イスラエルの暗号資産ブローカーBits of Goldにおけるデータ侵害を受け、ビットコイン購入が停止されました。燃料・小売グループのPazは、セキュリティインシデントの調査が続く間、同社のYellowアプリを通じたビットコイン購入機能を一時的に凍結しています。

ビットコイン購入が停止された理由

Bits of Goldは、同社のインシデントに関する最新情報の中で、データ分析システムへの異常なアクセスを特定し、同社が大規模なサイバーインシデントと説明する事案への対応として、影響を受けたシステムをデータソースから切断したと述べています。

これを受けてPazは、調査が完了するまでYellowアプリを通じたビットコイン購入機能を凍結したとCTechが報じています。Pazは、YellowとBits of Goldの各アプリ間に直接のインターフェースは存在しないと述べています。

この提携により、本インシデントはブローカー単独の障害よりも広範な小売リーチを持つものとなっています。Pazはイスラエル最大級の燃料・コンビニエンスストア小売業者の一つであり、そのYellowアプリはロイヤリティサービスや決済サービスとビットコイン購入機能を一つに統合し、暗号資産へのアクセスを一般消費者に提供しています。2013年に設立されたBits of Goldは、イスラエルで最も長く事業を展開してきた暗号資産ブローカーの一つであり、漏洩規模を大きなものとした顧客基盤を擁しています。

今回の停止は、市場動向に基づく判断ではなく、侵害対応に直結した予防的な運用上の措置です。プラットフォームがアクセスを復旧する前にインシデントを封じ込められるよう、購入アクティビティは停止されました。

本侵害がユーザーに与える影響

顧客への直接的な影響は、凍結が解除されるまで、Yellowを通じて予定または保留中だったビットコイン購入が完了できないことです。この支障は購入アクセスに影響するものであり、既存の保有資産には影響しません。

Bits of Goldは、パスワード、認証コード、秘密鍵、身分証明書の写真、クレジットカードの完全な情報、CVVコード、顧客資金、アカウント、ウォレット、デジタル資産は本インシデントで漏洩していないと述べています。同社によれば、デジタル資産と資金は本件には関与していません。

一方で、Bits of Goldは、氏名、IPアドレス、メールアドレス、電話番号、銀行口座情報、イスラエルのID番号、一部の公開ウォレットアドレスが漏洩した可能性があると述べています。この格差が重要なのは、氏名、連絡先、国民ID番号といった個人識別情報はフィッシングやなりすましの素材となるため、資金は安全に見えても、アカウントの安全性となりすまし被害に関する懸念が続くためです。報道では本侵害が大規模な顧客基盤に影響した可能性が示されており、漏洩の範囲は依然として中心的な疑問となっています。

CoinDeskの報道によると、外部報道は本インシデントの影響を受けた顧客を約200,000人としていますが、Bits of Goldの公式通知では、確認済みの影響を受けたユーザーの総数は公表されていません。この数値は企業による確認によるものではなく、依然として外部に帰属するものです。

この区別は重要です。取引の中断は一時的かつ可逆的ですが、個人情報が漏洩した可能性は、購入凍結そのものよりも長く続く信頼に関する問題です。また、この凍結は、65,000ドル前後での売却をめぐる新たな議論を呼んでいる水準付近でビットコインが取引されているさなかに起こっています。

購入再開前に必要なこと

報道では、本インシデントはデータ分析ソフトウェアMetabaseの重大な欠陥、具体的にはCVE-2026-72898に関連付けられていますが、Bits of Goldの顧客向け通知ではMetabaseやこのCVEには言及されていません。この関連付けは、企業による確認ではなく、直接的な報道に基づくものです。

米国国立脆弱性データベース(NVD)は、CVE-2026-72898を最大のCNA深刻度である10.0 CRITICALに分類し、リモートの未認証攻撃者がパスワードリセットのエンドポイントを通じて任意のSQLを注入できる欠陥であると説明しています。Metabaseは暗号資産業界の枠を超えて広く利用されているオープンソースの分析プラットフォームであるため、この種の最大深刻度の欠陥は、暗号資産プラットフォームのみならず、未修正のインスタンスを運用するあらゆる組織に関係するものでした。

Metabaseは、セキュリティアップデートの中で、当該欠陥の活発な悪用を確認したこと、攻撃エンドポイントを遮断したこと、最低限安全なリリースとして0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5を公表したことを明らかにしました。これらのバージョンへのパッチ適用が、安全なサービス再開を支える是正措置です。

Bits of Goldは、関係当局に通知したと述べており、CTechはその当局をイスラエルの資本市場庁(Capital Market Authority)および国家サイバー局(National Cyber Directorate)と特定しています。Bits of Goldは、イスラエル市場においてデジタル資産金融サービスを提供する資本市場庁ライセンスを取得した最初の企業であり、同国のライセンス保有事業者は資本市場庁の監督の下で事業を運営しているため、本インシデントは純粋に社内的な対応ではなく、確立された規制審査プロセスの中に位置づけられます。

購入が再開される前には、ユーザーは、影響を受けたシステムが保護されたこと、脆弱性にパッチが適用されたこと、規制当局との調査が完了したことを確認する明確な状況報告を注視することになるでしょう。Yellowを通じたビットコイン購入を復旧させる公開された時期は、まだ設定されていません。

CoinDeskの報道によると、本件は、SafePalおよびTrezorのベンダーに関連するインシデントに続き、約1週間の間に公表された暗号資産業界で3件目のデータ漏洩です。この集中発生により、消費者向け暗号資産プラットフォームのセキュリティ態勢は、改めて厳しい注視の下に置かれ続けています。