2024年11月18日前後の暗号資産ニュースでは、取引ツールDEXXの利用者資産の流出と、ブロックチェーンの使い道を広げる議論が並んだ。取引が便利になる一方、誰が資産を動かす鍵を持っているかは利用画面だけでは分かりにくい。本稿ではDEXXの事件を日付と資料に沿って確認し、Vitalik Buterin氏のチェンマイでのインタビューと合わせて、利便性と資産管理を考える。
DEXXの流出は11月16日、被害額には集計時点がある
DEXXはオンチェーン取引を行うための取引ターミナルで、2024年11月16日に複数の利用者から資産流出が報告された。11月18日付の旧記事にある「昨晩」という表現では、発生日が17日であるかのように読めてしまう。また、同じ記事に1億ドルと2,000万ドルという異なる被害額があり、どの集計に基づく数字かも示されていなかった。
当時の途中経過として、11月16日のOdailyはSlowMistの集計を紹介している。申告は590件超、重複を除いた被害者は500人超、推定損失は約1,300万ドルだった。ただし、これは一部の申告に基づく数値で、価格変動や調査の進展により変わるという留保が付いていた。申告件数をそのまま被害者数として数えることもできない。
後日の確認資料である12月3日付のSlowMistの月次報告は、DEXX事件の発生日を11月16日、損失を2,100万ドルと記載している。本稿ではこの数値を後日集計として紹介し、11月18日の時点で最終被害額が確定していたとは扱わない。調査対象が増えた場合と、盗まれたトークンの換算価格が変わった場合も区別する必要がある。
この事件について1億ドルの被害が確定したとする根拠は、今回参照した資料からは得られなかった。被害額を比較するときはドル表示だけでなく、対象チェーン、集計の締切、回収分を差し引いたかという条件も合わせて見る必要がある。
確認すべきは運営者の経歴より秘密鍵の管理
旧稿は創業者の年齢や学歴を挙げ、サービスの信頼性と結び付けていた。しかし、人物の学歴は資産流出の経路を説明する証拠にはならない。利用者が確認すべきなのは、秘密鍵がどこで生成され、誰が保存し、どの操作で送金に使える仕組みだったかである。
「オンチェーン」という言葉は、取引がブロックチェーンに記録されることを指す。それだけでは、利用者本人だけが署名できることまで意味しない。たとえば運営側が利用者の鍵を保管して取引を代行する設計なら、操作画面では自分専用のアドレスが見えていても、運営側の管理環境が重要な攻撃対象になる。これはサービスの名称からは判断できない。
旧記事にあった平文保存という断定についても、保存、通信、画面への出力は別の問題だ。今回確認した資料だけで内部の保存方式や侵入経路まで確定したとは書けない。秘密鍵に関する事故の説明では、何が漏れたと確認されたのかと、どう漏れたと推測されているのかを分ける必要がある。
一般的な鍵管理の参考として、Ethereumの公式案内は秘密鍵やシードフレーズのスクリーンショットがクラウドに同期される危険を説明している。この案内はDEXXの事故原因を証明するものではないが、復元情報を渡す行為が単なるログイン情報の共有とは異なることを理解する助けになる。
返還要求と利用者への補償完了は別の段階
事件後の声明を読む際には、攻撃者への要求、追跡調査、資金回収、利用者への返金を分けたい。旧稿にある「24時間以内に返還しなければ法的措置」という説明も、仮に要求が発表されていたとして、それ自体が返還を実現するわけではない。期限の経過から自動的に資金が戻る仕組みは読み取れない。
回収できたという報告を見る場合も、運営側の管理アドレスに戻った段階なのか、各利用者への支払いが終わった段階なのかで意味が違う。返金対象、算定に使う価格、請求手続き、実際の送金を確認して初めて、自分の被害について何が解決したかを判断できる。本稿はDEXXの全被害が補償済みであることを確認したものではない。
また、被害申告に必要な情報と、資産を動かせる情報は分けて扱う。取引ハッシュや公開アドレスは流出を調べる材料になるが、秘密鍵や復元用の単語を渡せば残る資産まで操作されるおそれがある。連絡先を見つけたというだけで回収担当者の正当性が確認できたことにはならない。
Coinbaseのランキングと取引高は異なる指標
旧記事はCoinbaseが無料金融アプリのランキングで首位になったことを、11月12日の取引高増加によるものと説明していた。しかし、順位の対象国、確認時刻、集計カテゴリの資料を示さずに、取引高との因果関係まで結論づけることはできない。本稿では首位という順位と120億ドルという取引高を、再確認済みの数値としては採用しない。
アプリの順位、口座を持つ人数、継続的に取引する人数はそれぞれ別の指標だ。価格変動の大きい日にアプリへの関心が増しても、その人たちが入金したか、翌月も使い続けたかは順位から分からない。特定地域のランキングを世界全体の利用者動向に置き換えることもできない。
同様に、売買の取引高は新たな資金の流入額ではない。同じ資金を使って何度も売買すれば取引高は積み上がる。取引への関心を示す材料として読むことと、資産の保管が安全になった証拠として読むことは違う。DEXXの事件と並べる場合も、大手アプリの人気だけで安全性を比較する構成は避けたい。
NFTの週間売買とトークン解除を読む際の注意点
NFTについて旧記事が示した週間取引額と前週比には、対象期間や集計元の説明がなかった。このため、数字から市場全体の成熟や新規需要の拡大を断定する記述は改めた。週次の比較には、同じ曜日・時刻で区切っているか、どのチェーンを含むか、同じ方法で集計しているかという条件が欠かせない。
ドル換算の売買額が増えても、取引件数や購入者数が増えたとは限らない。NFTが同じ枚数、同じETH建て価格で売れても、ETHの対ドル価格が上がればドル表示は大きくなる。また、一部の高額作品の売買が週全体の数字を動かす場合もある。取引額、件数、参加アドレス数は並べて読む方が実態に近づける。
AVAX、ROSE、ADAの解除予定についても、旧稿の金額だけでは解除数量、受取人、時刻を検証できなかった。解除は通常、ロックされていたトークンが移転可能になる過程を指し、その全量が取引所で売却されたという意味ではない。ドル換算額は評価価格で変わるため、予定数量と分けて確認する必要がある。
受取人が財団なのか投資家なのか、段階的な解除か一度の解除かによっても読み方は変わる。予定表だけで価格下落を予告したり、新しい投資機会と宣伝したりするより、実際の解除とその後の移転を順に確かめることが重要だ。
Vitalik氏は低コスト化によるアプリの可能性を語った
11月15日に掲載されたForesight Newsの周舟氏によるインタビューは、チェンマイのコミュニティでVitalik氏が経験した交流と、アプリ開発への考えを伝えている。ChainCatcherに掲載された本文では、手数料の低下と確認の高速化が、従来は成立しにくかった用途を可能にするという説明が中心だった。
同氏は予測市場のPolymarketや、オンチェーンとオフチェーンを組み合わせるFarcasterを例に挙げた。また、基盤技術を担当する人を一律にアプリ開発へ移すのではなく、新たな開発者に活動の場と支援を用意するという考えを示していた。
ここから読み取れるのは、利用のたびに高い費用がかかる状態では難しかったサービスを試せるようになった、という方向性だ。ETHや個別トークンの価格上昇を約束した発言ではない。また、操作が安く速くなっても、そのアプリに秘密鍵を預けてよいかは別に調べる必要がある。DEXX事件とこの議論を合わせて読むと、使いやすさの改善と鍵の保護を同時に考える重要性が見えてくる。
よくある質問
Q. DEXXの被害は11月18日に起きたのですか？
A. 確認した資料では発生日は11月16日です。11月18日は元の記事の公開日であり、事件の発生日とは区別しています。
Q. DEXXの被害額はどの数字を見ればよいですか？
A. 11月16日の速報は一部申告に基づく約1,300万ドル、12月3日のSlowMistの報告は2,100万ドルです。後日の集計を当初から確定していた数字として扱わず、調査時点も合わせて確認してください。
Q. Vitalik氏の話は暗号資産の値上がり予想ですか？
A. 本稿で取り上げた部分は、利用費用の低下がアプリの成立条件を変えるという技術・開発面の議論です。個別銘柄の将来価格を保証する内容ではありません。
この記事の出典
- SlowMist：2024年11月のセキュリティ月次報告（12月3日公開）
- Odaily：11月16日のDEXX被害集計に関する速報
- Foresight News・周舟：Vitalik氏のチェンマイでのインタビュー（ChainCatcher掲載）
- Ethereum：セキュリティと詐欺防止の案内
※本記事は公開情報をもとにした一般的な情報提供であり、投資の勧誘や助言ではありません。暗号資産・NFTの価格は大きく変動します。最新の情報は各公式発表をご確認ください。
