当局が前に出て業界に指針や支援を提供するかどうかが注目されます。
暗号領域でハックが珍しいわけではありません。昨年、攻撃者は暗号プラットフォームから17億ドルを盗んだとChainalysisの暗号犯罪レポートが報告しています。このような攻撃で盗まれた金額は2022年以降半減以上していますが、攻撃件数は2022年の219件から2023年には231件に増加しました。
今年、暗号価格が全体的に上昇したことで、ハッカーは再び活動を再開し、$14.8億が2024年6月24日までに盗まれました（前年同時期の6.57億ドルと比較）。このデータはTRM Labsによるものです。しかし、上位5つのエクスプロイトが総盗難額の70%を占めています。報告書は次のように述べています：
「プライベートキーとシードフレーズの漏洩は、2024年もスマートコントラクトエクスプロイトやフラッシュローン攻撃に次ぐ主要な攻撃ベクトルであり続けています。」
したがって、暗号ハックは続いているものの、インド政府はこれらの取引所が不透明に運営されないよう、明確で確立されたガイドラインを提供できていません。
インドの不安定で未規制の暗号産業
この大事件の後、複数の取引所がWazirXと協力し、盗まれた資金の追跡と顧客資産の回復を支援しました。サイバー攻撃をより深く分析するため、同社は法医学専門家や法執行機関とも連携し、加害者の特定と逮捕に取り組みました。
取引所はさらに、コンピュータ関連のセキュリティインシデントを担当するインドのコンピュータ緊急対応チーム（CERT-In）にこの事件を報告しました。次のステップとして、警察が作成した最初の情報報告書（FIR）が提出され、公式な捜査が開始されました。
WazirXはまた、金融省に属し登録されているインド金融統合ユニット（FIU）にも事故報告を送付しました。しかし、WazirXのセキュリティ侵害はFIUの管轄外であり、FIUは国内のマネーロンダリング防止法（PMLA）に基づく取引を監視しています。Fireblocksの准総務弁護士Joanna Chengによれば：
「現在インドには暗号特有の規制がなく、業界はセキュリティ基準、リスク管理、消費者保護といった課題に対する明確な規制期待から利益を得るでしょう。この分野への規制介入は、大量の小売顧客にサービスを提供する取引所がその行動（または不作為）に対して責任を負うことを意味します。」
インドの暗号通貨産業は依然として未規制です。この期間に取られた唯一の重要な措置は、2020年の最高裁判決で2018年のインド準備銀行（RBI）の禁止を覆し、銀行がユーザーや取引所の暗号取引を支援できるようにしたことです。
それ以外にも、国内の暗号規制の進展は停滞しています。現在までにこのセクターを規制する法律は制定されておらず、暗号は主に当局の管轄外にとどまっています。
唯一の規制監督はインド政府のFIUで、仮想デジタル資産の取引を監督する任務があります。エコノミック・タイムズの5月の報告によれば、国内では47の規制対象企業が暗号資産の取引または取り扱いに関与しています。これは、政府がアンチマネーロンダリング（AML）ガイドラインに従わなかったため、オフショア暗号プラットフォームのインドでの運営を禁止した後のことです。
インドの暗号ユーザーに対する規制上の保護はないものの、政府は暗号売却益に最大30%の税率を課し、損失の相殺は認めていません。さらに、すべての取引で源泉から1%の税が差し引かれます。
これらの政策は業界に悪影響を及ぼしており、暗号ユーザーは2022年以降、政府の支援不足が業界を抑制し、利益の大部分を税金で奪われていると不満を述べています。
インドの暗号産業は長らく規制の明確さに欠けており、悪質な業者の増加を招いています。WazirXがサイバー攻撃の対象となった一方で、ユーザーはBitBNSなどの取引所が詐欺行為を行っていると訴えています。
FIA-Indiaに登録された企業で、VASPs向けのFATFグローバル基準に準拠していると宣伝している同社は、2022年に750万ドルのハック被害も受けました。その後、BitBNSはユーザーが資金を預け入れることは許可するものの、出金をできなくするという不誠実な運営を続けています。ユーザーはCEOのGaurav Dahakeがすでに国外へ逃亡したと推測しています。今年初め、The Economic Timesのインタビューで、DahakeはBTCが10万ドルを超えると予測しました。被害者は現在、取引所に対する集団訴訟を検討しています。
しかし、これだけではありません。インドの暗号取引所（CoinDCXを含む）はユーザーが暗号を自己管理することを許可しておらず、これは暗号の精神に完全に反しています。インドの暗号取引所は、ユーザーが法定通貨を入金した場合、暗号を外部の取引所やウォレットへ転送することも許可していません。このため、ユーザーが自己管理を望んでもできず、WazirXハックのような事態から自らを守ることができません。
しかし、世界で最も人口の多い国であるインドは、9月までに暗号に関する政策姿勢を示すディスカッションペーパーを公開する計画があると報じられています。政府はこれまで何度も暗号規制に取り組んできましたが、世界各国の規制当局が導入した明確なガイドラインとは異なり、具体的な措置はまだ取られていません。米国ですら初のビットコイン・スポットETFを承認し、総額で数百万ドルの流入を集めています。
したがって、インド政府が暗号産業に必要な注目と規制の明確さを提供するまで、国内の暗号ユーザーと業界は引き続き苦しむことになるでしょう。
