<h1>ゲート安全講座 04｜Gate & CertiK：機関はどのようにして数百億ドル規模の資産の安全を確保するのか？</h1>
暗号資産の世界では、自分の資産を守るのに必要なのは、おそらく1組のニーモニックさえ適切に管理すればよい。しかし、もしあなたが機関の数百億円規模の資産を管理しているのであれば、話ははるかに複雑になる。
資産はどこに置くべきか？取引は誰の確認を経る必要があるのか？誰がマルチシグ権限を持ち、資産を動かせるのか？ある环节が攻撃者に悪用された場合、いち早く発見し損失を阻止できるのか？こうした問題こそが、機関の暗号資産セキュリティが真正面から向き合うべき試練なのである。
今回の「大門セキュリティ講座」では、CertiKとGateセキュリティチームをお招きし、視点を個人ウォレットから機関の資産管理へと移し、セキュリティ監査機関と取引プラットフォームという2つの視点から、機関が業務の正常な運営を確保しながら、資産リスクを管理可能な範囲に抑える方法について語り合う。
ゲスト紹介
CertiK：CertiKは世界最大規模のWeb3セキュリティ企業であり、世界の規制当局、金融機関、Web3イノベーション企業から厚く信頼されている。2017年の設立以来、CertiKは150以上の国と地域にサービスを提供し、11.9万件以上のコード脆弱性を発見し、6000億ドル超のデジタル資産を損失から保護してきた。
Gateセキュリティチーム：Gateセキュリティ部門は、プラットフォームのアカウント、取引、資産セキュリティ体系の構築を担当し、長年にわたり機関顧客に権限管理、API接続、資産保管の面でのサポートを提供している。
Gateは2013年に設立され、業界で初めて100%準備金を約束した主流取引プラットフォームであり、現在世界6100万人以上のユーザーにサービスを提供している。私たちは「大門セキュリティ講座」というシリーズを通じて、ユーザーが遭遇する可能性のあるこうした現実のリスクの背後にある共通のメカニズムを明確に伝えたいと考えている。
Q1. 機関がウォレットを管理する場合と個人が管理する場合、最大の違いは何か？機関のセキュリティ問題は通常どこで発生するのか？一般ユーザーと比べて、機関が直面するリスクにはどのような違いがあるのか？
CertiK：最も本質的な違いは、資産のコントロール権の組織化の方法である。個人ウォレットは主に、個人がどのように鍵を保管し、リスクを識別し、取引を確認するかを中心としている；一方、機関は複数の職務、システム、外部サービスプロバイダーが明確な権限に従って共同で資産を管理し、資産保管、業務継続性、コンプライアンスの責任を負う必要がある。資金規模は結果を増幅させ、組織とシステム間の依存関係はエラーの経路を増やす。
個人ユーザーに常見するリスクには、ニーモニックの漏洩、フィッシング、悪意ある承認が含まれる。機関もこうした脅威に直面するが、さらに権限の過度な集中、承認と実際の取引の乖離、端末やサードパーティソフトウェアの侵害、および人員の共謀や操作ミスを重点的に防ぐ必要がある。機関の事故を分析する際には、「秘密鍵の漏洩」という結果にとどまらず、攻撃者がどのように鍵に接触したのか、あるいは鍵を入手せずにどのようにシステムを誘導して署名を完了させたのかを追跡調査する必要がある。
2025年に典型的な事件が発生した：攻撃者がSafeウォレットのフロントエンドを改ざんし、署名者には正常な送金情報を見せながら、実際にはウォレットの実装コントラクトを置き換える悪意ある取引に署名させた。複数の署名者が有効な署名を完了したにもかかわらず、資産は依然として転送された。これは、「何人が署名したか」だけでなく、彼らが見たもの、承認したもの、最終的に署名したものが本当に同一の取引であるかどうかを確認する必要があることを示している。
したがって、機関のセキュリティを評価する際には、「誰が指示を出し、誰が内容を確認し、誰が署名でき、誰がルールを変更できるか」に沿って層ごとにチェックし、これらのコントロールが実際に相互に牽制しているかを判断する必要がある。
Gateセキュリティチーム：
個人ウォレットのセキュリティモデルはより制御しやすく、対策は主にニーモニックを漏洩させないことを中心としている。
しかし機関のセキュリティ保障はより複雑で、マルチシグ、複数人の権限、操作の頻繁さに関わる。異なる職務の人が正常に資金を使用できるようにしつつ、誰一人として勝手にこの資金を転送できないようにする方法を考える必要がある。この2つのことの難易度はまったく同じレベルではない。
私たちが目にしてきた公開セキュリティインシデントから見ると、暗号技術そのものが破解されたことによる事故は非常に少なく、問題の多くは他の环节で発生しており、大きく3つに分類できる。
第一類は使用ツールの問題である。例えば、チームが使用するあるオープンソースソフトウェア、クラウドサービス、開発ツールが改ざんされ、ウォレットのリスクにも影響が及ぶ可能性がある。
第二類は人の問題である。他人になりすまして権限を騙し取る、内部関係者が権限を濫用する、従業員の退職後に元の権限が適時に回収されない、などが含まれる。私たちは第一回で次のように述べた：攻撃者は必ずしもシステムを直接攻撃する必要はなく、権限を持つ人に接近する方法を考えることもできる。この観点は機関のシナリオでも同様に当てはまり、攻撃者は採用情報を通じて企業の技術状況を把握し、コードプラットフォームで関連する従業員を探し、あるいは業界イベントで従業員と関係を築く可能性があり、準備プロセス全体が数ヶ月に及ぶこともある。
第三類はプロセスの問題である。例えば、緊急時に本来必要な承認をスキップする、一時的に開放した権限の回収を忘れる、テストシステムで実際の業務データを使用する、あるいは業務の便宜を図るために本来外部に公開すべきでない内部ツールをそのままインターネットに露出させる、などである。
これらの問題は一見複雑ではないが、一度大量の資産を管理する機関で発生すると、深刻な損失をもたらす可能性がある。
Q2. 機関は通常、マルチシグウォレット、MPCカストディ、承認などの方法で資産を保護している。これらの方法はそれぞれどのような問題を解決できるのか？またどのようなリスクに注意する必要があるのか？
CertiK：これら3つのメカニズムは異なる問題に答えている。マルチシグは複数の鍵による共同承認を要求し、単一鍵の失陥リスクを低減する；MPCは署名能力を異なる鍵シェアに分散させ、完全な秘密鍵の集中保管と使用のリスクを減らす；内部承認はある取引が業務上発生すべきかどうかを決定する。機関が本当に検証すべきは、これら3層のコントロールが実際の運用において互いに制約できるかどうかである。
例えば、複数の鍵が同一チーム、同一の管理者権限セットによって制御されている場合、しきい値は形式上分散しているが、リスクは依然として集中している。MPCシェアを分別保管する場合も、デバイス登録、本人認証、復旧権限が同一人物に掌握される可能性があるかどうかを見る必要がある。承認プロセスも同様である：承認したのがページ上に表示された内容であり、署名システムが受け取ったのが別の取引である場合、承認は資産移転を制約できない。
CertiKはGnosis Pay事件の技術分析において、認可検証モジュールの欠陥により未承認の取引が誤って受け入れられたことを発見した。これは、評価が鍵と署名アルゴリズムにとどまらず、本人認証、取引検証、権限変更および復旧プロセスをカバーする必要があることを示している。
Gateセキュリティチーム：CertiKが指摘した問題は、私たちが機関資産セキュリティソリューションを設計する際に重点的に考慮している点でもある。
Gate自身の資産管理では、資産の绝大部分をマルチシグのコールドウォレットに置き、オフライン管理、物理的隔离を行っている；ホットウォレットはマルチシグとマルチパーティ計算を採用し、秘密鍵を分散管理し、同時に限度額ポリシーを設定し、制限を超えた資産は直ちにコールドウォレットに移される。
ユーザー向けには、私たちも異なるセキュリティソリューションを提供している。例えば機関顧客向けに、私たちはGate Vaultを推出した。Gate VaultはMPCと2-of-3の署名構造を採用しており、簡単に言えば、Gate Vaultは鍵を3つに分割し、それぞれユーザーのデバイス、Gate、および独立した第三者によって保管される。取引の完了には規定の承認条件を満たす必要があり、いずれの当事者も単独でユーザーの資産をコントロールすることはできない。
さらに、Gate Vaultには48時間の送金遅延期間が設けられている。Vaultから発起されたすべての送金は48時間の遅延期間を経る必要があり、この期間中ユーザーは自ら取引を凍結できる。機関のシナリオでは、誤操作や胁迫による署名も現実に存在するため、遅延着金の価値はこうした状況にウィンドウ期間を設けることにある。
Q3. 機関はどのように完全なセキュリティ管理体系を構築すべきか？どの环节が最も見落とされやすいか？
CertiK：機関は1件の取引を中心に連続したコントロールを構築すべきである：発起時に業務目的、相手方、アドレス、限度額を確認する；承認時に担当者が取引の実際の意味を明確に理解できるようにし、承認結果が最終的に署名待ちの内容に対応することを確保する；署名とカストディ段階で鍵、デバイス、操作権限を保護する；実行後に異常取引を監視し、オンチェーン記録と内部帳簿の照合を完了する。各ステップには明確な責任者が必要であり、相互に対応できる記録を残す必要がある。
最も見落とされやすいのは、直接送金しないものの資産のコントロール権を変更する操作である。例えば、受取アドレスホワイトリストの変更、限度額の引き上げ、署名者の変更、ウォレットソフトウェアの更新などである。復旧プロセスも同様に個別に設計し演練する必要がある：重要人員の退職、デバイスの故障、サービスプロバイダーの中断時に、機関はコントロールを回復できなければならず、同時に必要な複数人承認を維持し、バックアップ経路が日常の権限管理の脆弱性になってはならない。
Gateセキュリティチーム：Gateでは、機関は通常、メインアカウントとサブアカウントで資金を管理し、さらに異なる職務の従業員に異なる操作権限を設定できる。例えば、ある人はアカウントを閲覧するだけ、ある人は取引でき、またある人は承認を担当する。これにより日常業務のニーズを満たしつつ、不必要な資金リスクを減らすことができる。
資産管理機関向けに、私たちは専用のカストディサブアカウントも提供している。これは主に1つの問題を解決する：投資家は資金を専門チームに運用を任せたいが、相手に資金を持ち去られたくない。具体的には、投資家がカストディサブアカウントを作成した後、プログラム操作用のAPI Keyを自ら作成することはできない；取引チームは合意に従って取引戦略を実行できるが、出金権限はない。同時に、双方の協力期間中、投資家も取引チームのポジション、注文、履歴を閲覧できず、取引戦略の漏洩を防ぐ。
より具体的なAPIセキュリティ設定では、機関の操作の大部分はプログラム化されて完了し、手動注文はごく一部に過ぎない。そのため、私たちのAPI Keyは細粒度の権限設定をサポートし、読み取り、取引、出金を個別に設定できる。
Q4. 規制機関がプラットフォームやプロジェクトを評価する際、最も注目するセキュリティとコンプライアンスの問題は何か？
CertiK：規制機関はまず、プラットフォームが資産を継続的にコントロールし、重要サービスを維持し、リスク発生時に問題がどのように発見され処理されたかを説明できるかどうかを判断する。取引プラットフォームについては、顧客資産の保管、帳簿照合、権限管理、マネーロンダリング対策、インシデント対応に関わる；中央銀行デジタル通貨システムについては、発行と台帳の完全性、支払いの継続性、障害後の正確な復旧がより重要である。2種類のシステムは業務が異なるが、いずれもテスト可能で検証可能な証拠が必要である。
これはCertiKが最近キルギス中央銀行と協力する際に関わる実際の問題でもある。双方が署名した覚書は、デジタルソムのセキュリティ評価、形式検証、サイバーセキュリティと運用レジリエンス、およびデジタル資産規制、マネーロンダリング対策、カストディなどの方向で交流と探索を行う予定である。評価に落とし込む際、規制側は具体的な結果を見る必要がある：重要権限を誰が掌握しているか、高リスク問題が是正されたか、異常取引がどのように処理されるか、障害演練後にサービスと帳簿が復旧できるか。
Gateセキュリティチーム：
CertiKが指摘したこれらの問題は、私たちが異なる国と地域で関連ライセンスを申請し維持する際の実感でもある。
普段プラットフォームセキュリティについて語る際、人々は技術が先進的かどうかにより注目しがちである。しかし規制の観点からは、もう1つ非常に重要な問題がある：ユーザーの資金とプラットフォーム自身の資金は、本当に分別管理されているか？問題が発生した場合、各資産が誰に属するかを明確に特定できるか？
これが準備金証明の重要な意義でもある。一般ユーザーにとっては、プラットフォームがユーザー残高を返済するのに十分な資産を持っているかを確認するのに役立つ；規制機関にとっては、プラットフォームの資産管理状況を検査する重要な根拠でもある。
Gateを例にとると、プラットフォームは初めてマークルツリーとゼロ知識証明技術を使用し、ユーザーが自分の資産が計上されているかを検証できるようにし、同時にユーザー情報の保護にも配慮している。最新号のデータによると、Gateの総準備金は86.88億ドル、全体の準備率は118.49%である。うち、ビットコイン準備は25,727枚、準備率は121.60%；イーサリアム準備は449,042枚、準備率は123.78%である。
簡単に言えば、準備率が100%を超えるということは、プラットフォームが開示した対応資産準備がユーザ
