piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

Coincheck不正送金に関連する一部のウォレットを調べてみた

Coincheckの不正送金事案の不正送金元から流出しているXEMの行方について、2018年2月6日頃からHidden Service上で不正送金されたXEMビットコインライトコインとの換金が可能な取引所を開設されました。

またこの取引所開設に合わせて以下の関連する報道が出ています。

ここではこれらに関連するXEMの動きについて調べた内容をまとめます。またまとめた情報は2月11日5時頃のデータに基づくものであり、適宜更新します。

取引所とみられるウォレットとXEMの動き

コインチェックのウォレットから送金された526,300,010 XEMは複数のウォレットに分散されました。この内、約300万XEMが複数のウォレットに送金されましたが、2月7日頃から送金先のウォレット数が増加する傾向を示しました。

多数のウォレットに送金をしているものとして主に次が該当します。

ウォレット 送金件数 送金総額 送金期間
NA6OMO3K2NXTVXUWH7UIM4KRXSVHNKA4DEYCSV4H 14件 約53,754 XEM 2018/2/6 22:08:09 〜 2018/2/8 21:03:13
NCVPRFXRIDDF7PXKBF6CKKI76H3M5H5TSXT5K575 275件 約4,993,382 XEM 2018/2/8 0:46:01 〜 2018/2/10 3:48:20
NCMWFB2PF7FW5I27YVIIXB676S6XR4JG3IYY6YGH 237件 約6,742,526 XEM 2018/2/9 20:04:02 〜 2018/2/11 2:30:19
NCQ7XXA6QXZJXOPYRD2UXPTNV3MHR527JUQHXGHE 114件 約852,627 XEM 2018/2/10 14:08:01 〜 2018/2/12 1:03:58
NAKHTVQ3ZFFXJVLRL6ZUKQ7SKZCP2TD5RQVMX4HZ 156件 約1,968,717 XEM 2018/2/11 5:30:03 〜 2018/2/11 15:20:01
NA7O2PTEP5XHJ5DNDTLJB232L33QCDTVECRL2QZO 101件 約239,943 XEM 2018/2/11 17:24:31 〜 2018/2/12 1:10:02
NAJOBVTX5OHU6O64AWA62R65J6VBOXNGYJPA74QX 142件 約869,278 XEM 2018/2/12 1:03:58 〜 2018/2/12 13:44:01
NAZZKT62TPIMS5NPZLFNZSMZX65V3OYVBZJM3YNS 170件 約556,534 XEM 2018/2/12 14:24:03 〜 2018/2/13 4:38:01
NCIM74WZN2DO4DGJMOCAPCHIIWXODLFKRE36SZX5 125件 約592,879 XEM 2018/2/13 4:50:01 〜 2018/2/13 16:04:02
ND5EAK6USPLJLJNJGLF74SEDJDYXWJ4OGOKT7H2A 1,029件 約30,332,830 XEM 2018/2/13 16:18:02 〜 2018/2/16 3:46:02
NB3VV45GCK5SMINKYZIN7LFUYPOCY7BDO3GLX4YT 1,586件 約80,352,438 XEM 2018/2/16 4:00:03 〜 2018/2/21 2:35:37
NC4KHXSB3DYQLQZLARVRLBHMS5CMIIV4ACGXKOB2 576件 約20,125,262 XEM 2018/2/21 2:42:01 〜 2018/3/2 2:39:35
NDAC2G5W5E6BK55WWXSWMNTWFU6KY6OHQEQ6JY2A 4件 約166,368 XEM 2018/3/2 2:37:44 〜 2018/3/2 16:28:34
NBEAUKXJLBJXXTPXN2OPIX3LZQWWZA56IQO2P5S3 7,587件 約384,932,680 XEM 2018/3/2 3:32:03 〜 2018/3/22 18:47:56
合計 12,116 件 約532,774,410 XEM

(2018年3月23日1時時点)

日付別の推移は以下の通り。

ウォレットの残高はHidden Service上に設置された取引所に示された取引可能額を示したと見られる「Available」と数値が一致しているとの指摘があります。

また、コインチェックXEMを二次送金したウォレットの多くは動きがない状態が続いていましたが、2月9日頃よりこれらのウォレットでも先ほど示したウォレットに対して送金する動きが出始めました。
先ほどのウォレットへのXEMの入金の流れを整理したものが次の図です。

送金を受けているウォレット側の動き

piyokangoが把握してるだけでも150以上のウォレットが送金を受けているため数が多く全部は追いかけきれていませんが、Yobitとみられる仮想通貨取引所のウォレット「NBRT3YQTVHLTYBDUXH2HHURI5KCYDWRWJ63YWIGG」へ送金する動きが報告されています。

この時 確認した範囲では次のウォレットが先ほどのウォレットから送金された全体の7割近くを占めており、その内の4つでYobitとみられるウォレットへの送金を確認しました。

送金を受けていたウォレット TOP5 入金総額 Yobitとみられるウォレットへの送金額
NACPIG2TG5FS6EUFX3IEXROXQG3N6ERMLLASBV64 約3,358,361 XEM 約3,062,459 XEM
NCK4WCEOR2SBWJ4O45SNEECQVVUM3AC6DTMRL4BT 約2,681,754 XEM 約2,381,743 XEM
NDUZU7FEF5XXAE3DT4UTCTYQQHYK2ZJLCRCASP4I 約566,252 XEM 約566,243 XEM
NDDENEUZIWEAOWC6B3VTAA3D4GJMJHTV2BYPY7JE 約464,472 XEM 無し
NB2Z6LKVWKNWDONIK3AU7HRMKYA3LCUOJAVQQJJW 約399,953 XEM 約39,9952 XEM

YOBITの取引所で取り扱い量ですが、ここ数日のビットコインへの換金量が相当程度増えているようです

2月9日 送金ミスしても返してくれる?

先ほどのTOP5にランクインしているウォレット「NDUZU7FEF5XXAE3DT4UTCTYQQHYK2ZJLCRCASP4I」が送金先を間違えたらしく、換金元のウォレットへ37,258 XEMを送ってしまい、返してくれとメッセージを送っていました。

メッセージを送って6時間ほど経った後に手数料が引かれることなく同額が返されていました。

2月9日 YobitがXEMの受付を停止し、HitBTCに移った?

  • YobitでのXEM/BTCが2月10日をピークに減少している。

2月12日時点で送金された全体の9割であたる送金先上位100ウォレットを確認したところ、45の二次送金先のウォレットを確認した。送金額トップ1位はYobit(NBRT3YQTVHLTYBDUXH2HHURI5KCYDWRWJ63YWIGG)、2位はHitBTC(NBX3QKZJV2UPO3NJ5ULTFW2V5EE4N2I5N2REX7PO)とみられるウォレットに送金されている模様。

二次送金先ウォレット 送金額 送金件数
NBRT3YQTVHLTYBDUXH2HHURI5KCYDWRWJ63YWIGG (Yobit) 約9684317.1 XEM 269件
NBX3QKZJV2UPO3NJ5ULTFW2V5EE4N2I5N2REX7PO (HitBTC) 約1832011.6 XEM 66件
NAWEPZH4KEVVO7FONK3QDV4H3FC2R6DUXBBG6ODQ 約505370.0 XEM 20件
NCGNOKGD5A3EM7QWG4NSHV24YS5KUJWKI4WC5XF3 約463971.0 XEM 2件
NCEOXD2NNTMXBSFZ5JGAI7H3I5FQKV3HR3DVJTIP 約355660.0 XEM 21件
その他 約886576.1 XEM 180件

Yobit,HitBTCとみられる取引所への日別の推移をまとめると次の通りとなった。

2月11日 警視庁が取引所で換金した男性聴取の報道

2月17日 突出した取引高の2ウォレットの存在

2月10日頃より、突出した取引高を持つウォレット2つが確認されている。この2つだけで2月17日時点で取引されたとみられるXEM総額の内、約6割近くを占めている状況。

以下は2月19日6時頃の状況。

No ウォレット 入金総額
1 NBLNAYJ6BXEZ5MEKLRHCPVZ6V3XG3IMOUOJMS7KJ 約36,773,293 XEM
2 NCS7SDTQPSBTQJGTTJXPXV6FRBQTBTPHHRNLNFDC 約13,498,773 XEM

この2つのウォレットから大きな金額が取り扱われた二次送金先ウォレットをまとめると次の通り。(2月17日時点)

二次送金先ウォレット No.1からの送金額 No.2からの送金額
NCITYN5JXPCC55IPZADE7UWJFYUPCMIJ66NXCCEP 7490570 XEM
NCYAVMNQOZ3MZETEBD34ACMAX3S57WUSWAZWY3DW 6540789 XEM
NC6SNCGD2WT44BEOUQRWYTBZMGJMLO25UT5DNBWN 6395455 XEM
NCEOXD2NNTMXBSFZ5JGAI7H3I5FQKV3HR3DVJTIP 5104608 XEM
NB4MJ4MZXNAVN3ZTNHBMR6WYE27NDX3OD7HTRXMU 1984548 XEM
ND2JRPQIWXHKAA26INVGA7SREEUMX5QAI6VU7HNR 1633799 XEM 1336417 XEM
NBFV7EREDJRYHJ3ODEIMMF2SSXT37D7ZFFN47UDW 1551430 XEM
NBZMQO7ZPBYNBDUR7F75MAKA2S3DHDCIFG775N3D 185919 XEM
NBX3QKZJV2UPO3NJ5ULTFW2V5EE4N2I5N2REX7PO 665537 XEM 478743 XEM
NCCFO5QDFV5FS3BTBPEU2QO6UHZD7PHGFNCPISDL 90788 XEM

尚、この2つのアドレス間での送金も確認されており、2017年12月24日2018年2月14日15日に合計1010XEMの送金が行われている。

この内、12月24日の取引では「С наступающим」と書かれたロシア語のメッセージ(英語訳:Holiday greetings)が残っている。

2月20日 取引所のXEM 在庫切れが発生?

2月20日午後より取引所で交換されていたとみられるXEMの在庫がつきかけた状態となっていたとみられ20日は17時42分の送金を最後に翌1日まで動きがなかった。Avairableの数値も二桁程度まで落ち込んでいたのが観測されています。

翌日21日2時過ぎにNC4KHXSB3DYQLQZLARVRLBHMS5CMIIV4ACGXKOB2から100万XEMが送金された。
100万XEMがNC4KHXSB3DYQLQZLARVRLBHMS5CMIIV4ACGXKOB2から送金される手前で、不正送金が行われた二次送金先NA7SZ75KF6ZKK267TRKCJDJBWP5JKIC2HA5PXCKWから2000万XEMの送金を受けていました。さらに40分程度たった3時過ぎにも2000万XEMが改めて送金されています。

2月21日 HuobiでXEMの受け入れ停止、取引量も急減

2月20日頃にHuobiがNEM.io財団のコミュニティ関連の問題を受けてとして、XEMの入出金を停止する措置を取ったことがアナウンスされました。

取引所の送金元とみられるウォレットからの送金額も21日を境に金額、件数ともに急減しています。

不正送金に関係なく、この措置の対象範囲は全ユーザーに及んでいる模様。

2月25日 Coinpaymentsからの換金の動き継続、送金先の取引所に変化

  • NAWY52S4MBWST5JDXDSA4BDDF5GR2CJZ3IZ2DUX7の2月25日の動き
    • 13時半頃を境にCoinpayments ⇒ Bittrexから Coinpayments ⇒ Zaif、Coinpayments ⇒ Livecoinとなっている経路に変更。
    • Bittrexが約140万XEM、残り(Zaif、Livecoin等)に約20万XEM

3月2日 しんぶん赤旗Zaifへ大量送金と報道

  • 交換業者へ流れている金額総額は2400万XEM以上と指摘。
  • この数字は他追跡を行っているリサーチャーらによると計上の仕方は正しくないとの指摘。
  • Huobiから

3月6日 XEMの送金に関してテックビューロがコメント

  • Zaifを運営するテックビューロがコメントを発表。*1
  • ZaifXEMの送金を相当額受け取っているとみられ、方々から取材依頼があるなど、その対応に注目が集まっていることによる。
  • コメントは以下内容となる。
    • 各国の司法機関から対応が求められた場合は捜査協力する。
    • 一部報道は事実と異なるが、捜査事案であり情報公開は捜査等の阻害が懸念される。

3月6日 CoinpaymentsがメンテナンスとしてXEMの受け入れを一時停止

  • 各取引所へのHubとかなっていたCoinpaymentsが15時頃からメンテナンス。
  • これにより、XEMの流れは交換後のウォレットから取引所に直接流れる動きがみられる。

3月21日 二次送金先のウォレット在庫が0に

  • Coincheckのウォレットから送金されていた二次送金先すべてのウォレットの在庫が0になった。
  • 二次送金先に入っていたウォレットはすべて取引所で利用されているとみられるウォレットに移動された。
  • 在庫が残り少ないことを意図してか「WARNING!!! LAST RESERVE!!!」といった赤い文字が追加された。


3月22日 取引所の販売終了

  • 2018年3月22日18時47分頃、取引所のReserveに表示された数字(販売用流出XEMの在庫)がゼロとなった。
  • これを受けて取引所は販売を終了し、「Thank you」とだけ表示されたWebサイトへ更新された。
  • 挿絵は「Kim-Jong-un money」でGoogle画像検索すると表示される1番目のものと同じファイル。


集計から除外したウォレット

集計にあたって以下の送金を行っている当事者やMosaicを送っているウォレットは金額や件数から除外しています。送金されるかどうかを検証している人などもいて十分に精査が出来ていないため除外対象は増えるかもしれません。

NC4C6PSUW5CLTDT5SXAGJDQJGZNESKFK5MCN77OG
NCM6WE7SJFDVTLSPTMZGBUZUETDYINITILS3DCIZ
NBVWA3S2PAXPXT7X52HKEKNDVNMBG3ZATYED6MIY
NBGWETQN4Q3FETCG7JCBP5S22RI5643JBSYVHA7Z
NBXIJZQS66IZ4KYV3QHM74MZWQCU2B6R3H65MPSM
NA6OMO3K2NXTVXUWH7UIM4KRXSVHNKA4DEYCSV4H
NCVPRFXRIDDF7PXKBF6CKKI76H3M5H5TSXT5K575
NDZZJBH6JZPYSWRPRYHALLWMITWHOYTQGXR53HAW
ND3BDYXAYOY7M5XR2EIRPAG43Z3LSDGQXJOPY4BK
NCMWFB2PF7FW5I27YVIIXB676S6XR4JG3IYY6YGH
NCP733VKRNJ2P2MU2Y7SHZ2OBGHMDY5A4KBY5HPH
NCU63AYO6RS2ISG4UEP5CALTKVQOB4FUTYIYXUAV
NDGLD5YU72S2XSUQ3XBBIQRA6BIX5JACZ3KO55KO
NCTWFIOOVITRZYSYIGQ3PEI3IMVB25KMED53EWFQ
NC2EWSUL5NQKJ2R7CTRHU73YPLXLK5YEHC4HDT6X
NAKHTVQ3ZFFXJVLRL6ZUKQ7SKZCP2TD5RQVMX4HZ
NCQ7XXA6QXZJXOPYRD2UXPTNV3MHR527JUQHXGHE
NAJOBVTX5OHU6O64AWA62R65J6VBOXNGYJPA74QX
NA7O2PTEP5XHJ5DNDTLJB232L33QCDTVECRL2QZO
NAZZKT62TPIMS5NPZLFNZSMZX65V3OYVBZJM3YNS
NCIM74WZN2DO4DGJMOCAPCHIIWXODLFKRE36SZX5
ND5EAK6USPLJLJNJGLF74SEDJDYXWJ4OGOKT7H2A
NB3VV45GCK5SMINKYZIN7LFUYPOCY7BDO3GLX4YT
NC4KHXSB3DYQLQZLARVRLBHMS5CMIIV4ACGXKOB2
NDAC2G5W5E6BK55WWXSWMNTWFU6KY6OHQEQ6JY2A
NBEAUKXJLBJXXTPXN2OPIX3LZQWWZA56IQO2P5S3

更新履歴

  • 2018年2月10日 AM 新規作成
  • 2018年2月11日 AM その後の動きと警視庁の任意聴取の件を追記
  • 2018年2月12日 AM その後の動きを反映
  • 2018年2月12日 PM 取引所とみられるウォレットへの送金の状況を追記
  • 2018年2月16日 AM その後の動きを反映
  • 2018年2月17日 AM その後の動きを反映
  • 2018年2月18日 AM 突出した取引高2ウォレットの送金日に漏れ、リンク先に誤りがあったため修正。
  • 2018年2月18日 AM NAKHTVQ3ZFFXJVLRL6ZUKQ7SKZCP2TD5RQVMX4HZとNA7O2PTEP5XHJ5DNDTLJB232L33QCDTVECRL2QZO、NAJOBVTX5OHU6O64AWA62R65J6VBOXNGYJPA74QXの計算が誤っていたため修正。
  • 2018年2月18日 AM その後の動きを反映
  • 2018年2月19日 AM その後の動きを反映、ロシア語メッセージ訳を修正
  • 2018年2月20日 AM その後の動き、ND5EAK6USPLJLJNJGLF74SEDJDYXWJ4OGOKT7H2Aのループしていた金額分を反映
  • 2018年2月21日〜 2018年3月6日 AM その後の動きを反映