韓国取引所プラバン、ホットウォレットがハッキング被害 約1億ウォン、サービス一時停止

韓国の暗号資産取引所プラバン（Pravang）のホットウォレット（インターネットに接続された取引所ウォレット）で異常な出金が発生した。現時点で把握された被害は約1億ウォン。プラバンは10月26日、ウェブサイトに掲載したお詫び文で、10月24日ごろに外部の権限のない第三者のアクセスにより侵害事故が発生したとし、会員の資産保護のためサービスの利用を一時停止したと明らかにした。被害資産を正確に把握したうえで、全額を会社資産で補填するとしている。

プラバンはウォンの入出金を扱わず、暗号資産同士で取引する「コインマーケット」取引所だ。29日時点でウェブサイトにアクセスすると、取引画面ではなくお詫び文だけが表示される。

24日に検知、2日後にお詫び文

同社の説明によると、プラバンは24日にホットウォレットからの異常な出金を検知した直後に非常対応体制を立ち上げ、取引所システム全体を点検した。その過程でセキュリティ上の脆弱性が見つかり、サービスを停止した。関連法令に基づき関係機関に事故を届け出て、原因と規模を調査しているという。どの銘柄がどれだけ流出したか、サービスをいつ再開するかはお詫び文に記されていない。

1. 10月2日外部の権限のない第三者が会員20人の個人情報を取得（マネートゥデイ放送の報道）
2. 10月14日金融委員会、侵害事故が確認された金融会社など16社を公表。暗号資産事業者ではストリーミ（Gopax運営会社）とプラバンが含まれる
3. 10月24日プラバン、ホットウォレットの異常出金を検知し非常対応体制を立ち上げ
4. 10月26日プラバンがお詫び文を掲載。被害約1億ウォン、サービス一時停止、全額補填の方針
5. 10月28日金融委員会、ビッサムなどと暗号資産業界の侵害事故に関する緊急点検会議

「会員の皆さまの被害資産を正確に把握し、全額を会社資産で補填する措置を取る予定です」

プラバンのお詫び文

2日には会員20人の個人情報が流出

プラバンの侵害事故は今月に入って2件目となる。韓国の金融委員会は14日の「第2次緊急状況対応会議」で、新韓銀行の侵害事故の前後に事故が確認された金融会社が銀行・貯蓄銀行・暗号資産事業者など16社に上ると明らかにした。暗号資産業界ではストリーミとプラバンが含まれた。当時確認された情報流出の規模は全体で約10万件だった。

マネートゥデイ放送の報道によると、プラバンでは2日、外部の権限のない第三者が会員20人の氏名・性別・国籍・生年月日・連絡先・住所・勤務先など12項目の情報を取得した。プラバンは当時、該当IPを遮断し、ウェブサイトの脆弱性を点検・補強したと説明した。ストリーミが運営するGopaxでは、他サイトから流出したとされるメールアドレスとパスワードで顧客アカウントへのログインが試みられたが、顧客資産の被害はなかったと同じ報道は伝えている。

金融委、ビッサムも交えて緊急点検

金融委員会は28日、ユ・ヨンジュン・デジタル金融政策官の主宰で、金融監督院・金融保安院・デジタル資産取引所共同協議体（DAXA）・ビッサムなどと暗号資産業界の侵害事故に関する緊急点検会議を開いた。金融委によると、ビッサムは外部からの不正なアクセスでビッサムと子会社・協力会社の役職員の情報が流出した形跡を確認し、利用者情報の流出の有無は確認中だと報告した。侵害されたのは暗号資産取引の中核システムではなく役職員の業務支援システムで、暗号資産ウォレットのアドレスなど不正決済や資産移転に使われ得る情報の流出は現時点で確認されていないという。

金融委・金融監督院・金融保安院は現場調査に着手し、被害が生じた場合は全額賠償など消費者保護措置が取られるよう管理・監督するとした。暗号資産業界のように電子金融取引法が適用されない分野についても、銀行並みにセキュリティ対策を引き上げる方策を進めるとしている。

コールドウォレット保管と保険加入は法的義務

韓国の仮想資産利用者保護法は、取引所に対し利用者の暗号資産のうち一定割合以上をインターネットから分離して保管するよう定めている。施行令はその割合を70%以上の範囲で金融委員会が告示するとしている。同法はまた、ハッキングやシステム障害などの事故に対する責任を果たすため、保険や共済への加入、または準備金の積み立てを義務付けている。プラバンは被害会員への補填原資について、会社資産とだけ説明している。