Gateはセキュリティ教育シリーズ「Gate Security Academy」の初回コンテンツで、ブロックチェーンセキュリティ企業CertiKおよびGateのセキュリティチームと、機関投資家による大規模なデジタル資産の管理方法を取り上げた。論点は秘密鍵の保護にとどまらず、取引承認、権限設定、外部ツール、資産の復旧、日々の運用に及ぶ。各管理策が連携していなければ、正規の承認手順があっても機能しないおそれがある。
機関のリスクは秘密鍵の流出だけではない
CertiKによると、個人ウォレットでは秘密鍵やシードフレーズの管理、フィッシングの見極め、取引内容の確認が主な課題となる。一方、機関では複数の従業員やシステム、外部サービス事業者に権限を割り振りながら、資産保管、事業継続、コンプライアンスも確保しなければならない。保有資産が大きいほど、手順に潜む小さな不備が大きな損失につながり得る。
想定されるリスクには、権限の過度な集中、承認した内容と実際に実行される取引の不一致、端末や外部ソフトウェアへの侵入、内部関係者の共謀、操作ミスなどがある。インシデントの調査では、秘密鍵が盗まれたかだけでなく、攻撃者がどのようにアクセス権を得たのか、あるいはどうやってシステムに不正な取引を署名させたのかを突き止める必要がある。
CertiKは、2025年にSafeウォレットのフロントエンドが改ざんされた事例を挙げた。署名者の画面には通常の送金に見える内容が表示されていたが、実際に署名された取引ではウォレットの実装コントラクトが置き換えられ、最終的に資産が盗まれた。複数の承認者が署名するマルチシグを導入していても、各人が確認・承認した内容と実際に署名する取引が異なれば、それだけで損失を防ぐことはできない。
Gateのセキュリティチームは、機関のリスクをツール、人、業務プロセスの3つに分類する。改ざんされたオープンソースソフトウェア、クラウドサービス、開発ツールはウォレットを危険にさらす可能性がある。人に関するリスクとしては、なりすまし、従業員による権限の悪用、退職者のアクセス権が適時に取り消されないことなどが挙げられる。攻撃者が企業の技術環境を長期にわたって調べ、従業員に接触するケースもある。
業務手順では、緊急時に承認を迂回すること、臨時に付与した権限を戻し忘れること、テスト環境で実データを使うこと、利便性を優先して社内ツールをインターネットに公開することなどが侵入口になり得る。
マルチシグ、MPC、社内承認を独立させる
マルチシグは複数の鍵による承認を必要とし、単一の鍵が侵害された場合の影響を抑える。マルチパーティ計算（MPC）は署名機能を複数の鍵シェアに分け、完全な秘密鍵を一カ所に保管・使用しない仕組みだ。社内承認は、取引が業務上必要かどうかを判断する役割を担う。
CertiKは、こうした仕組みが実際に独立しているかを確認すべきだと指摘する。複数の鍵を同じチームや管理者グループが握っていれば、形式上は分散されていても実質的には権限が集中している可能性がある。また、画面に表示された取引と署名システムが受け取った内容が異なる場合、承認手順も不正送金を止める手段として十分に機能しない。
CertiKによるGnosis Payの技術分析では、認可検証モジュールの不備により、未承認の取引が検証を通過していた。この事例は、セキュリティの確認対象が秘密鍵や署名アルゴリズムだけでは足りず、本人確認、取引検証、権限変更、復旧手順にも及ぶことを示している。
Gateは、自社資産の大部分をオフラインかつ隔離されたネットワーク上のマルチシグ対応コールドウォレットで保管していると説明する。ホットウォレットではマルチシグとMPCを併用し、残高に上限を設け、上限を超えた資金はコールドウォレットに移す。
機関投資家向けの「Gate Vault」では、MPCと2-of-3の署名方式を採用する。3つの鍵シェアは利用者の端末、Gate、独立した第三者がそれぞれ保有し、取引の実行には3者のうち2者の参加が必要だ。さらに、Gate Vaultの出金には48時間の待機期間があり、その間に利用者が取引を凍結できる。疑わしい送金や誤操作に気づいた場合の対応時間を確保する仕組みだ。
取引の起点から実行後まで権限を管理
CertiKは、機関が取引の全工程にわたる一貫した管理体制を整えるよう提案している。取引の起点では、業務上の目的、取引相手、送金先アドレス、金額を確認する。承認段階では、実際の取引内容と最終的に署名へ回される内容が一致しているかを照合する。署名・保管段階では、鍵や端末、操作権限を保護し、実行後は異常な取引を監視したうえで、オンチェーン記録と社内帳簿を突き合わせる。各段階の担当者を明確にし、相互に検証できる記録を残す必要がある。
見落とされやすいのは、資産を直接移動させなくても、管理権限を変えられる操作だ。出金先のホワイトリスト変更、取引上限の引き上げ、署名者の入れ替え、ウォレットソフトウェアの更新などが該当する。また、重要な従業員の退職、端末の故障、サービス事業者の利用不能を想定し、複数人の承認を保ったまま資産を復旧できるか定期的に試すべきだ。復旧経路が日常の権限管理を迂回する抜け道にならないようにする必要もある。
Gateによると、プラットフォームのアカウントでは、メインアカウントとサブアカウントを使い、閲覧、取引、承認などの権限を分けられる。資産運用者向けのカストディ用サブアカウントでは、委託チームが合意した運用戦略を実行できる一方、出金権限は付与されない。この仕組みでは、投資家は自動操作用のAPIキーを自ら作成できず、委託期間中はチームの保有状況、未約定注文、取引履歴も確認できないという。
Gateは、APIキーについても読み取り、取引、出金の権限を個別に設定できるとしている。機関の取引ではプログラムによる執行が多いため、アカウントの権限を分けて管理することが運用上の重要な要素となる。
準備金証明と規制当局の確認項目
CertiKによると、規制当局がプラットフォームを評価する際には、顧客資産の保管、口座照合、権限管理、マネーロンダリング対策、インシデント対応などが確認対象となる。中央銀行デジタル通貨（CBDC）のシステムでは、発行と台帳記録の完全性、決済の継続性、障害後に正確に復旧できるかも検証が必要だ。
CertiKはキルギス共和国国立銀行と覚書を締結し、デジタルソムのセキュリティ評価、形式検証、サイバーセキュリティと運用レジリエンスのほか、デジタル資産の規制、マネーロンダリング対策、カストディなどについて協議する計画だとしている。
Gateのセキュリティチームは、プラットフォームの安全性を評価する際、顧客資産がプラットフォームの自己資金と分別管理されているか、問題発生時に資産の帰属を確認できるかも重要だと説明する。Gateの準備金証明は、マークルツリーとゼロ知識証明を組み合わせ、利用者が個人情報を保護しながら、自身の資産が準備金に含まれているかを検証できるとしている。
Gateが公表した最新データでは、総準備金は86億8,800万ドル、全体の準備率は118.49%。内訳はビットコインが25,727枚で準備率121.60%、イーサリアムが449,042枚で123.78%だった。準備率が100%を上回る場合、開示された対象資産の準備高が対応する顧客残高を超えていることを示す。
取引プラットフォームを選ぶ際、CertiKは、セキュリティ監査の対象となったサービス、システム、ソフトウェアのバージョンを確認し、発見された脆弱性が修正済みか、どの担当者が資産を移動したり重要な権限を変更したりできるのかを確かめるよう勧めている。カストディを利用する場合は、鍵の管理主体、資産照合、バックアップからの復旧方法、外部サービスへの依存関係も確認事項となる。
CertiKは、同社の「Skynet」がオンチェーンとオフチェーンの情報を整理し、セキュリティ評価を継続的に更新すると説明している。評価は6つの項目を対象とするが、提示された情報では各項目の詳細はすべて明らかにされていない。