Zaifの67億円ホットウォレット侵害：経営陣退任、取引所はFISCOへ売却

Tech Bureauが運営する大阪の取引所Zaifは2018年9月14日にハッキングされた。顧客の入出金に使われるホットウォレットを管理するサーバーへの不正アクセスにより、ビットコイン、モナコイン、ビットコインキャッシュ相当の約67億円——およそ6000万ドル——が流出し、うち45億円は顧客の資産だった。異常は9月17日に検知され、9月20日に公表された。推定額は後に約70億円へ上方修正された。

同社は2018年を通じて規制当局の監視リストに載っていた——金融庁は3月と6月に業務改善命令を発出した——が、ホットウォレットの構成はそのままだった。ハッキング後、金融庁は報告徴求命令を発出して立ち入り検査に動き、浅山隆夫社長と当時の経営陣は辞任した。

10月10日、Tech BureauはZaif事業をFISCO仮想通貨取引所へ譲渡する正式契約に署名し、補償方針を定めた。BTCとBCHは同額を現物で返済し、MONA保有者には60%をMONAで、残り40%を1枚144.548円で日本円で支払う——Zaif自身の市場価格を上回る水準だった。盗まれたMONAは流動性が低すぎて買い戻せなかったためである。厚みのある市場で取引されていたものはすべて全額戻り、唯一薄い市場のものだけが40%の削減を負った。

サービスはFISCOの下で段階的に再開され——MONAの現物取引は2019年4月に再開——、FISCOが運営する2取引所は2019年中にシステムを統合する予定だった。

67億円（約6000万ドル）が流出し、うち45億円は顧客の暗号資産。MONA保有者は損失の40%を日本円で負担した

顧客資産は単一のサーバーで管理されるホットウォレットに置かれていた。2時間の間に一度侵入されれば、それを空にするのに十分だった。

規制当局は6か月の間に2度同社を指摘したが、改善命令が変えたのは書類であり、破綻した構成ではなかった。

MONAの薄い市場のため、盗まれた量を価格を動かさずに買い戻すことはできず、損失の一部は日本円で決済された——流動性の低さがそのまま顧客の損失に転換された。

オンラインのホットウォレットは攻撃者への常設の招待状である。構成が変わらなければ規制上の警告は何も変えない——そして買い戻すには流動性が低すぎる盗まれたコインは、利用者がその差を負担することを意味する。

FISCOの下で取引所は2019年を通じて段階的にサービスを再開し、MONA取引は2019年4月に再開され、取引所システムはその後まもなく統合された。Tech Bureau自身の22億円の資産もホットウォレットとともに失われ、経営陣は会社とともに去った。救済者自身もとどまらなかった。2026年5月、上場親会社のFISCOは事業セグメントから暗号資産とブロックチェーンを外し、同分野から撤退した。