暗号資産取引所BTCBOXが半年ぶりに一部再開、パスキー必須化も出金・売買はなお停止中

日本の暗号資産取引所BTCBOXが、約半年間にわたる全面的なサービス停止を経て、8月3日にログインと暗号資産の入庫サービスを再開した。再開に伴い、ユーザーにはフィッシング耐性を備えた「パスキー」の登録が義務付けられ、登録後は従来のパスワードによるログインができなくなる。

一方、暗号資産の出庫、取引所での売買、「かんたん売買」は引き続き停止している。これらは9月以降、安全性の確認が完了したサービスから順次再開される予定であり、現時点で入庫した暗号資産を売却したり外部へ移動したりできない点に注意が必要だ。

■現在利用できる機能とできない機能

BTCBOXは8月3日月曜日の午前10時、ログインと暗号資産の入庫サービスを再開し、1月29日から続いていた約半年間の全面的なサービス停止を一部解除した。

運営会社のBTCボックス株式会社は7月31日、外部専門機関による確認作業の結果、一部サービスについて安全性の確認が完了したため、段階的にサービスを再開すると発表していた。

8月3日現在、ユーザーはBTCBOXへのログインと暗号資産の入庫を利用できる。ただし、ログイン時にはパスキー認証の登録が必須となる。

再開後の初回ログインに限り、従来のパスワードを使用する。ログイン後に必要な設定を行い、パスキーを登録すると、それ以降は従来のパスワードを使った方法ではログインできなくなる。サービス停止前に二段階認証を設定していたかどうかによって、初回ログインの手順は異なる。

一方、暗号資産の出庫、取引所での売買、「かんたん売買」サービスは依然として利用できない。BTCBOXは安全性の確認作業を継続し、9月以降、再開に必要な確認が完了したサービスから順次再開するとしている。具体的な再開日は改めて発表される。

この制限は、資金を入庫する前に理解しておく必要がある。現時点でBTCBOXへ入庫した暗号資産は、関連するサービスが再開されるまで売却も出庫もできない。それ以前に資金を利用する可能性があるユーザーは、入庫を控える必要がある。

日本円の出金サービスは、日本時間8月10日午前10時に再開される予定だ。日本円を出金するには、あらかじめ二段階認証を設定しておく必要がある。

■パスキー導入の背景とセキュリティ上の意義

BTCBOXによるパスキーの必須化は、従来のパスワード認証から公開鍵暗号方式を利用した認証へ移行する取り組みだ。

従来のパスワード認証では、ユーザーが入力する秘密情報をサービス側で検証する。パスワードがフィッシングサイトで盗まれたり、漏えいした認証情報が別のサービスへの不正ログインに使われたりするリスクがある。

SMSなどを利用した二段階認証も、パスワードだけの場合より安全性を高められるが、偽サイトがユーザーから受け取った認証コードを直ちに正規サイトへ中継するリアルタイム型フィッシングの影響を受ける可能性がある。

パスキーは、公開鍵と秘密鍵のペアを使って認証する。サービス側には公開鍵が登録され、ログイン時にはユーザー側の認証器が秘密鍵を用いて、サービスから送られたチャレンジに署名する。サービス側は、登録済みの公開鍵を使って署名を検証する。

この過程で、パスワードそのものをサービスへ送信する必要はない。ユーザーの生体情報や端末のPINも、本人確認のために端末側で利用されるものであり、BTCBOXへ送信されるものではない。

パスキーには、特定の端末や物理的なセキュリティキーに保存されるタイプのほか、AppleやGoogleなどのアカウントを通じ、暗号化された状態で複数の端末に同期されるタイプもある。このため、すべてのパスキーについて秘密鍵が必ず1台の端末から外に出ないと説明するのは正確ではない。

パスキーの重要な特徴は、登録先のウェブサイトのドメインと結び付いていることだ。btcbox.co.jp用に作成したパスキーは、見た目がBTCBOXと同じでも、ドメインが異なる偽サイトでは正規の認証に利用できない。

WebAuthnの仕組みでは、登録時に設定されたRP IDなどを基に利用先が検証される。このため、パスワードやワンタイムコードを偽サイトへ入力させるタイプの認証情報フィッシングに対して、高い耐性を持つ。

ただし、パスキーはあらゆる詐欺やアカウント被害を防ぐものではない。端末自体の乗っ取り、アカウント回復手続きの悪用、ユーザーをだまして別の取引を承認させる手口などには、別の対策が必要になる。

BTCBOXは、メール、電話、SNSを通じてパスワードや認証コードの入力・提供を求めることはないと説明している。また、パスキーや二段階認証を設定する際は、検索結果やメール内のリンクではなく、以前から登録しているブックマークやお気に入りから公式サイトへ直接アクセスするよう呼びかけている。

■サービス停止中の顧客資産の管理

BTCBOXは、サービス停止から現在まで、顧客資産の不正流出や資産被害は確認されていないと説明している。

顧客から預かっている暗号資産については、全数量をコールドウォレットに保管しているとしている。日本円については、全額を信託設定し、日証金信託銀行へ預けている。

コールドウォレットとは、暗号資産を移動するために必要な秘密鍵を、通常のインターネット接続環境から切り離して管理する仕組みだ。暗号資産そのものはブロックチェーン上に存在し、ウォレットが管理するのは、暗号資産を移動するための署名に必要な秘密鍵である。

秘密鍵をオンライン環境から分離することで、ウェブサーバーや一般的な業務システムが侵害された場合に、攻撃者が直ちに顧客資産を移動させるリスクを抑えられる。

ただし、コールドウォレットを使用しているだけで、取引所全体の安全性が保証されるわけではない。取引指図の生成、承認手続き、秘密鍵の利用方法、委託先の管理、管理者権限、内部統制など、資産移動に関係する一連のプロセスを保護する必要がある。

BTCBOXは暗号資産を全数量コールドウォレットで保管していると説明しているが、個々の出庫についてどのような署名手順や承認フローを採用しているかまでは、今回の公式発表では明らかにしていない。このため、すべての出庫について人が個別にオフライン署名していると断定することはできない。

■DMM Bitcoin事件との違い

2024年5月には、DMM Bitcoinから4,502.9BTC、当時約482億円相当が不正流出した。

警察庁や米連邦捜査局などは、この事件に北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」が関与したと特定した。同グループは、DMM Bitcoinが利用していたウォレットソフトウェアの提供会社Gincoの従業員に、採用担当者を装って接触した。

攻撃者は、採用試験を装った悪意のあるPythonスクリプトを実行させ、従業員の業務環境と認証情報を侵害した。その後、Ginco側のシステム環境に不正アクセスし、DMM Bitcoinから出された正規のトランザクション指図に不正なデータを加えたとされる。

ただし、Gincoは暗号資産や秘密鍵そのものを保管・管理しておらず、DMM Bitcoinのコールドウォレットを操作する権限もなかったと説明している。この事件を「外部業者が秘密鍵や署名権限をオンラインで保有していた事例」と単純に説明するのは正確ではない。

また、BTCBOXがコールドウォレットを利用しているからといって、DMM Bitcoin事件で使われたような委託先、認証情報、取引指図を狙う攻撃経路がすべて排除されるとも断定できない。

今回確認できるのは、BTCBOXが停止期間中も顧客暗号資産を全数量コールドウォレットで保管し、不正流出や資産被害は確認されていないと公表していることだ。

■サービス停止の経緯

サービス停止のきっかけとなったのは、2026年1月15日に確認された情報管理上のインシデントだ。

BTCBOXが外部関係先との業務提携に向けて資料を共有する過程で、関係先による資料の取り扱いの結果、第三者が資料を閲覧できる状態になった。

閲覧される可能性があった資料には、顧客39人の氏名、電話番号、メールアドレスなどの個人情報が含まれていた。BTCBOXは関係先へデータの削除を要請し、事実関係や業務管理体制の確認を進めた。

同社は2026年1月28日、当初は1月29日午前0時から12時間の予定で全サービスを停止すると発表した。しかし、追加の確認作業が必要になったため、停止期間を終了時刻未定に延長した。

停止対象には、ウェブサイトとアプリへのアクセス、口座開設、暗号資産取引、日本円と暗号資産の入出金、取引履歴の照会など、すべての機能が含まれていた。

2026年2月5日には、関東財務局から資金決済法第63条の15第1項に基づく報告徴求命令を受けたことを公表した。これは業務や財産の状況などについて報告や資料の提出を求めるものであり、業務改善命令とは異なる。

その後、BTCBOXは外部専門機関の支援を受けて業務管理体制やシステムの点検、安全対策を進め、一部サービスについて安全性の確認が完了したとして、8月3日から段階的な再開に踏み切った。

■BTCBOXの登録と過去の規制対応

BTCボックス株式会社は2014年3月に設立され、同年4月にBTCBOXのサービスを開始した。

一方、金融庁・財務局への暗号資産交換業者としての登録は2014年ではない。日本で暗号資産交換業の登録制度が始まったのは2017年であり、BTCボックス株式会社は2017年9月29日、関東財務局長第00008号として登録された。

同社は、金融庁が認定する自主規制団体である日本暗号資産等取引業協会（JVCEA）にも加盟している。

2018年6月には、金融庁から業務改善命令を受けた暗号資産交換業者6社のうちの1社となった。BTCBOXについては、経営管理、マネーロンダリングおよびテロ資金供与対策、帳簿書類の管理、利用者保護、システムリスク管理などの態勢について改善が求められた。

したがって、BTCBOXの評価にあたっては、2014年からサービスを運営していること、2017年から登録業者であること、停止中に顧客資産の不正流出が確認されていないことに加え、過去に規制当局から業務改善を求められた経緯も考慮する必要がある。

■日本の暗号資産規制の改正

日本では2026年7月15日、「金融商品取引法及び資金決済に関する法律の一部を改正する法律」が成立し、7月23日に公布された。

改正法は、暗号資産の現物取引や取引業者に関する主要な規制を、資金決済法から金融商品取引法の枠組みへ移す。情報公表制度、業者規制、不公正取引規制、インサイダー取引規制などが整備される。

ただし、暗号資産が株式や社債と同じ「有価証券」になるわけではない。改正法では、暗号資産は有価証券とは別の金融商品として位置付けられ、その性質に応じた規制が適用される。

このため、「ビットコインやイーサリアムが株式や債券と同じ規制カテゴリへ移る」と説明するのは正確ではない。より正確には、暗号資産を有価証券とは区別しながら、投資対象として金商法による情報提供、業者管理、市場監視の対象にする制度改正である。

暗号資産に関する主要な規定は、公布日から1年を超えない範囲で政令が定める日に施行される。2026年8月4日時点では、その施行日を定める政令はまだ確認できない。

■責任準備金をめぐる注意点

暗号資産取引業者に対し、不正流出時の利用者補償に備えた責任準備金を求める制度も議論されてきた。

従来の報道では、証券会社が積み立てる20億円から400億円程度の責任準備金が参考例として挙げられていた。ただし、この金額がそのまま個々の暗号資産取引業者へ適用されると決まったわけではない。

したがって、BTCBOXに20億円から400億円の準備金維持が義務付けられると断定することはできない。具体的な積立方法、保険による代替、金額の計算基準などは、施行政令や内閣府令、監督上の細則を確認する必要がある。

■暗号資産に対する20％の申告分離課税

2026年度税制改正では、一定の暗号資産取引について、他の所得と分けて税額を計算する申告分離課税が導入された。

税率は所得税と住民税を合わせて20％であり、復興特別所得税を含めた実効税率は20.315％となる。対象となる損失には、3年間の繰越控除も設けられる。

ただし、すべての暗号資産取引が一律に分離課税の対象になるわけではない。対象は、税法上の条件を満たす特定暗号資産を、暗号資産取引業者を通じて譲渡する場合などに限定される。

海外取引所、分散型取引所、個人間取引を通じた譲渡や、マイニング・ステーキング報酬の取得時などは、引き続き総合課税の対象となる可能性がある。同じ暗号資産でも、取引経路によって課税方式が異なる場合がある。

分離課税の適用は、暗号資産に関する改正金商法の施行日が属する年の翌年1月1日以後の譲渡から始まる。2026年8月4日時点では施行日を定める政令が未制定であるため、「2028年に施行される」と断定するのではなく、「現時点では開始日が確定していない」とするのが正確だ。

BTCBOXが登録業者であることは、将来的に同社を通じた一定の取引が分離課税の対象となるための重要な条件になる。ただし、BTCBOXで取り扱われるすべての暗号資産や、同社を通じたすべての取引が自動的に対象になるとは限らない。

■BTCBOXは現在安全に利用できるのか

現時点で断定的に「安全」と評価するのは適切ではない。利用目的ごとに、確認できている事実と未確定の要素を分けて判断する必要がある。

資産管理については、BTCBOXは顧客暗号資産を全数量コールドウォレットに保管し、日本円を全額信託設定して日証金信託銀行へ預けていると説明している。また、停止期間中の不正流出や顧客資産の被害は確認されていないとしている。

アカウント認証については、パスキーの必須化によってパスワードや認証コードを盗むフィッシングへの耐性が高まる。ただし、パスキーだけですべての詐欺、端末侵害、不正取引が防止されるわけではない。

サービス面では、暗号資産の出庫と売買が停止している。現在入庫した資産は、関連サービスが再開されるまで動かせない。この制約を理解せずに資産を入庫することは避けるべきだ。

規制対応については、2018年の業務改善命令と、2026年の情報管理上のインシデントおよび報告徴求命令を考慮する必要がある。

利用を再開するかどうかは、パスキー導入や顧客資産の管理状況だけでなく、今後発表される暗号資産出庫・売買サービスの再開条件、再発防止策、業務管理体制に関する説明を確認したうえで判断するのが妥当だ。

■注目ポイントQ&A

●今すぐBTCBOXから暗号資産を出庫できますか？

いいえ。8月3日現在、暗号資産の出庫、取引所での売買、「かんたん売買」は停止されたままです。暗号資産を入庫することはできますが、関連サービスが再開されるまで売却も出庫もできません。

BTCBOXは、9月以降、安全性の確認が完了したサービスから順次再開するとしています。具体的な再開日はまだ発表されていません。それ以前に資金を利用する必要がある場合は、入庫を控えてください。日本円の出金は8月10日午前10時に再開される予定です。

●パスキーとは何ですか？

パスキーは、公開鍵暗号方式を利用する認証情報です。BTCBOX側には公開鍵が登録され、ユーザー側の端末や認証サービスが保持する秘密鍵を使ってログイン要求へ署名します。

パスキーは登録先のドメインと結び付いているため、BTCBOXに似せた別ドメインの偽サイトでは正規の認証に利用できません。この性質により、パスワードやワンタイムコードを盗むフィッシングに対して高い耐性があります。

パスキーには端末に固定されるタイプと、暗号化された状態で複数端末に同期できるタイプがあります。すべてのパスキーが必ず1台の端末内だけに保存されるわけではありません。

●BTCBOXのコールドウォレットは暗号資産をどのように保護していますか？

コールドウォレットは、暗号資産を移動するための秘密鍵を、通常のインターネット接続環境から切り離して管理する仕組みです。オンラインシステムが侵害された場合に、攻撃者が秘密鍵を直接取得するリスクを抑えられます。

ただし、安全性は秘密鍵の保管場所だけで決まるものではありません。取引指図、承認フロー、管理者権限、外部委託先、システム間通信なども適切に保護する必要があります。

BTCBOXは顧客暗号資産の全数量をコールドウォレットで保管していると説明していますが、個々の出庫における具体的な署名・承認手順までは明らかにしていません。

●BTCBOXは2014年から金融庁に登録されているのですか？

いいえ。BTCボックス株式会社は2014年に設立され、同年にBTCBOXのサービスを開始しましたが、暗号資産交換業者として登録されたのは2017年9月29日です。登録番号は関東財務局長第00008号です。

●暗号資産の税率は2028年から一律20％になりますか？

2028年開始と確定したわけではありません。一定の暗号資産取引に20％、復興特別所得税を含めて20.315％の申告分離課税を導入する制度は成立していますが、開始日は改正金商法の施行時期に連動します。

2026年8月4日時点では、暗号資産関係の規定の施行日を定める政令がまだ制定されていません。また、海外取引所、分散型取引所、個人間取引、マイニングやステーキングなど、分離課税の対象外となる取引もあります。

個別の取引にどの課税方式が適用されるかについては、制度の施行前に公表される政省令、国税庁の通達やFAQを確認し、必要に応じて税理士へ相談してください。

元記事: BTCBOX Ends Six-Month Shutdown: Passkeys Replace Passwords, Withdrawals Pending