Coinsquareの顧客情報漏洩｜2022年の経緯と残るリスク

カナダの暗号資産取引サービスCoinsquareは、2022年11月に顧客情報を含むデータベースのセキュリティ事故を顧客へ通知しました。当時の報道では、氏名や連絡先に加え、口座残高や取引履歴なども露出した情報に含まれていました。

同社はパスワードの流出を否定し、暗号資産はコールドストレージで保管されていると説明しました。ただし、それは個人情報の悪用や将来の被害まで起こらないという意味ではありません。事故時点の説明、確認できていない点、その後の運営体制を分けて読み直します。

2022年11月に何が起きたのか

CoinDeskの当時の報道によると、Coinsquareは11月19日に通常と異なる活動を検知し、調査のため予定外のメンテナンスに入りました。その後、顧客へのメールでデータベースに関する事故を通知し、サービスは同月25日に復旧したと伝えられています。

記事の掲載日は米東部時間の11月26日で、11月28日に更新されています。元の記事の「11月27日」という日付だけでは、事故の発見日、報道日、顧客への通知日を区別できません。本稿では、まず11月19日の検知と一時停止があり、その後に通知と復旧が行われたという順序で整理します。

当時はFTX破綻後で、取引所の停止を資金繰りの問題と結び付ける見方もありました。しかし、Coinsquareの説明と報道で確認できるのは顧客データを巡る事故です。取引停止という外形が似ているからといって、FTXと同じ原因や資産不足があったと推定することはできません。

反対に、復旧したことだけで事故の影響がすべて解消したとも言えません。取引機能を再開できることと、外部に露出した可能性のある個人情報への対応は、別の作業です。

対象となった情報は、残高や取引履歴まで含まれていた

報道が引用した顧客通知では、氏名、メールアドレス、住所、電話番号、生年月日、端末ID、公開ウォレットアドレス、取引履歴、口座残高が対象情報として挙げられています。単なるメールアドレスの一覧とは異なり、利用者の身元と金融活動を結び付け得る情報が含まれていました。

公開ウォレットアドレスは、秘密鍵とは違います。アドレスを知るだけで、そのウォレットから暗号資産を送れるわけではありません。ただし、どのアドレスが誰のものか分かれば、公開されている取引を実名などの情報と結び付ける手掛かりになります。ここに残高や過去の利用状況が加わる点は、プライバシーの観点から重要です。

例えば、実際の取引内容に触れながら「確認のため再ログインが必要」と伝えるメールは、無差別の広告より信じてしまいやすくなります。これは漏洩情報の悪用として考えられる一般的なリスクであり、今回の事故でその手口による被害が確認されたと述べているわけではありません。

今回参照した報道では、影響を受けた人数や、その後に確認された不正利用の総数までは分かりませんでした。対象になり得る情報の範囲と、実際に発生した二次被害の範囲は分けて扱う必要があります。

「閲覧の証拠がない」と「閲覧されていない」は違う

Coinsquareは当時、パスワードは露出しておらず、問題の第三者が情報を閲覧した証拠もないと説明していました。この表現は調査時点で把握できた証拠の範囲を示すものです。誰にも見られていない、コピーされていない、と積極的に証明した説明へ置き換えることはできません。

また、同社が示したコールドストレージでの保管は、暗号資産の鍵を管理する方法についての説明です。顧客情報のデータベースを保護する仕組みとは対象が違います。コインを移すための鍵と、氏名や取引履歴を保存したデータの両方を、同じ「安全」という言葉だけで評価すると見落としが生じます。

元の記事には、コールドストレージなのでリスクがないように読める記述がありました。本稿では、その表現を取引所が当時示した資産保管の説明として限定します。暗号資産の流出が報じられていないことと、個人情報の漏洩を軽視してよいことは同義ではありません。

事故後の説明を読む際は、対象データ、調査対象期間、判明した侵入経路、被害の確認方法が示されているかを見ます。今回の公開資料だけでは、内部調査の全容や詳細な技術原因までは再現できません。

その後はWonderFiの傘下へ、2026年にはRobinhoodが買収

事故後の事業の経緯は、当時の情報漏洩とは別に追えます。WonderFiは2023年7月10日、CoinsquareおよびCoinSmartとの企業結合が完了したと発表しました。2022年の記事に出てくる会社の体制を、そのまま現在のものとして扱うことはできません。

さらにRobinhoodは2026年6月1日にWonderFiの買収完了を公表しました。その前にはカナダの自主規制機関CIROも、Coinsquare Capital Marketsの親会社WonderFiに対する支配権変更の承認を公表しています。買収の計画と、実際に完了したことを分けて確認できる資料です。

2026年9月27日に確認したCoinsquareの公式サイトには、カナダ向け暗号資産サービスの案内が掲載されています。少なくとも、2022年の事故をもってサービスが消滅したという読み方は適切ではありません。

一方、企業結合や買収の完了は、過去の漏洩に関する調査完了や全被害者への補償を示す証拠ではありません。今回確認した資料では、この事故の最終的な被害件数や補償総額を特定できませんでした。現在の企業体制を知る資料と、個別事故の結末を示す資料は別々に必要です。

通知を受けた利用者は、連絡先の情報を知る相手にも注意

漏洩の通知を受けた際は、メッセージ内のリンクから急いでログインするのではなく、普段使う公式アプリや保存済みの公式URLから確認します。自分の氏名や電話番号、取引に関する情報を相手が知っているだけでは、正規のサポート担当者だと判断できません。

カナダのサイバーセキュリティ当局は、フィッシングを、企業などになりすまして機密情報を引き出す攻撃として説明しています。事故の案内を装い、パスワード、認証コード、ウォレットの復元用フレーズを求める連絡には特に注意が必要です。資産を守るためと称して指定先への送金を急がせる場合も、別の正規窓口で確認します。

パスワードを使い回していれば、サービスごとに異なるものへ変更し、多要素認証を設定します。身に覚えのないログインや認証の要求を承認しないことも大切です。多要素認証があるだけであらゆる攻撃を防げるわけではなく、偽のログイン画面に情報を入力しない対策も必要になります。

不審な通知が届いたら、受信日時や送信元、画面、公式窓口とのやり取りを残しておきます。問い合わせでは資産の移動履歴と個人情報への影響を分けて伝えると、調べてもらいたい点を明確にできます。

日本の読者がこの事例から確認できること

Coinsquareの2026年1月更新の口座開設条件では、カナダ居住者であることが求められています。日本居住者向けの利用可能な取引所として、本記事を読むことはできません。国籍と居住地も違うため、日本人であってもどこに住んでいるかで条件が変わります。

この事例が日本のサービスを使う人にも関係するのは、暗号資産の保管と顧客情報の保護を分けて評価する必要がある点です。鍵が流出しなかった場合でも、身元と金融情報が結び付けば、問い合わせを装った接触などの危険が残ります。

取引所の説明では、事故を検知した日、停止した機能、露出した情報、調査中の点を読むようにします。「資産は保管されている」という一文だけで情報漏洩の影響を判断せず、その後の調査結果や顧客向け案内も確認する姿勢が必要です。Coinsquareの件についても、公開資料で分からない被害や結末を、安心材料にも不安材料にも作り替えないことが重要です。

よくある質問

Q. Coinsquareの事故で暗号資産も盗まれたのですか？

A. 当時の会社説明は、暗号資産をコールドストレージで保管し、顧客資産は維持されているというものでした。本稿で確認した報道は主に個人情報の事故を扱っており、資産流出を確認したものではありません。

Q. パスワードが漏れていなければ心配は不要ですか？

A. 不要とは言えません。氏名や連絡先、取引情報などは、なりすましや標的を絞ったフィッシングに悪用される可能性があります。ただし、本件での二次被害の総数は確認できていません。

Q. 日本からCoinsquareに口座を開設できますか？

A. 確認した公式条件ではカナダ居住者であることが必要です。日本に住む人が利用できるサービスとしては案内していません。

この記事の出典

※本記事は公開情報をもとにした一般的な情報提供であり、投資の勧誘や助言ではありません。暗号資産・NFTの価格は大きく変動します。最新の情報は各公式発表をご確認ください。