Liquid セキュリティ・ウォレット部門の顧客保護への取り組み

先日国内の仮想通貨取引所のドメイン情報への不正アクセスが２件発生いたしました。

その他多くの取引所と同じく、弊社もこの事態を重く受け止め、 お客様に改めてご安心していただけるよう、Liquidで行っている不正アクセスへの対策をお伝えいたします。

DNSセキュリティ

least privilege（最小権限の原則）や role based access（ロールベースアクセス制御）といったセキュリティ対策の一環として、 LiquidはDNSセキュリティ(DNSSEC)を2018年に導入しました。

ウェブサイトの元の内容を表示せずに攻撃者が自らのサービスへと接続を誘導するDNS攻撃のリスクは、インターネットの利用者が直面する問題の中で最もよくあるものの一つです。こうした手口は利用者の通信を乗っ取る「スプーフィング」として知られています。DNSSECを導入することで、サーバーからお客様がご利用のブラウザ、メールの受信フォルダにいたるまでの通信をより強固にしています。

DNSSECのプロトコルは2005年に構築されましたが、その複雑さ故に、このセキュリティ対策はなかなか採用されずにいました。この複雑なセキュリティ対策（DNSSEC）は現在でも日本のウェブサイトのうち、わずか11.7%にしか導入されていません（参考：国別のDNSSEC導入率）。それでも、この数字はLiquidがDNSSECを導入した当初から5%上昇しています。

Liquidはお客様の通信情報セキュリティをきわめて重要視しており、お客様に安心してご利用いただけるような対策を導入しています。それゆえ、Liquidは近年のハッキングやデータの盗難事例とは無縁です。既に施されている十分な安全策を考慮すれば、我々の知見のおよぶ限りにおいて、Liquidは最近他の取引所で発生したような攻撃に対して脆弱ではないと言えます。

我々の徹底的な戦略の一端として、下記のセキュリティ対策を採っています。

• 二段階認証を必須化
• ドメインの乗っ取りとメールの傍受を防ぐDNSSEC
• 高度な情報を扱う操作には三段階認証を導入

MPCウォレットの移転

2019年に運用を開始した出金用ウォレットのためにマルチ・パーティー・コンピューテーション（MPC）技術を導入して以降、我々はこの堅固な技術の効果を飛躍的に高めうる次なる足掛かりを得ました。安全性を高めると同時に、サービス向上が一挙に見込まれたのです。

2020年5月初頭、LiquidはMPC技術が支えるMaster Private Key (MPK)アドレスへの入金ウォレットの移転を開始しました。6月中旬には移転の約半分を完了し、その数週間後にはMPC技術を活用し完全に保護された暗号資産のウォレットの誕生を目指します。Liquidにおいて構築中のMPC基盤は、最高度の安全とより良いサービスをお客様に提供します。

現在、BTCの出金依頼全体の86%が5分以内に処理されています。Liquidは、全ての暗号資産の出金依頼の99%を1分以内に処理するというオペレーションモデルの目標に急速に迫っています。

今日、Liquidにはいかなる人間も、サーバーも、クラウドサービスも、端末も、お客様の資産を管理するキーにアクセスすることができません。それぞれのプライベートキーは暗号化され、バラバラに秘匿され、認証処理のあらゆる局面でどのような存在にもキーの中身は露呈しません。

国内のお客様向けに分別管理されたウォレットは、現在もオフライン端末に保管されたプライベートキーによって管理され、コールドウォレットが用いられています。Liquidは、MPC技術をコールドウォレットと同等のものとして普及させるべく、監督官庁および業界団体との提携を目指しています。

LiquidはMPC技術のより広い普及が好循環を呼ぶと考えています。サービスの劇的な向上によって、暗号資産は資産の保管手段として、また有望なピアツーピア決済システムとしてより広く採用されることとなるでしょう。Liquidの今後の情報技術と、継続的なプラットフォーム向上にぜひご注目ください。

我々は、

• ヘッジファンドや投資家の方がバランスシートを有効に活用できるようにいたします。
• ウォレットやPOSシステムのプロバイダーが暗号資産による決済を実現するお手伝いをいたします。
  
  

LiquidはMPC技術を採用した最初の大規模な取引所であることを誇りに思います。このことが暗号資産の発展が次の段階へ、主流として受け入れられる段階へと進むきっかけになることでしょう。