コインチェック NEM流出事件（2018年）

1. 事件の概要

2018年1月、暗号資産（仮想通貨）の交換業者コインチェックから、約580億円相当のNEM（ネム）という暗号資産が不正に外部へ送金され、流出しました。当時としては史上最大級の被害額で、暗号資産取引の安全性に大きな疑問符を投げかけた事件です。

暗号資産は「秘密鍵」と呼ばれるパスワードのような鍵を持つ人が、資産を自由に動かせる仕組みです。つまり秘密鍵を盗まれること＝資産を盗まれることを意味します。この事件では、その大切な鍵を扱う環境が、インターネットに常時つながった状態（ホットウォレット）に置かれていたことが致命傷になりました。

2. 被害の内容と規模

流出したNEMは約580億円相当で、影響を受けた顧客は約26万人にのぼりました。コインチェックは、流出した顧客の資産について自己資金で日本円での返金を行うと発表し、対応しました。

主な影響

• 顧客資産の返金に巨額の費用が発生。
• 金融庁による業務改善命令など、行政の厳しい監督下に置かれた。
• その後、コインチェックはマネックスグループの傘下に入り、経営体制を立て直した。
• 業界全体で、暗号資産交換業者のセキュリティ・資産管理ルールが見直される契機となった。

3. 原因と手口

技術的な原因

• ホットウォレットでの保管：巨額のNEMを、インターネットに常時接続された環境で管理していた。鍵がネットの届く場所にあった。
• マルチシグ（複数署名）の未導入：送金に複数の鍵の承認を必要とする「マルチシグ」という安全策を、NEMに対して導入していなかった。鍵が1つ盗まれれば送金できてしまう状態だった。
• 秘密鍵の窃取：従業員がマルウェアを仕込まれるなどして端末が乗っ取られ、秘密鍵が攻撃者の手に渡ったとされる。

体制の原因

• 急成長に対して、セキュリティ体制や内部管理の整備が追いついていなかったと指摘された。
• 「利便性（すぐ取引できる）」を優先するあまり、「安全性（資産を切り離す）」が後回しになっていた。

4. 対策と教訓

暗号資産特有の話に見えますが、「大切なものをネットにさらしたままにしない」「鍵は複数人で管理する」という考え方は、一般の事業者にも応用できます。

一般の事業者が学べる対策

• 重要なものはネットから切り離す：本当に守りたいデータや資産は、常時ネット接続の環境に置かない（バックアップのオフライン保管など）。
• 重要操作は一人で完結させない：大きな送金・支払い・データ削除などは、複数人の承認を必須にする（マルチシグの発想）。
• 端末をマルウェアから守る：鍵や認証情報を扱う端末こそ、ウイルス対策と更新を徹底する。
• 成長と同じ速さで管理体制も育てる：事業が伸びたら、扱う資産・情報のリスクも増える。後回しにしない。

5. まとめ

コインチェック事件は、「利便性を優先して大切な鍵をネットにさらしていた」ことが招いた、巨額の流出事件でした。教訓はシンプルです——守る価値が大きいものほど、ネットから切り離し、複数人で管理する。暗号資産に限らず、自社の最重要データを思い浮かべながら読み替えてみてください。