ブロックチェーンセキュリティとは？主な攻撃・脆弱性と対策サービスの選び方を解説

暗号資産やNFT、DeFiなどのブロックチェーンサービスを事業に取り入れるとき、スマートコントラクトの脆弱性を突かれて資産が流出したり、不正な取引で被害を受けたりしないか、不安を感じていませんか。ブロックチェーンは「改ざんに強い」と言われる一方で、取引所やウォレット、スマートコントラクトを狙ったハッキングは今も繰り返し発生しています。

ネットワークの仕組みを過信せず、自社の事業をどう守るべきでしょうか。スマートコントラクトの監査、取引のモニタリング、ウォレットや鍵の保護など、対策の種類は幅広く、どこから手を付ければよいか判断しづらいのが実情です。

本記事では、ブロックチェーンのセキュリティリスクと主な攻撃手法を解説したうえで、対策に使えるサービスを比較・解説します。スマートコントラクト監査・取引保護・オンチェーン分析という対策のタイプ別に主要サービスを整理し、自社の事業フェーズや守りたい対象に合った選び方を紹介します。導入検討の材料としてご活用ください。

また、守りたい対象や事業フェーズに合わせて最適なサービスを最短で見つけられるよう、記事後半に「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

ブロックチェーンセキュリティとは｜なぜ改ざんに強いのか

ブロックチェーンセキュリティとは、ブロックチェーン上の取引やデータを攻撃・改ざん・盗難から守るための仕組みや対策の総称です。ブロックチェーンはもともと暗号資産の取引を実現するために生まれた技術で、分散型台帳と暗号技術を組み合わせることで、特定の管理者に依存せずデータの正しさを保つ点に特徴があります。

ここでは、ブロックチェーンが「改ざんに強い」とされる根拠と、その特性だけでは防げないリスク領域を整理します。

分散型台帳とハッシュチェーンによる改ざん耐性

ブロックチェーンでは、複数の取引データをまとめた「ブロック」を、ハッシュ値（データを一定長の文字列に変換した値）でつなぎ合わせて記録します。各ブロックは直前のブロックのハッシュ値を含むため、過去のデータを書き換えると以降のすべてのブロックのハッシュ値が変わり、整合性が取れなくなります。

さらに、台帳は単一のサーバーではなくネットワーク上の多数のノード（参加者の端末）に分散して保存されます。一部のデータを改ざんしても、ほかのノードが保持する正しい記録と一致しないため、不正な書き換えはネットワーク全体に受け入れられません。分散保存とハッシュチェーンの組み合わせが、ブロックチェーンの改ざん耐性の中核です。

コンセンサスアルゴリズムによる正当性の担保

新しいブロックを台帳に追加する際は、ネットワークの参加者が一定のルールに従って「その取引が正しい」と合意します。この合意形成の仕組みをコンセンサスアルゴリズムと呼びます。

代表的な方式がプルーフ・オブ・ワーク（PoW）です。膨大な計算を最初に解いた参加者がブロックを追加する権利を得る仕組みで、不正なブロックを通すには莫大な計算資源が必要になります。近年は、暗号資産の保有量に応じて承認権限を割り当てるプルーフ・オブ・ステーク（PoS）も広く採用されています。

いずれの方式も、不正を働くコストを正当に振る舞うメリットより高くすることで、台帳の正当性を経済的に担保しています。

ブロックチェーンの種類によるセキュリティの違い

ブロックチェーンは、誰が参加できるかによって大きく3種類に分かれ、想定すべきリスクも変わります。

種類	参加範囲	セキュリティ上の特徴
パブリック型	誰でも参加可能（例: ビットコイン、イーサリアム）	分散性が高く改ざん耐性は強いが、51%攻撃やスマートコントラクトの脆弱性にさらされやすい
プライベート型	単一組織が管理し参加者を限定	参加者が限定されるため51%攻撃のリスクは低いが、管理主体への依存と内部不正の管理が課題
コンソーシアム型	複数組織が共同で管理	分散性と管理性のバランス型。参加組織間のガバナンス設計が安全性を左右する

不特定多数が参加するパブリック型は、改ざん耐性が高い反面、攻撃者も自由に参加できるため、後述する攻撃手法への備えがより重要になります。

それでも残るリスク領域

ブロックチェーンそのものの改ざんは難しくても、その周辺には守るべきリスク領域が残ります。台帳上で動くスマートコントラクトのコードに脆弱性があれば、ロジックを悪用されて資産を抜き取られます。秘密鍵の管理が不十分であれば、鍵を盗まれた時点で資産は移転されてしまいます。取引所やウォレットといったアプリケーション層、そしてフィッシングに代表される人的要因も、攻撃者が狙う入口です。

このように、ブロックチェーンのセキュリティは「台帳の堅牢さ」だけでは完結せず、コード・鍵・運用・人を含めた多層的な対策が前提になります。

ブロックチェーン特有の攻撃手法と脆弱性

ブロックチェーンを狙う攻撃には、従来のシステムにはない特有の手法があります。ここでは、代表的な攻撃手法と脆弱性を解説します。

51%攻撃

51%攻撃は、ネットワークの合意形成に必要な計算能力（PoWの場合）や保有量（PoSの場合）の過半数を攻撃者が握ることで、台帳を意図的に操作する攻撃です。過半数を支配すると、自分が行った取引を後から取り消したり、同じ暗号資産を二重に使ったりする「二重支払い」が可能になります。

規模の大きいネットワークでは過半数の確保に莫大なコストがかかるため現実的ではありませんが、参加者やハッシュレートの少ない小規模なチェーンでは現実的な脅威となります。取引の確定（ファイナリティ）を待つ確認回数を増やす、参加者が限定されたチェーンを選ぶといった対策が必要です。

シビル攻撃・ルーティング攻撃・フィッシング

シビル攻撃は、攻撃者が大量の偽のID（ノード）を作り出し、あたかも多数の参加者がいるかのように見せかけてネットワークの合意形成を操作する手法です。多数決の前提が崩れ、不正な取引が承認されるおそれがあります。

ルーティング攻撃は、ノード間の通信経路を乗っ取り、データの伝達を遅延・分断させる手法です。ネットワークを分割して別々の台帳を作らせ、二重支払いを成立させる狙いがあります。一方、フィッシングは技術的な脆弱性ではなく、偽サイトや偽メールで利用者から秘密鍵やログイン情報をだまし取る、人を狙った攻撃です。ブロックチェーン自体が堅牢でも、利用者の手元から鍵が漏れれば資産は守れません。

スマートコントラクトの脆弱性

スマートコントラクト（ブロックチェーン上で自動実行されるプログラム）は、一度デプロイすると修正が難しく、コードの不具合がそのまま資産流出につながります。代表的な脆弱性が再入可能性（リエントランシー）です。送金処理中に外部から関数を再度呼び出され、残高が更新される前に何度も引き出される攻撃で、過去の大規模流出事件の原因にもなりました。

近年は、異なるブロックチェーンをつなぐブリッジや、DeFi（分散型金融）のプロトコルが攻撃の主戦場になっています。複数のコントラクトが連携する複雑な仕組みほど、想定外のロジックの穴が生まれやすく、被害額も大きくなりやすい傾向があります。こうした脆弱性は、リリース前のスマートコントラクト監査で発見・修正するのが基本的な対策です。

• 出典：Smart contract security｜Ethereum.org（Ethereum Foundation 開発者ドキュメント） https://ethereum.org/en/developers/docs/smart-contracts/security/

そもそもスマートコントラクトがどう動き、どんな用途で使われるのかから整理したい場合は、以下の記事で仕組みと活用事例をわかりやすく解説しています。

秘密鍵の流出・ウォレットドレイナー

暗号資産の管理は、秘密鍵を持つ人が資産を動かせる仕組みです。そのため、秘密鍵が漏れれば資産は即座に移転されてしまいます。常時オンラインのホットウォレットは利便性が高い反面、ハッキングや不正送金のリスクを抱えます。

近年増えているのが、ウォレットドレイナーと呼ばれる手口です。利用者を偽サイトに誘導し、署名を促すことでウォレット内の資産をまとめて抜き取ります。取引の承認（署名）前に危険な操作を検知して警告する仕組みや、秘密鍵を分散して保管するマルチシグ・オフライン保管といった対策が、被害の抑止につながります。

主なブロックチェーン・暗号資産のハッキング事例

セキュリティ対策の必要性を具体的に把握するために、実際に起きた代表的なハッキング事例を整理します。被害規模や原因を知ることは、社内でリスクを共有し対策の優先順位を決める材料になります。

The DAO事件（2016年）は、イーサリアム上の投資ファンド「The DAO」のスマートコントラクトにあった再入可能性の脆弱性を突かれ、約360万ETH（当時の The DAO 拠出分の約3分の1）が不正に引き出された事件です。被害の大きさからイーサリアムはハードフォーク（チェーンの分岐）による対応を迫られ、現在のイーサリアムとイーサリアムクラシックに分かれる契機となりました。

Parityウォレットの事件（2017年）は、マルチシグウォレットのスマートコントラクトの不具合に起因する事件で、同年7月にはコードの脆弱性により資産が流出し、11月にはライブラリ契約の権限管理の不備で多額の資産が凍結されました。スマートコントラクトの設計・実装の重要性を示した事例です。

国内では、コインチェックの暗号資産NEM流出事件（2018年）が代表的です。約580億円相当のNEMが外部に送金された事件で、秘密鍵をインターネットに接続したホットウォレットで管理し、マルチシグを導入していなかった点が被害を拡大させたとされています。同時期には、暗号資産モナコインが51%攻撃を受け、二重支払いによる被害が報告されました。

• 出典：コインチェック株式会社に対する行政処分について（2018年3月8日）｜金融庁 https://www.fsa.go.jp/news/30/virtual_currency/20180308-1.html
• 出典：コインチェック、580億円相当の仮想通貨「NEM」なぜ消失（2018年1月27日）｜ITmedia NEWS https://www.itmedia.co.jp/news/articles/1801/27/news017.html
• 出典：仮想通貨モナコインへの攻撃が明らかにしたこと、今後すべきこと（2018年6月4日）｜Impress 仮想通貨 Watch https://crypto.watch.impress.co.jp/docs/event/1125410.html
• 出典：A major vulnerability has frozen hundreds of millions of dollars of Ethereum（2017年11月7日）｜TechCrunch https://techcrunch.com/2017/11/07/a-major-vulnerability-has-frozen-hundreds-of-millions-of-dollars-of-ethereum/
• 出典：Ethereum の歴史（The DAO・ハードフォークによるイーサリアム／イーサリアムクラシックへの分岐）｜Ethereum.org https://ethereum.org/en/history/

これらの事例に共通するのは、ブロックチェーンそのものではなく、スマートコントラクトのコード・秘密鍵の管理・小規模チェーンの合意形成といった「周辺」が突かれている点です。対策もこの周辺領域を中心に組み立てる必要があります。

個々の手口や国内外の盗難事件をさらに深く知り、自社のリスク共有資料に役立てたい場合は、以下の記事でハッキングの手口と過去事件、取引所のセキュリティ対策を体系的に解説しています。

ブロックチェーン／Web3事業を守るセキュリティ対策とサービスの選び方

ここからは、これまで見てきた攻撃・脆弱性に対応する対策と、その対策を担うサービスのタイプを一緒に整理します。対策は「リリース前にコードを守る」「運用中に取引・資産を守る」「取引の流れを監視する」という3つのアプローチに分けられ、それぞれ対応するサービスのタイプがあります。

自社が「コードを守りたいのか」「取引や資産を守りたいのか」「資金の流れを監視したいのか」を起点に読み進めると、必要な対策が見えてきます。

スマートコントラクト監査型（リリース前にコードを守る）

スマートコントラクト監査は、ブロックチェーン上にデプロイする前のコードを専門家やツールが検査し、脆弱性や論理的な不備を洗い出す対策です。手動でのコードレビューに加え、既知の脆弱性パターンと照合する静的解析、実際に攻撃を試す動的テスト、数学的に正しさを証明する形式検証などを組み合わせて実施されます。

このアプローチを担うのがスマートコントラクト監査型のサービスで、独自トークンの発行、NFTやDeFiの開発など、自社でスマートコントラクトを実装する事業者に適しています。リリース後の修正が困難なスマートコントラクトでは、事前の監査が最もコスト効率の高い対策と位置づけられます。

費用は対象コードの規模・複雑さに応じた個別見積もりが基本で、小規模な診断であれば数十万円から、複雑なプロトコルでは数百万円以上になることもあります。対応する監査手法・チェーン・言語、レポートの形式は会社によって異なるため、自社のプロジェクトに合った検査範囲かを確認するとよいでしょう。

監査型サービスは複数あります。費用と納期が明確か、対応するチェーン・言語が自社の実装に合うか、日本語でのやり取り・レポートに対応できる国内対応か、コード単体だけでなくシステム全体まで診てほしいか、といった観点で絞り込むと、自社に合うサービスを見極めやすくなります。

ウォレット・取引保護型（運用中に取引・資産を守る）

サービスを運用し、暗号資産そのものを扱う段階で中心になるのが、秘密鍵の管理と取引の保護です。複数の鍵がそろわなければ送金できないマルチシグ、鍵をオフラインで保管するコールドウォレット、鍵を分割して複数の場所で管理する分散管理などにより、鍵が1か所漏れただけでは資産が動かせないようにします。

事業者向けには、ハードウェアセキュリティモジュール（HSM）や承認ワークフローを備えた業務用ウォレットも提供されています。

このアプローチを担うウォレット・取引保護型のサービスは、暗号資産を保管・送受信する取引所や事業者に向きます。鍵の安全な保管に加え、取引の署名前に危険な操作を検知して警告する取引保護や、利用者の本人性を高度に確認する認証強化を備えるサービスもあり、フィッシングやウォレットドレイナーによる被害を抑えられます。自社の運用体制に組み込みやすい鍵管理方式・承認フローを備えているかが選定の軸になります。

オンチェーン分析・モニタリング型（取引の流れを監視する）

サービスを公開した後は、台帳上の取引を継続的に監視する対策も重要になります。オンチェーン分析は、ブロックチェーン上の取引や資金の流れを追跡し、不正資金との関連や疑わしい取引を検知する手法です。暗号資産交換業者や金融機関では、マネーロンダリング・テロ資金供与対策（AML・CFT）の一環として、取引相手のアドレスが制裁対象や不正資金に関係していないかをスクリーニングする運用が求められます。

このアプローチを担うオンチェーン分析・モニタリング型のサービスは、AMLや取引モニタリングが求められる交換業者・金融機関に加え、資金フローの監視やインシデント検知を行いたいDeFi・NFTなどのWeb3事業者にも向きます。被害が広がる前に予兆を検知する監視や、不正資金の調査も担います。対応チェーンの広さ、検知の精度、国内の法規制やレポート要件への対応状況が選定のポイントです。

オンチェーン分析の具体的なやり方や見るべき指標、ツール・企業の選び方まで踏み込みたい場合は、以下の記事で分析手法と主要ツールを事例付きで解説しています。

事業フェーズ・守りたい対象からの選び方

どのタイプから着手すべきかは、事業のフェーズによって変わります。サービスをこれから公開する段階では、まずスマートコントラクト監査でコードの安全性を確かめることが優先されます。サービスを運用し、資産や取引を扱う段階に入れば、鍵管理・取引保護とオンチェーン分析による監視を組み合わせて、運用中のリスクに備えます。

自社が守りたい対象が「コード」「資産・取引」「資金の流れ」のどれにあたるかを整理すると、必要な対策の優先順位が見えてきます。次の診断ツールでは、いくつかの質問に答えるだけで、自社に適した対策タイプの目安を確認できます。

診断で自社に合う対策タイプの目安が付いたら、次の費用相場と、タイプ別の比較表・サービス紹介で、その型のサービスを具体的に絞り込めます。

ブロックチェーンセキュリティ対策サービスの費用相場

対策サービスの費用は、対策のタイプによって料金体系が大きく異なります。導入予算を見積もる際の目安として、タイプ別の費用感を整理します。

料金形態はタイプによって異なり、スマートコントラクト監査は対象コードに応じた都度の見積もり、鍵管理・取引保護やオンチェーン分析は利用規模に応じたエンタープライズ向けの契約が中心です。公開価格を出していないサービスが多いため、複数社から資料を取り寄せ、自社の規模・対象範囲で見積もりを比較することをおすすめします。

※上記は各社の公開情報および一般的な傾向に基づく整理です。実際の費用は対象範囲・規模により変動するため、各社の最新情報をご確認ください。

【比較表】ブロックチェーンセキュリティ対策サービスの比較

ここからは、対策タイプ別に主要なブロックチェーンセキュリティ対策サービスを比較します。料金体系や対応領域、国内での提供実態などを一覧で確認し、資料請求や問い合わせの候補を絞り込む材料としてご活用ください。

スマートコントラクト監査型の比較

ウォレット・取引保護型の比較

オンチェーン分析・モニタリング型の比較

※上記は各社の公開情報に基づく整理です（2026年6月時点）。料金や機能の詳細は各社の最新情報をご確認ください。

主なブロックチェーンセキュリティ対策サービスの紹介

比較表で取り上げた主要サービスを、対策タイプ別に個別で紹介します。それぞれの提供会社・特徴・対応範囲を確認し、自社の課題に合うサービスを見極める参考にしてください。

スマートコントラクト監査型のサービス

独自トークンやNFT、DeFiなど、自社でスマートコントラクトを開発・公開する事業者に向く、コードの脆弱性を診断するサービスです。

1. Bunzz Audit（Bunzz pte ltd）

Bunzz Audit は、日本発のスタートアップ Bunzz pte ltd（シンガポール法人）が提供する、AIベースのスマートコントラクト監査サービスです。EVM系チェーンのSolidityコードを対象に、100種類以上の脆弱性パターンと既知の脆弱性データベースを照合してコードをスキャンします。

AIが出力した監査結果をセキュリティリサーチャーが検証する二段構成（初期レポート→最終レポート）を採り、AI単独監査で生じやすい誤検知を抑える設計です。プロジェクト固有のビジネスロジックに由来する脆弱性を専門監査人が監査する包括プランも選べます。

料金はスマートコントラクト1点を対象とするスタンダードが21万円、2点のバルクが42万円で、最短48時間で監査レポートを提供します。開発中の中間監査や予算が限られるプロジェクトでも取り入れやすい価格・納期帯です。導入前の無料相談にも対応しています。

2. Spize audit（株式会社テコテック）

Spize audit は、証券取引管理システムやブロックチェーンシステムの開発を手がける株式会社テコテックが提供するスマートコントラクト監査サービスです。NFT・DeFi・GameFiなど、Web3.0活用プロジェクト全般のスマートコントラクトを対象に、設計・実装段階のコードから不具合や脆弱性を検出します。

同社は2018年からブロックチェーンサービスの構築を手がけ、暗号資産交換業や取引所システム開発で培った知見をもとに監査を行います。自社監査に加え、海外のブロックチェーンセキュリティ企業（Certik等）のコード監査支援にも対応できる体制です。トークン発行やウォレット構築と組み合わせ、設計から監査までを一貫して依頼できます。

料金や監査範囲、納期は公開されておらず、問い合わせベースでの個別対応となります。資料請求やミーティング予約を通じて、自社プロジェクトに合う監査範囲を相談できます。

3. KEKKAI Audit（株式会社KEKKAI）

KEKKAI Audit は、東京・虎ノ門に本社を置く株式会社KEKKAIが事業者向けブランド「KEKKAI LABS」の一環として提供する、Web3セキュリティ監査サービスです。DApps・スマートコントラクトをブロックチェーンへデプロイする前にレビューし、脆弱性チェックの結果とセキュリティスコアをまとめたレポートを作成します。

同社はブラウザ拡張機能やモバイルアプリで危険な取引を署名前に検知・警告するリアルタイム保護製品を運用しており、そこで蓄積した24時間365日のオンチェーン分析の知見を監査サービスに活用しています。デプロイ後の修正が困難という特性をふまえ、リリース前のコード監査でセキュリティを高める点に焦点を置いています。

監査費用は対象コントラクトの規模・複雑性に応じた個別見積もりで、固定料金は公開されていません。資料ダウンロードやオンラインでの説明に加え、監査範囲を決めるためのコンサルティングを受けられます。国内法人のため、日本語での監査・相談に対応します。

4. GMO Flatt Security ブロックチェーン診断（GMO Flatt Security株式会社）

ブロックチェーン診断は、サイバーセキュリティ事業を手がけるGMO Flatt Security株式会社が2022年10月に提供を開始した脆弱性診断サービスです。NFT・暗号資産・DeFi・メタバースなど、ブロックチェーンを活用した各種Web3関連サービスの開発・実装時を診断対象とします。

診断では、リエントランシーやフロントランニング、その他のロジック不備といった脆弱性を検証します。ソースコードを解析するホワイトボックス診断を中核に据え、金融・SaaSなど多様な業界での診断実績を持つエンジニアが手動で診断する点が特徴です。

ブロックチェーン部分の診断と、それに接続するWebアプリケーション部分の診断を組み合わせて利用でき、バックエンドとフロントエンド双方のリスクを確認できます。料金は仕様・規模に応じた個別見積もりで、公式サイトの問い合わせから相談できます。

5. ブロックチェーン診断（NRIセキュアテクノロジーズ株式会社）

NRIセキュアテクノロジーズ株式会社は、野村総合研究所（NRI）グループのセキュリティ専業会社です。同社のブロックチェーン診断は2017年7月に提供を開始したサービスで、現在は「スマートコントラクト診断」と「アーキテクチャ評価」の2メニューで構成されています。

スマートコントラクト診断は、Ethereum・Hyperledger Fabric（Solidity・Go・Java）を対象に、ソースコードの静的解析を主とし、自社プライベートネット内での動的解析で追認する組み合わせ方式です。不正な仮想通貨引き出し、トランザクション実行順序の操作、NFTの不正取得・不正鋳造など、ブロックチェーン固有の観点を検出します。

アーキテクチャ評価では、マルチシグやコールドウォレットといった鍵管理対策から、Webアプリ・サーバー・ネットワークまでをシステム全体として評価します。スマートコントラクト単体にとどまらず、ウォレット管理やシステム全体を俯瞰して診断できる点が、総合セキュリティベンダーならではの構成です。料金は個別見積もりとなります。

6. CertiK（CertiK Inc.）

CertiK は、2018年にイェール大学・コロンビア大学の計算機科学者が設立した、米国ニューヨークに本社を置くWeb3セキュリティ企業です。スマートコントラクト監査・形式検証・オンチェーン監視を中核とし、Binance・OKX・Ethereum Foundation などの監査実績を掲げています。

スマートコントラクト監査は、専門家による手動レビュー、AIによる自動レビュー、そして契約挙動を数学的に保証する形式検証（オプション）の3層で構成されます。脆弱性を深刻度別に分類した監査レポートを成果物とし、監査後はオンチェーン監視のSkynetやコンプライアンス向け分析のSkyInsightsまで、一貫したラインナップで提供します。

監査・監視・分析はいずれも要問い合わせ型で、料金は公開されていません。公式サイトは英語が中心で、日本での問い合わせ・サポートはHashKey DXなどのパートナー経由が中心となる点に留意が必要です。国内では旧LINE Blockchain（Finschia）の監査実績が公表されています。

ウォレット・取引保護型のサービス

暗号資産の保管・送受信を行う取引所や事業者に向く、鍵の管理や取引の保護で資産を守るサービスです。鍵管理・取引保護は事業形態によって必要な要件が大きく変わるため、まず資料で対応方式を確認し、個別相談で自社要件との適合を見極めるのが現実的です。ここでは、国内の事業者向けに提供されている代表的なサービスを取り上げます。

7. TRUSTAUTHY（Vlightup株式会社）

Vlightup株式会社が提供する、暗号資産・Web3事業者向けのセキュリティ／コンプライアンス・プラットフォームです。衛星測位（GNSS）を利用した位置情報認証と、秘密鍵を分散して署名する仕組みを組み合わせ、暗号資産取引所・ウォレット事業者・DeFi/DAO・機関投資家などを対象としています。

事前に登録した場所からのアクセスかを検証する位置情報認証（GeoAuth）と、秘密鍵を複数の場所・デバイスに分散して特定の条件が揃ったときにのみ署名する分散署名（GeoMPC）を備えます。秘密鍵やパスワードが漏洩しても、許可された場所以外からの資産操作を防ぐことを狙う設計で、SMSやワンタイムパスワードによる従来の2要素認証では防ぎにくい遠隔ハッキング・内部不正への対処を訴求しています。

ユーザーの行動ログや取引履歴から信用スコアを算出する行動スコアリング（GeoSCORE）や、全取引を監視するトランザクション追跡も提供します。料金は要お問い合わせで、現時点ではベータ版を提供する段階です。

位置情報を認証の鍵として加える背景について、開発元のVlightup株式会社は次のように説明しています。

8. Ginco Enterprise Wallet（株式会社Ginco）

株式会社Gincoが提供する、暗号資産交換業者・金融機関向けの業務用暗号資産ウォレットシステムです。秘密鍵をHSM（ハードウェアセキュリティモジュール）と専用の署名用端末に分散して管理し、署名用端末は完全にオフラインのまま保管して生体認証で利用者を識別します。コールドウォレットとホットウォレットの両方に対応します。

送金業務をトランザクション作成・署名・内部承認・ブロードキャストの工程に分割し、各担当者が管理範囲外の工程を進められないよう権限を分散します。送金先を登録済みアドレスに限定するホワイトリスト送金や、署名に必要な鍵数を調整できるマルチシグ（2-of-3、3-of-5など）にも対応します。

分散秘密鍵管理・分散署名に関する自社特許技術（特開2021-68032）を実装し、銀行・信託銀行のカストディや証券会社のセキュリティトークン管理などのユースケースを想定しています。株式会社GincoはISO/IEC 27001（2022年取得）とSOC2 Type II（2025年2月受領）を取得済みです。

料金は要問い合わせとなっています。

オンチェーン分析・モニタリング型のサービス

取引や資金の流れを追跡し、AML対応や不正資金の検知が求められる交換業者・金融機関に加え、資金フローの監視・インシデント検知を行いたいWeb3事業者にも向くサービスです。ここでは、国内に法人を置きグローバルに導入実績のある主要なサービスを取り上げます。

9. Chainalysis（Chainalysis Japan株式会社）

Chainalysisは、米国本社のChainalysis Inc.が提供するブロックチェーン分析・暗号資産AML/CFT対応のサービスです。日本市場へは日本法人のChainalysis Japan株式会社を通じて展開し、日本語サイトや日本語での製品提供を行っています。

主力は、資金の流れを追跡する調査ツール「Reactor」と、入出金取引をリアルタイムで監視して疑わしい活動を検知する「KYT」の2製品です。Reactorは公式記載で27以上のブロックチェーンに対応し、取引を取引所やサービスなど実世界のエンティティに紐付けて調査できます。アラートから深掘り調査までを一貫してカバーする構成が特徴です。

国内では日立製作所・SB C&Sを販売パートナーとし、暗号資産交換業者での「KYT」導入事例が公表されています。料金は公開されておらず、初期費用・月額費用とも要問い合わせのエンタープライズ契約となります。

10. Elliptic（Elliptic Japan株式会社）

Ellipticは、英国ロンドンに本社を置くElliptic Enterprises Limitedが提供する、暗号資産トランザクションの分析・AML・制裁スクリーニングのサービスです。日本市場へは2019年に設立されたElliptic Japan株式会社を通じて展開し、日本語での窓口やコンプライアンスアドバイザリーを提供しています。

製品は、60以上のブロックチェーンにまたがるリアルタイムスクリーニング「Lens」、hop制限なしでクロスチェーン調査を行う「Investigator」、VASP（暗号資産交換業者）のスクリーニングを担う「Discovery」などで構成されます。

法定通貨取引に潜む暗号資産リスクを検知するIndirect Risk Reportingを備え、暗号資産ネイティブ事業者だけでなく銀行・金融機関のユースケースにも対応します。

セキュリティ面では、SOC 2 Type 2やISO/IEC 27001などの認証を取得しています。国内では、日本円建てステーブルコインJPYCのAML体制整備で提携した実績があります。料金は公開されておらず、初期費用・月額費用ともエンタープライズ向けの個別見積もりです。

関連法令・ガイドラインへの対応

ブロックチェーンや暗号資産を事業に用いる場合、セキュリティ対策は技術面だけでなく法令・ガイドラインへの対応とも結びつきます。代表的な規制を整理します。

資金決済法・暗号資産カストディ規制

日本では、暗号資産の交換・管理を業として行う場合、資金決済に関する法律（資金決済法）に基づく暗号資産交換業の登録が必要です。利用者の暗号資産を預かって管理する「カストディ」業務も規制の対象とされており、利用者資産の分別管理や、流出リスクを抑えるためのコールドウォレットでの保管などが求められます。

鍵管理・ウォレット保護のサービスは、こうした分別管理やコールド保管の要件に対応するための実装手段としても位置づけられます。

• 出典：資金決済に関する法律（平成21年法律第59号）第2条第15項・第63条の2・第63条の11｜e-Gov法令検索 https://laws.e-gov.go.jp/law/421AC0000000059

トラベルルール（AML・CFT／FATF勧告）

トラベルルールは、暗号資産を送付する際に、送付元と送付先の事業者間で送付人・受取人の情報を通知し合うことを求めるルールです。マネーロンダリングやテロ資金供与を防ぐための国際基準を示すFATF（金融活動作業部会）の勧告を踏まえ、日本でも暗号資産交換業者に対応が求められています。

オンチェーン分析・取引モニタリングのサービスは、取引相手のリスク評価やトラベルルールに必要な情報連携を支える役割を担います。規制対応の観点でも、対策サービスの選定は重要性を増しています。

• 出典：マネー・ローンダリング及びテロ資金供与対策（AML/CFT）｜金融庁 https://www.fsa.go.jp/policy/amlcftcpt/index.html
• 出典：トラベルルールに関するQ&A（2022年3月1日公表）｜一般社団法人日本暗号資産取引業協会（JVCEA） https://jvcea.or.jp/information/main-info/20220301-001/

まとめ

ブロックチェーンは分散型台帳とハッシュチェーン、コンセンサスアルゴリズムによって改ざんに強い仕組みを備えています。しかし、その堅牢さはスマートコントラクトのコード、秘密鍵の管理、取引所やウォレットといった周辺領域までは守ってくれません。51%攻撃やスマートコントラクトの脆弱性、ウォレットドレイナーなど、ブロックチェーン特有の攻撃に備えた多層的な対策が欠かせません。

対策は、リリース前のスマートコントラクト監査、運用中の鍵管理・取引保護、取引監視・オンチェーン分析という3つのアプローチに整理できます。自社が守りたい対象と事業のフェーズに合わせて、適したタイプのサービスを選ぶことが、被害の予防と規制対応の両面で効果を発揮します。

本記事の比較表と診断ツールを活用し、自社の課題に合うブロックチェーンセキュリティ対策サービスを比較・検討してください。気になるサービスは、まず資料を取り寄せて具体的な対応範囲や費用を確認してください。

よくある質問（FAQ）

Q. ブロックチェーンは改ざんに強いのに、なぜ別途セキュリティ対策が必要なのですか？

A. 分散型台帳とハッシュチェーン、コンセンサスアルゴリズムが守るのは「台帳に記録された取引の改ざんされにくさ」までで、その外側のスマートコントラクトのコード・秘密鍵・取引所やウォレットといった周辺領域は守られないためです。

実際の流出事故の多くは、ブロックチェーン本体の改ざんではなく、コードの脆弱性や鍵の漏えい、フィッシングなど周辺領域で発生しています。台帳の堅牢さを過信せず、コード・資産・資金の流れのそれぞれに対策を講じる多層的な備えが欠かせません。

Q. ブロックチェーン特有の脆弱性や攻撃にはどのようなものがありますか？

A. 代表的なのは、ネットワークの過半数の計算能力を握って取引を覆す51%攻撃、スマートコントラクトのコードの不備を突く攻撃、秘密鍵の流出やウォレットドレイナーによる資産の窃取の3つです。

このほかにも、なりすましでネットワークを乗っ取るシビル攻撃、通信経路を操作するルーティング攻撃、偽サイトで鍵や承認をだまし取るフィッシングなどがあります。守りたい対象が「コード」「資産・取引」「資金の流れ」のどれにあたるかを整理すると、必要な対策の優先順位が見えてきます。

Q. 自社のサービスにスマートコントラクト監査は必要でしょうか？

A. 独自トークンの発行やNFT・DeFiの開発など、自社でスマートコントラクトを実装してブロックチェーン上にデプロイする場合は、リリース前の監査を強く推奨します。

スマートコントラクトはデプロイ後の修正が難しく、脆弱性をそのまま公開すると資産流出につながりやすいため、事前の監査が最もコスト効率の高い対策と位置づけられます。一方、既存のチェーンやウォレットを利用するだけでコードを自作しない場合は、鍵管理・取引保護やオンチェーン分析など運用フェーズの対策が中心になります。

Q. スマートコントラクト監査の費用感と依頼の流れを教えてください。

A. 費用は対象コードの規模・複雑さに応じた個別見積もりが基本で、小規模な診断なら数十万円から、複雑なプロトコルでは数百万円以上になることもあります。

一般的な流れは、対象コードと監査範囲のすり合わせ・見積もり、手動レビューや静的解析・形式検証などによる診断、検出された脆弱性のレポート提出、修正後の再診断という順で進みます。対応する監査手法・チェーン・言語やレポートの形式は会社ごとに異なるため、複数社から資料を取り寄せ、自社のプロジェクトに合った検査範囲かを比較するとよいでしょう。

Q. 暗号資産を扱う事業では、セキュリティ対策と合わせてどのような規制対応が求められますか？

A. 暗号資産の交換・管理を業として行う場合は資金決済法に基づく暗号資産交換業の登録が必要で、利用者資産の分別管理やコールドウォレットでの保管、トラベルルールへの対応などが求められます。

利用者の暗号資産を預かるカストディ業務も規制対象で、鍵管理・ウォレット保護のサービスはこうした分別管理やコールド保管の要件に対応する実装手段になります。また、暗号資産の送付時に事業者間で送付人・受取人情報を通知し合うトラベルルールへの対応では、取引相手のリスク評価を支えるオンチェーン分析・取引モニタリングが役立ちます。

• 出典：資金決済に関する法律（平成21年法律第59号）第2条第15項・第63条の2・第63条の11｜e-Gov法令検索 https://laws.e-gov.go.jp/law/421AC0000000059
• 出典：マネー・ローンダリング及びテロ資金供与対策（AML/CFT）｜金融庁 https://www.fsa.go.jp/policy/amlcftcpt/index.html

ブロックチェーンセキュリティ対策サービスの料金・資料を一括チェック

MCB FinTechカタログでは、ブロックチェーンセキュリティ対策に役立つサービスの最新資料をまとめて入手できます。仕様や対応範囲、料金プラン、導入実績などを比較し、自社に合うサービスの検討にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。