ブロックチェーンデータインフラ企業であるAlliumは、Visa、Stripe、Coinbaseといった主要金融企業が利用する同社のサービスについて、不正な第三者がシステムにアクセスしたことを確認しました。このインシデントにより、これらの企業がオンチェーンデータおよびアナリティクスで依存するサービスに障害が発生しました。

サービス障害後、Alliumが不正アクセスを確認

Alliumは、自社プラットフォームで不正アクセスが発生したことを確認しました。同社はブロックチェーンデータサービスを提供しており、ブロックチェーン上の情報を収集・処理し、そのデータを自社製品やツールに活用するクライアントに提供しています。同社のインフラは、多数の機関顧客のオンチェーンデータおよびアナリティクス機能を支えています。

この事例は、現代のフィンテックスタックがいかに専門的なサードパーティーインフラに依存しているかを浮き彫りにしています。大企業は各コンポーネントを自社開発するのではなく、外部のオンチェーンデータサービスを自社製品に組み込む傾向を強めており、単一のベンダーの信頼性とセキュリティが、その顧客リストをはるかに超えて重要になり得ることを意味します。

報道時点で、Alliumはアクセスの全容、継続期間、最初の検知方法を公表していません。不正アクセスの確認が現時点での主要な確定事項です。根本原因や実施された対策の詳細は、公開声明では述べられていません。

不正アクセスの確認とともに、サービス障害も報告されました。これらの障害が不正アクセスに直接起因するものか、対応として実施された封じ込め措置によるものかは確認されていません。

Visa、Stripe、Coinbase関連サービスに影響

障害は、Visa、Stripe、Coinbaseが利用するサービスに影響を与えました。これらは同ブロックチェーンデータプロバイダーの最もよく知られた顧客です。この区別は重要です。これらの企業はAlliumの顧客であり、自社の業務に同社のデータサービスを入力として利用しています。Visa、Stripe、Coinbase自体が侵害された、あるいは中核システムが危殆化したという確定した報告はありません。

この文脈におけるAlliumの役割はデータパイプラインです。ブロックチェーンから情報を取得し、アナリティクス、コンプライアンスチェック、製品機能に必要とするクライアントが利用できるようにしています。このパイプラインが中断されると、依存する下流サービスは、クライアント自体のシステムが安全であったとしても影響を受ける可能性があります。ブロックチェーンは公開台帳であるため、Alliumのようなプロバイダーがインデックス化する生データの多くは誰でも閲覧可能です。この種のインシデントでより慎重な検討が必要となるのは、内部システム、アクセス認証情報、顧客に関連する記録です。

この種のサードパーティーデータプロバイダーインシデントは、暗号資産・フィンテック分野で初めてではありません。Coinbaseは以前、サードパーティーのアナリティクスツールが危殆化した別の事例であるAmplitudeセキュリティインシデントにおいて、自社が直接侵害されていないことを明らかにしました。共有インフラプロバイダーを通じた間接的な露出というパターンは、大規模に事業を展開する企業にとって繰り返される課題です。

Allium侵害後に不明なままの点

侵入に関する技術的な問題と顧客への影響に関する問題の両方を含め、複数の重要な詳細が明らかにされていません。不正アクセス期間中に顧客データへのアクセスや持ち出しがあったかどうかはまだ不明です。アクセスの継続期間、使用された侵入経路、インシデントが完全に封じ込められたかどうかも、いずれも未確認です。この種のセキュリティインシデントは全体を把握するのに時間を要することが多く、初期の確認段階では中核的な疑問が未解決のまま残りがちです。

また、Alliumが影響を受けた顧客に直接通知したかどうか、また扱うデータの性質を考慮して法的開示義務が適用されるかどうかも不明です。ブロックチェーンデータには、対象となるサービスの範囲に応じて、ウォレットアドレス、取引履歴、行動パターンが含まれる場合があります。

Visa、Stripe、Coinbaseなどの影響を受けた企業は、障害の結果としてエンドユーザーに何が生じたか（生じた場合）について、独自の声明を発表する可能性があります。それらの声明が発表されるまで、これらのプラットフォームのユーザーへの下流の影響は不明のままです。

Alliumおよび名指しされたクライアント企業は、調査の進展に伴い追加の情報を発表する可能性があります。それまでの間、オンチェーン取引トラッキングや暗号資産アナリティクスなど、ブロックチェーンデータ機能を含むこれら3社の製品を利用している方は、自身のデータや利用体験が影響を受けたかどうかについて、公式な連絡に注意を払う必要があります。

免責事項：本記事は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定の前には必ずご自身で調査を行ってください。