金融庁は2026年7月23日、暗号資産関連事業者におけるサイバーセキュリティの課題と対策に関する研究調査報告書を公表しました。本報告書は金融庁から委託を受けたデロイトトーマツが作成したもので、近年の流出事例や業界のサプライチェーン構造におけるリスクを分析しています。事業者に対して自社内にとどまらず委託先や接続先を含めたサプライチェーン全体のリスク管理を促す内容となっており、業界全体のセキュリティ態勢を見直す上で重要な指標となることが見込まれます。
攻撃手法の複雑化とサプライチェーンリスクの分析
報告書では、暗号資産交換業者をはじめ、ウォレットサービス、AML・CFT（マネーロンダリングおよびテロ資金供与対策）サービス、オンチェーン情報サービス、ブロックチェーンインフラサービスなど、業界を構成する多様な事業者が整理されています。さらに、中央集権型取引所（CEX）からの出庫プロセス（出庫依頼、トランザクション生成、署名、ブロードキャスト）における各工程の攻撃対象が示されました。
近年多発している不正流出事件では、取引所の自社システムそのものだけでなく、外部のウォレット事業者、外部開発者、クラウドサービス、クロスチェーン通信を担うプロトコルなど、外部接続先が攻撃の起点となるケースが発生しています。報告書本編では10件の事例、概要版では5件の事例（海外の暗号資産取引所とされるバイビットや、分散型金融プロトコルとされるオイラー・ファイナンスなど）について攻撃プロセスと対策が分析されました。分析の結果、委託先経由の侵入や署名時の確認不足、スマートコントラクトの脆弱性、秘密鍵・発行権限の管理不備などが共通のリスクとして浮き彫りになっています。
推奨される対策案と規制・ガイドラインへの活用
調査報告書では、事業者が講じるべき提言案として以下の点が挙げられています。
- 再委託先を含む委託先管理の高度化
- プログラム改ざんを想定した変更管理
- 署名時における厳格な検証
- DeFiやクロスチェーンプロトコルにおける外部依存先の管理
金融庁は2026年4月に「暗号資産交換業等におけるサイバーセキュリティ強化に向けた取組方針」を公表しており、今回の成果を暗号資産交換業者や関連情報共有機関に還元する予定です。今後は国際的な議論での活用や、暗号資産交換業者向け事務ガイドラインにおけるサイバーセキュリティ水準の引き上げに向けた検討に活かす方針が示されています。なお、本報告書は調査研究を目的として作成されたものであり、金融庁の公式見解を示すものではないと記載されています。
ポイント
- 金融庁がブロックチェーン「国際共同研究」プロジェクトの一環として、暗号資産関連事業者のサイバーセキュリティ調査報告書を公表しました。
- 自社内だけでなく、委託先や外部開発者、接続先プロトコルなどサプライチェーン全体のリスク把握と管理の必要性が示されています。
- バイビットやオイラー・ファイナンスなどの流出事例分析を基に、署名時の確認強化や委託先管理の高度化といった具体的な対策案が提示されました。
- 今回の研究成果は、暗号資産交換業者向け事務ガイドラインのセキュリティ水準引き上げの検討や、国際的な議論に活用される見通しです。