コインベースは、顧客の暗号資産の99%超をオフラインのコールドウォレットで保管していると発表し、10月29日のバイナンスの63.4億ドル規模のハッキングが、取引所が資金移動をどのように承認するかという疑問を提起したことを受けて、カストディ保護策を詳述した。同社は、この侵害が自社システムや顧客資金には影響を与えていないと述べた。

コールドウォレットはインターネットから切り離された状態で保管されるストレージ装置であり、保有資金へのオンラインアクセスを制限する。取引所は通常、顧客の出金を処理するため、より少額のオンライン残高（いわゆるホットウォレット）を維持している。

コインベースが説明するカストディ管理策

コインベースによると、顧客資産の大部分はオフラインに保管され、出金対応に必要な分だけオンラインで維持されている。同取引所はブログ投稿の中で、送金は支出限度額、不審な活動のチェック、取引承認の停止機能などの管理策によって保護されていると述べている。

同社はさらに、署名鍵を複数のシステムに分割しており、この仕組みでは単一の人間やマシンが完全な鍵を保持しないため、1台のマシンが侵害されただけでは鍵は取得できない。コインベースは、顧客資産が1対1で裏付けられており、許可なく貸し出されることはなく、カストディ事業はニューヨーク州規制当局の監督下にあると述べている。

バイナンスのハッキングが露呈した出金承認のリスク

バイナンスによると、攻撃者は悪意のあるダウンロードと偽の求人面接を通じて従業員のコンピューターを侵害した後、送金を承認するシステムであるウォレット署名サービスにアクセスした。同取引所による10月の攻撃の説明では、盗まれた認証情報が、ハッカーが通常の出金手続き外で資金を移動するのに役立ったとされている。

バイナンスは、11月3日時点で約28.5億ドルが凍結または捕捉されたと述べた。影響を受けたトークン資産の98%を補充し、顧客の損失を補償する方針を表明した。報告された数値に基づくと、影響を受けたトークン資産の残り2%はまだ補充されていないことになる。

この事件は、秘密鍵の盗難ではなく取引権限に関わるものであり、この違いは、オフライン保管だけでは正当な署名プロセスの悪用を防げないことを示している。

他の取引所も同様のセキュリティ問題に直面

ブラジルのメルカド・ビットコインは、11月2日に約3,800万ドル規模の攻撃を受けたと報告し、複数のブロックチェーンにわたる不審な送金が検出された後、顧客の損失を補償する計画を発表した。この攻撃はバイナンスのハッキングの数日後に発生しており、メルカド・ビットコインによる顧客損失補償の約束はバイナンス自身の公約と軌を一にしている。

コインベースは、2026年9月30日時点でプラットフォーム上の資産を3,766億ドルと報告した。提出書類には、顧客資産とは別に、会社資金の現金86億ドルと投資用暗号資産22億ドルが記載されている。調査では、コインベースが米国の現物ビットコインETF資産の約84%を保管していると推定されている。同社はまた、2025年のカスタマーサポート担当者をめぐるデータ侵害が最大4億ドルの費用となる可能性があるとも述べている。

韓国、オフラインウォレット規則を見直し

韓国の金融規制当局は、バイナンスの侵害を受け、暗号資産取引所に対しコールドストレージ保有量の増加を求めた。既存の規則ではすでに顧客の暗号資産の少なくとも80%をコールドストレージで保管することが義務付けられており、アップビットは9月末時点で99.17%を報告している。

バイナンスはサービスを再開するにあたり、送金の迅速化を有料で提供するなどの出金詐欺についてユーザーに警告した。資金を多くオフラインで保管するとアクセスが遅くなる可能性がある。実際、8月にはオンラインウォレットの残高が不足した際、ビスサムの顧客が13時間を超える出金遅延に直面した。より大きなオフライン準備金と出金速度のどちらを重視するかが、規制当局が規則を見直す中で韓国の取引所が現在直面しているトレードオフである。