SignalPlus、第三者のTelegramアカウント侵害が攻撃の原因と発表――8万2,000ドル未満の損失は全額補償へ

暗号資産デリバティブ取引プラットフォームのSignalPlusは、11月4日未明、第三者のTelegramアカウントが侵害され、攻撃者によるアクセスを許したと発表しました。同社によると、被害を受けたのはIPホワイトリストを有効にしていなかった一部のアカウントに限られます。

SignalPlusは11月5日の続報で、損失総額は8万2,000ドル未満になるとの見通しを示し、被害を受けたユーザーには全額を補償すると発表しました。また、侵入はすでに封じ込めており、予防措置として取引ターミナルを一時停止するとともに、中央集権型取引所の提携先と連携し、関連するAPIキーを無効化したと説明しています。

今回の事件は、取引所のアカウントを外部ツールに接続するトレーダーが直面するリスクを浮き彫りにしました。取引所側のアカウントが安全に保たれていても、接続先のサービスやその認証情報が侵入口になる可能性があります。

SignalPlusで何が起きたのか？

SignalPlusは、今回の攻撃について、第三者が管理するTelegramアカウントの侵害が原因だったと説明しています。被害を受けたのは、IPホワイトリストを有効にしていなかった一部のユーザーに限られるとのことです。

現時点で公表されている情報だけでは、侵害されたTelegramアカウントが具体的にどのように悪用されたのか、また攻撃者がどのような操作を行ったのか、その全容は明らかになっていません。補償の手続きや実施時期についても、詳細は示されていません。

SignalPlusは対応策として、以下を実施または予定していると発表しました。

• 侵入を検知後、被害の拡大を阻止。
• 中央集権型取引所の提携先と連携し、接続されていたAPIキーを無効化。
• ターミナルサービスを一時停止。
• 被害を受けたユーザーへの全額補償を予定。
• 数日以内の全面的なサービス再開を目指し、最新情報や手順を公式チャネルで案内する予定。

ただし、サービス再開時期は確定したものではなく、あくまで目標として捉えるべきです。取引所アカウントを再接続する際は、正式な再開発表を待つ必要があります。

Binanceも関連するAPIキーを無効化

Binanceも、潜在的なセキュリティ上の問題を把握した後、SignalPlusに関連するすべてのAPIキーを予防的に無効化したと発表しました。Binance側のシステムには影響がなく、ユーザー資産も安全だとしています。

BinanceはSignalPlusのユーザーに対し、Binanceアカウントへ直接ログインし、保有中のポジションと未約定注文の両方を確認するよう呼びかけました。また、SignalPlusが問題の完全な解決を確認するまでは、APIキーを再接続しないよう注意を促しています。

デリバティブ取引を行っている場合、APIアクセスがすでに無効化されていても、こうした確認は欠かせません。既存の注文やポジションについては、別途対応が必要になる可能性があります。APIキーを無効化すれば、そのキーを使った以後の操作は防げますが、既存のポジションが自動的に決済されたり、すべての未約定注文が取り消されたりするとは限りません。

API権限の管理が重要な理由

APIキーを利用すると、ユーザーがログイン情報を何度も入力しなくても、取引ツールから取引所アカウントを操作できます。付与された権限によっては、接続先のアプリケーションがアカウント情報を参照したり、注文を出したり、そのほか取引所が対応する操作を実行したりできます。

便利である一方、API連携には独立したセキュリティ管理が必要です。取引所そのものを信頼するだけでなく、接続する各サービスの安全性を見極め、そのサービスに許可する操作を必要最小限に抑えなければなりません。

IPホワイトリストを設定すると、承認済みのネットワークアドレスからのみAPIキーを使用できるよう制限できます。認証情報が盗まれた場合のリスク軽減に役立ちますが、適切な権限管理や継続的なアカウント監視の代わりになるものではありません。

APIで利用できる機能やセキュリティ設定は取引所ごとに異なります。APIキーを新規作成または変更する前に、BinanceのAPIドキュメントや、利用中の取引所における最新のアカウント設定を確認してください。

影響を受けたユーザーが取るべき対応

SignalPlusを取引所に接続していた場合は、以下の対策を検討してください。

1. 取引所へ直接アクセスする。 不審なメッセージに記載されたリンクは使わず、取引所の公式アプリや保存済みのアドレスからアクセスしてください。
2. ポジションと未約定注文を確認する。 身に覚えのない取引がないか確認し、現在のデリバティブ取引のエクスポージャーが自身の意図と一致しているかを見直してください。
3. 接続済みのAPIキーを点検する。 SignalPlusに関連するAPIキーの状態を確認し、不要になったキーは削除してください。
4. 公式のサービス再開案内を待つ。 サービスが再開したとするメッセージを受け取っても、それだけを根拠にAPIキーを作成したり再接続したりしないでください。
5. 権限を必要最小限にする。 ツールを再接続する際は、目的の機能に必要な権限だけを有効にし、対応している場合はIPホワイトリストも設定してください。
6. なりすましに警戒する。 攻撃者がセキュリティ事件に便乗し、偽のサポート案内や補償メッセージを送ってくる可能性があります。パスワード、APIシークレット、リカバリーフレーズは決して共有しないでください。

不審な操作を発見した場合は、取引所の公式サポート窓口に連絡し、関連するアカウント記録を保存してください。

暗号資産セキュリティに関する、より広い教訓

今回のSignalPlusの事件は、取引所の外部で発生した侵害であっても、外部の取引インフラを利用するユーザーに影響が及ぶ可能性を示しています。アカウントを守るには、取引所のパスワードを保護するだけでは不十分です。外部サービスとの連携状況を定期的に見直し、API権限を制限し、ポジションを継続的に監視する必要があります。

取引所の外で保有する資産については、OneKeyのようなハードウェアウォレットを利用することで、自己管理する秘密鍵の保護を強化できます。ただし、ハードウェアウォレットは取引所のAPIキーを保護するものではなく、接続先サービスを通じた不正取引を防ぐこともできません。こうしたリスクには、取引所側とアプリケーション側の双方で、別個のセキュリティ対策を講じる必要があります。