CoinDashのICO時に盗まれたEthereumの2/3が返送。理由は不明。
CoinDashが管理するEthereumアドレスに、去年の7月に行なったICOで盗まれたEthereumの一部が返送されてきたようだ。
今回の記事では以下のような順序で説明していく。
- CoinDashというプロジェクトについて
- CoinDashのICOハッキング被害の概要
- Ethereumが返送された理由について
CoinDashとは
CoinDashとは、仮想通貨のポートフォリオ管理をブロックチェーン上で行うことが出来るWebサービスの1つである。
自らが保有する仮想通貨ポートフォリオを管理でき、CoinDashの発行するトークン(CDT)を支払えば他者のポートフォリオを閲覧する事が出来る。
執筆時点（2018/02/27）で、ポートフォリオ管理サービスのプロダクトローンチを数時間以内に控えている。
CoinDashハックの概要
2017年7月、CoinDashはICOを実施した。
ICOとは、Initial Coin Offeringの略で、仮想通貨関連プロジェクトを行う企業が、独自の仮想通貨トークンを発行して資金調達を行う方法である。
いわば、仮想通貨によるクラウドファンディングと考えればいいだろう。
現在は、CoinDashのようなICOのタイミングを狙ったハッキング被害を教訓として、ICO投資を行う人に対してKYC（Know your customer）というプロセスを実施し、KYCプロセスをパスした人だけがICOに参加出来る形式である事が多い。
プロジェクトによって異なるが、一般的にはKYCを経たユーザーがアカウントを保有し、管理画面にログインすると仮想通貨の送信先として指定されているアドレスが表示される。
しかし当時は、ICOの方法は今ほど洗練されていなかった。
ウェブサイト上に一般公開されていた受取用アドレスに対して、自らの仮想通貨を送信する方法が採用されていた。
そこに狙いを付けたのがCoinDashを襲ったハッカーであった。
悪意を持った何者かが、CoinDashのウェブサイトを改ざんする権限を持ち、CoinDashのICO参加者からEthereumを受け取るアドレスを、ハッカーの所有するアドレスに変更したのだ。
仮想通貨のアドレスは、ランダムな文字列を組み合わせたものであるため、一見するだけでは、それが正しいものであるかどうかを判別する事が出来ない。
ウェブページ上に掲載されていた受信用アドレスが改ざんされたのは、ICO期間である。つまり、投資家たちから資金を受け取っている最中であった。
その為CoinDashは、改ざんが行われる前の正しいアドレスに対して送られてきた当時の価格で753万ドル分のEthereumを受取った。
しかし、ハッカーによって改竄された後に攻撃者のアドレスに送信された780万ドル分のEthereumは盗まれてしまった。
攻撃者がCoinDashへ返金
しかし最近になってその攻撃者が、CoinDashのアドレスに盗まれた分のお金が返送されてきた。
返金は2段階に分けて行われた。
1段階目は2017年の9月に行われ、10,000ETHがCoinDashに返送された。
2段階目は、先週の金曜日に20,000ETHがCoinDashに返送されてきた。
ICO時に盗まれた全てのEthereumが返金されたわけではなく、現段階も13,400ETHを保有している。
返金の理由には諸説あり
CoinDashに対して、何故、攻撃者が盗んだ仮想通貨の3/4もの額をCoinDashに返金したのかは明確に分かっていない。
CoinDashがICOを行なった時と比べて、Ethereumの値段は大きく上昇している為、CoinDashのICOを狙った攻撃者が保有するEthereumは、返金した分を除いても、盗んだ当時の価値よりも多い。
とあるセキュリティ専門家が指摘する所によれば、CoinDashを狙った攻撃者は盗んだ直後にEthereumの洗浄を行わなかった為、ほとんど全ての取引所にブラックリストに追加されてしまい、盗んだEthereumを換金する事が出来なかった。
攻撃者のアドレスは”FAKE_CoinDash”と名前が付けられており、そのアドレスから行われるあらゆる取引を第三者も監視できる。
(ハッカーが保有するEthereumアドレス。20,000ETHがCoinDashのアドレスに返送されている。)
他に考えられる理由としては、そもそもハッキング自体がCoinDashの内部犯行であり、CoinDashのプロダクトローンチが近づいていることから、メディアの関心を引きつける為に今になってEthereumの返金が行われたのではないかという説もある。
その説に関しては、根拠の無い憶測の域を出ないので、信憑性は無いに等しい。
(CoinDashのWebサイトで、プロダクトローンチを告げるカウントダウンタイマー)
尚、CoinDashのICO時に改ざんされたEthereumアドレスに誤って送ってしまった投資家に対しても、CoinDashのトークンが発行された。
その為、ユーザーの立場からすればハッキングの被害は殆どなかったと言ってもいい。
しかし、CoinDashのウェブサイトが改ざんの被害に遭った事が、投資家達の間で「セキュリティに懸念がある」というイメージを植え付けてしまったのは事実である。
CoinDashは、イスラエルの”Counter Terrorist Unit”に攻撃者の追跡を依頼しているという。
