两亿四千五百万美元，一分钱都不是抢来的：一个二十二岁的人打了两年电话，每一笔都是对方自己交出去的

今回は、有罪を認めたばかりの事件と、事件そのものよりも重要だと私が考える結論について話します。暗号通貨の世界では、突破されるのは通常、システムではなく人間です。

まず事実を確認しましょう。

先週、22歳の男性が米国で犯罪組織への参加容疑について有罪を認めました。

彼が所属していたグループは、約2年間で2億4500万ドル以上の暗号通貨を盗み、資金洗浄を行いました。

金額ベースでは、これは米国の記録上、最大の暗号通貨窃盗事件の一つです。

対象資産を明確にしておかないと、後の手口が理解できません。

暗号通貨は銀行口座にあるわけではありません。ブロックチェーン上に記録され、その制御権は秘密鍵によって決定されます。

秘密鍵とは文字列のことで、これを持っていることは資産を持っていることと同義です。

ここには紛失時の手続きも、取引の取り消しも、預金保険もありません。

この設計の長所と短所は同じことです。どの機関もあなたの資産を凍結できないため、どの機関もあなたのために回収することができないのです。

これを理解すれば、暗号通貨を狙った犯罪がなぜ「ハッキング」の道をあまり通らないかがわかります。

暗号技術自体は堅牢で、正面からの攻撃はコストが極めて高く、成功率は非常に低いです。

そのため、攻撃対象領域は全体として別の側面へ移行しました。保有者自身に秘密鍵や認証情報を渡させるのです。

こうした手法の総称がソーシャルエンジニアリングです。

名前はとても技術的に聞こえますが、実際の操作は多くの場合、一本の電話です。

このグループの作業手順は4つのステップに分けられます。

第一段階は標的の選別です。

ブロックチェーンの送金記録は公開されており、誰のアドレスにどれだけの資産があり、最近活動があったかなどはすべて表面化された情報です。

つまり、攻撃者はターゲットに一切接触することなく、事前にリストを並べ替えることができます。

第二段階は身元の確立です。

彼らは大手テクノロジー企業や暗号通貨取引所の顧客サポート担当者になりすまし、標的に直接電話をかけました。

ある具体的な事例では、被害者が受けた電話は、ある検索エンジン会社と取引プラットフォームから来たものだ自称していました。

第三段階は、信頼と緊迫感という二つの心理状態を同時に作り出すことです。

信頼は身元から生まれます。相手が名乗るのは、あなたが知っており、すでに利用している企業です。

緊迫感は話術から生まれます。「あなたのアカウントに異常なログインがありました。現在対応中ですので、直ちにご協力ください」というものです。

この二つが重なることで、標的の思考時間は大幅に圧縮されます。

ここで明確にしておくべきことがあります。騙されることは知能とは無関係です。

緊迫感が働く仕組みは、認知リソースを「この人物は誰か」から「私はどうすべきか」へと移すことです。

この状態では、指示を実行する傾向が顕著に高まり、相手の身元を確認する動作は省略されます。

第四段階は値の取得です。

彼らは標的に対し、携帯電話で受信した認証コードを読み上げるよう求めたり、特定のページを開いてその内容を読み上げるよう求めたりしました。

標的が一度読み上げると、制御権は即座に移転します。

ある事例では、一人の被害者がこのプロセスで4000ビットコイン以上を失いました。

グループは時折、住居侵入など物理的な手段も用いましたが、金額構成から見ると、大部分は通信手段によって行われました。

その後の部分には技術的な要素はほとんどなく、消費だけがあります。

主犯は30台以上の車を購入し、その中には数台のカスタムスポーツカーが含まれていました。

彼は約200万ドル相当の腕時計を購入しました。

その他にも、豪邸、チャーター機、ナイトクラブでの巨額の請求書がありました。

これも事件解決の糸口の一つとなりました。正当な収入源のない若者の消費水準と収入のギャップは、整合性が取れないからです。

捜査当局が追跡して彼を逮捕し、現在、彼は最大20年の刑に直面しています。

冒頭の結論に戻りましょう。

2億4500万ドル、1セントたりともパスワードを解読することで得られたものではありません。

すべての送金は、保有者が自発的な状態で交付したものです。

これらの被害者は技術音痴ではありません。それほど大規模な暗号資産を保有できる人は、通常、このシステムに対する理解度が平均を大きく上回っています。

突破され続けたのは、電話の向こう側の人間が30秒間で行った身元の判断であり、秘密鍵の数学的強度は決して試されていません。

この事象の適用範囲は暗号通貨をはるかに超えています。

最終的な制御権を「その場での個人の判断」に委ねるシステムでは、セキュリティの上限は技術によって決まるのではなく、その瞬間の判断によって決まります。

皆さんに二つの問いを残します。

一つ目は具体的です。あなたが現在利用している某社の顧客サポートを名乗る人物から電話があり、「アカウントに異常があるので協力が必要だ」と言われた場合です。

その30秒間で、あなたは実際に何を根拠に彼の身元を判断できますか。

二つ目はより大きな問題です。あるシステムが「取り消し不可」を利点として設計するとき、それはリスクを誰に移転しているのでしょうか。