ウォール街は「トラストレス」なセキュリティの約束を信用しない

暗号資産取引所は、数百万人の人々や企業がデジタルマネーを保管・移動する主要な場所となっています。業界データによると、暗号資産市場は現在、24時間の取引高で約1,900億〜1,920億ドルを記録しています。取引所がマルチアセット取引の場へと拡大するにつれ、セキュリティメカニズムはウォレットを超えて、本人確認、権限、価格設定、決済へと進化しています。しかし、規制当局からの圧力が高まっているにもかかわらず、そのセキュリティーは依然として不十分です。

業界推定によると、2025年には30億ドル以上の暗号資産が盗まれました。さらに、単一のインシデントで10億ドル以上の損失が発生したケースが複数ありました。これらは小規模で資金不足のプラットフォームだったのでしょうか?いいえ、違います。

最大規模のハッキングは、十分な資本と技術を持つ主要なグローバル取引所で発生しました。つまり、保護に割り当てられるリソースの不足が問題ではなく、マーケティングとして扱われているセキュリティーそのものが問題だったのです。

業界の多くは、セキュリティーを運用規律ではなくパフォーマンスとして扱い続けています。取引所は表面上説得力があるように見えるものに投資します。ダッシュボード、準備金スナップショット、保護基金、公式声明などです。それは安心できるように見えますが、日々のリスクがどのように管理されているかを証明するものではありません。

そのため、セキュリティーが見せびらかすためではなく、実行されるように設計されない限り、最大規模のプラットフォームでさえ脆弱なままです。そして、ストレスがかかると、その脆弱性はすぐにユーザーに波及します。

見せかけのセキュリティーは危険

実際に起こっているのは、私が「セキュリティシアター」と呼ぶものです。これは、取引所が実際に安全であることよりも、安全に見えることに焦点を当てている状態です。そのため、焦点は見出しや洗練された声明などの見た目に移り、実際のガバナンスは弱いままです。

私はこのような考え方がどのように定着するかを見てきました。ビジネスが成長しているとき、迅速に動き、ユーザーにとってすべてをスムーズに保つ必要があります。このような状況では、セキュリティ管理は摩擦となります。それらは、追加の手順を加え、「誰がこの振替を承認できるのか?」や「間違った人がアクセスした場合はどうなるのか?」といった不快な質問を引き起こすことで、意思決定を遅らせます。そのため、多くのプラットフォームは内部の規律よりも表面的な自信を好みます。

そして大きな問題は、この誤った自信がストレスに耐えられないことです。2024年7月、インドのWazirXは約2億3,500万ドルのホットウォレット侵害を受け、出金を停止しました。私の見解では、これは「すべてが順調に見える」状態がいかに早くユーザーが資金にアクセスできなくなる事態に変わるかを示す有用な警告です。

これがポイントです。セキュリティーはページでもロゴでも基金でもありません。それは、お金がどのように動くか、誰がアクセス権を持つか、そして何か問題が発生したときにケースがどのように処理されるかを制御する日々のルールなのです。

真の信頼を得るために取引所が証明すべきこと

本物の取引所セキュリティーは、ストレスに耐えるシステムであり、それをテストすることができます。私の経験から、それには3つの核となる特徴があります:

• 顧客残高の完全な裏付けを証明すること、
• お金の動きを管理すること、
• 危機時に迅速に対応すること。

準備金証明は、システムがストレスに耐えられることを実証するための出発点です。簡単に言えば、特定の資産が存在するという証拠です。しかし、取引所があなたに何を負っているか、取引所に問題が発生した場合にあなたのお金にどのようなルールが適用されるか、または多くのユーザーが一度に出金したときに数字が正確かどうかについてはほとんど語っていません。そのため、透明性は双方向であるべきです。

資産と負債を明確に示し、独立したチェックを行う必要があります。そして「証明」は、例えば、ユーザーが残高を公開せずに包含を確認できる暗号化手法を通じて、検証可能であるべきです。

次に、ほとんどの「セキュリティページ」が避けている部分、つまり会社内部の厳格なルールがあります。単独の人物が顧客資金を動かすことができてはならず、異常な活動はレビューをトリガーする必要があり、大規模な振替は少なくとも2人の承認を必要とする必要があります。これらの管理が整っていれば、1つの侵害されたアカウントがプラットフォーム全体で連鎖反応を引き起こすことはできません。

取引所がマルチアセットプラットフォームになりつつあるため、これらのルールにはもう1つの目標が必要です。それは、権限のミスや価格異常がクロスアセット強制決済に波及するのを防ぐことです。

迅速なインシデント対応は、真のセキュリティーの最終テストです。真剣な取引所は、最初の1時間に何が起こるかを正確に把握し、侵害を隔離し、重要なフローを一時停止し、明確にコミュニケーションを取ります。遅延と沈黙は時間を買うものではありません。それらは単に損害を増大させるだけです。

もちろん、これらの対策はすべての可能なリスクをカバーするものではありません。それでも、それらは真の取引所の耐久性の骨格を形成します。つまり、日常的なインシデントがシステム的な障害に変わるのを防ぐ種類のものです。

2026年までに、「私たちを信じて」ではコストが高すぎる

取引所が顧客を維持し、真剣な機関投資家の資本を引き付けたいのであれば、安全ショーの演者のように振る舞うのをやめなければなりません。安心させる言葉や洗練されたページは、静かな瞬間に人々を落ち着かせるかもしれませんが、大きな危機が襲ったときには失敗します。

大口投資家は、すでにセキュリティーを基本的なカウンターパーティーリスクとして扱い始めています。彼らは、管理の証拠、職務の分離、独立した保証、そしてプレッシャーの下で機能する対応計画を求めています。

したがって、2026年には、ホームページの単純な「私たちを信じて」では十分ではありません。1つのミスがプラットフォームを枯渇させる可能性があるのか、それともシステムがそれを阻止するのか?事後の説明ではなく、実行される制限と承認でそれを証明できますか?これらは、日常のユーザーと大口投資家の両方が尋ね始めている質問です。

結局のところ、セキュリティーとは、損害を軽減し、悪い決定を遅らせ、ストレスの下で持ちこたえるシステムを構築することです。その変化を遂げる取引所は信頼を保ち続けます。そうでない取引所は、同じ教訓を困難な方法で学び続けることになります。