Swiss Bitcoin Payは、何者かが内部システムに不正アクセスした疑いを受け、顧客の連絡先情報、銀行情報、取引情報が流出した可能性があるとして、サーバーを一時的にオフラインにした。

Bitcoin決済プロバイダーである同社は、9月14日にセキュリティ問題を公表した。同社は、アクセスを調査しインフラを安全な状態に戻す間も、ユーザー資金は安全だとしている。Swiss Bitcoin Payは、サービスをいつ再開するかを発表していない。

メールアドレス、Bitcoinアドレス、IBANが流出した可能性

アクセスされた可能性がある情報には、顧客のメールアドレス、Bitcoinアドレス、IBAN、取引履歴、ハッシュ化されたパスワードが含まれる。調査では、これ以外の情報カテゴリーにアクセスされたかどうかはまだ明らかになっていない。

Swiss Bitcoin Payは、影響を受けた可能性のあるアカウント数、不正アクセスが始まった時期、システムからデータがコピーされたかどうかを明らかにしていない。また、アクセス方法や実行者も特定しておらず、調査が続くなかで技術的な原因は未解明のままとなっている。

メールアドレス、取引履歴、金融関連の識別情報が組み合わさることで、攻撃者が標的型のなりすましやフィッシングを仕掛けるための詳細な情報を得る可能性がある。同様のリスクは、最近のTrezorの顧客データ侵害で、数万人のハードウェアウォレット購入者の連絡先情報や配送記録が流出した際にも生じた。

Swiss Bitcoin Payはノンカストディ型の決済モデルを採用

Swiss Bitcoin Payは、Lightningとオンチェーン決済の双方を通じたBitcoin取引に対応する加盟店向け決済サービスを運営している。同社の加盟店システムは、受け取ったBitcoinを長期的に自社で保管するのではなく、顧客が管理するウォレットへ送る設計になっている。

加盟店は、モバイルアプリ、ウェブダッシュボード、eコマース連携、APIを通じて決済を受け付けられる。Swiss Bitcoin Payは、銀行振込による出金を利用する顧客向けに、Bitcoinの受取額を法定通貨へ自動変換する機能も提供しており、その処理にはIBANなどの銀行情報が必要となる。

同社の発表は、今回疑われているシステムへのアクセスと顧客資金の保管を区別し、資金は安全だとしている。同社は、不正なBitcoin送金の証拠や、侵入に関連する損失額を公表していない。

セキュリティ審査中もサーバーはオフライン

Swiss Bitcoin Payは、アクセスの範囲を確認する間も運営を継続するのではなく、予防措置としてインフラをオフラインにした。同社は、技術的な根本原因、復旧計画、サービスごとの再開スケジュールを公表していない。

今回の発表は、暗号資産業界で相次ぐ顧客データのセキュリティ事案に続くものだ。これには、39,798人の顧客が関係した最近のSafePalの注文データ流出も含まれる。SafePalはこの別の事案について、注文追跡プラグインの認証上の欠陥が原因だったと説明している。一方、Swiss Bitcoin Payは、今回疑われている侵害が特定のアプリケーション、依存関係、脆弱性に起因するものかどうかをまだ明らかにしていない。

Swiss Bitcoin Payはオフラインの状態が続いており、再開時期は示されていない。同社は、影響を受けたインフラの安全確保に取り組む間、現在ユーザーに支払うべき金額があれば全額返還すると説明した。

出典: Crypto Adventure