弊社は多くのお客様が、この週末に発生したメールの開示について懸念しており、多くの疑問をお持ちであることを認識しております。
世界中の弊社のチームは、お客様のアカウントのセキュリティを保護し、業務を再開するために24時間体制で作業を行っています。弊社のサポートチームはすでに多くのユーザーとやり取りを行っており、今後も皆様との連絡を取り続けていきます。これは段階的なプロセスであり、すべての適切なプロセスに従っていること、対処がロジスティックス的にスムーズであること、およびすべての根本的なセキュリティ上の懸念が適切にカバーされていることを保証するためのものです。弊社からの連絡をまだ受け取っていない方にも近日中に連絡させて頂きます。
ご心配をおかけして申し訳ございません。ここでは、発生した事象の詳細、弊社がお客様をサポートする方法、お客様の保護を向上させるためにお客様が実行できる手順について説明します。
何が起きたかに関して
BitMEXはグローバルに展開しており、多くの異なるEメールプロバイダにEメールを送信します。電子メールの配信能力自体は、送信者のレピュテーションシステムや自動スパムフィルタの構築などの何十年にもわたる努力を含む、多くの階層からなる問題です。これにより残念ながらBitMEXのような大規模なサービスの仕事を時に困難とします。私たちは、極稀なイベントの際のみ全ユーザーにメールを送り、必要な情報と雑音の比率を高く維持し、絶対に必要な時だけメールを送るようにしております。
弊社が11月1日に公表したインデックスの変更は弊社の全ての製品の価格に影響を与えるため、全てのBitMEXユーザーにそれを知らせる必要があると判断しました。しかし、このように大量のメールを送信する際は、すべての受信者に対してグローバルな規模で正しく調整することが困難となります。一部のメールサーバ、特にYahooや163のような大企業のグローバル部門は、非常に厳しい制限があり、大量のメールを送信するときには頻繁に制限がされます。出金、パスワードのリセット、清算などのシステム通知では、顧客がメールを確実に受信することが不可欠です。
この問題を解決するために、重要なメールのレンダリング、翻訳、ステージング、および(レートリミットをトリガーしないような)段階的な部分送信を処理する社内システムを構築しました。BitMEXは2017年以来、すべての顧客に一斉にメールを送ることはしておらず、それ以来多くのことが変化しました。送信を開始した際は、送信が完了するまでに10時間以上かかることが明らかになり、ユーザーがより妥当な時間尺度で同じ資料情報を受信できるようにすることがチームに求められました。
これに対処するために、ツールは1,000アドレスのバッチで単一のSendGrid API呼び出しを送信するように素早く書き換えられました。残念ながら、時間の制約により、これは通常の品質保証プロセスを通過しませんでした。このAPI呼び出しによって、連結されたTo:フィールドが作成され、顧客の電子メールアドレスが漏洩することは、すぐには理解されませんでした。この問題を察知した段階で、それ以上の電子メールの送信を阻止し、根本原因の対処を行いました。
BitMEXはエンジニアリングを真剣に考えている会社であり、このような配慮の不足が顧客に望まない情報開示をもたらしたことを大変残念に思っています。こうした失敗の原因は、エンジニアではなくプロセスにあると考えています。弊社のプロセスはここで失敗しましたが、24時間体制でプロセスを改善し、一見非常に単純に見えるコード変更であっても厳格な審査を受けるようにしています。
さらに、本件とは関係なく、BitMEXのTwitterアカウントが外部の個人によってアクセスされました。アカウントは6分以内にBitMEXの管理下に戻り安全が確保され、セキュリティレビュー中です。
メールアドレス以外の個人情報やアカウント情報は一切公開されておらず、当社の基幹システムにリスクはありませんでした。
影響を受けたユーザーに関して
多くのBitMEXユーザーは、このアクションの影響を受けました。以下の手順で影響の有無を自己診断できます。
- インデックスの変更に関する電子メールを受信し、ユーザーの電子メールだけが [宛先:]フィールドに唯一表示されていた場合は、影響を受けていません。
- インデックス変更の電子メールを受信し、 [宛先:]フィールドに複数のアドレスが表示されている場合は、影響を受けています。
- インデックス変更のEメールを受信していないにもかかわらず、このEメールを受信した場合は、影響を受けたと考えてください。システムが完了する前に停止されていましたが、多くの受信者は不満のため、またはそれ以上の電子メールを止めることを期待して、BitMEXの電子メールをスパムとマークし始めました。これはいくつかのホストで配達可能性の問題を引き起こし、メールが配達されない原因となりました。残念ながら、お客様がメールを受け取っていない場合であっても、他の誰もメールを受け取っていないということにはなりません。
- スパム報告によって引き起こされた配達可能性の問題により、本件後に実施されたパスワードのリセットが数時間遅れました。我々のオペレーションチームは11月2日UTC06:00までにこれを是正しました。
私たちが行っていること
この事実が発覚した後、BitMEXの従業員はユーザーのリスクを軽減するために日夜作業を行いました。私たちは多くのユーザーがサービス間でメールアドレスを再利用していることを認識しております。これは、パスワードを再利用するという非常に一般的な傾向と相まって、他のプラットフォーム(暗号通貨とは無関係なものであっても) でのパスワードハッシュダンプのために、多くのユーザーが危険にさらされていることを意味していました。
そのため、ユーザー様への告知後、以下の対応を行いました。
- セキュリティおよびサポート・チームは、本件発生後に疑わしいアクティビティが発生したアカウントにフラグを付けるために、アクセス・パターンの監視を強化し始めました。これにより、いくつかのアカウントのパスワードがリセットされ、サポート担当者による確認が行われました。
- UTC13:00に、出金時の通常の人間によるレビューの際に追加のチェックを行いました。我々は状況を考慮の上、不正アクセスを示す基準を特定し、以下の条件を満たすアカウントからのリクエストをキャンセルしました。 (i) 二要素認証が設定されていない、(ii)以前には見られなかったBitcoinアドレスへの出金が申請されている、(iii)以前には見られなかった新しいIPアドレスから申請されている、(iv)メールが公開された後に行われている。これら以外の出金申請は影響を受けておりません。これらの措置は、ユーザーを保護する目的で実施されたものであり、影響を受けたユーザーにはすでに連絡がなされています。
- いくつかのグループがBitMEXの電子メールを照合して不正アクセスしようとしていることが明らかになると、BitMEXのエンジニアは、二段階認証がなく残高を有するアカウントのすべてのユーザーのパスワードを強制的にリセットしました。影響を受けたユーザーには、電子メールで通知が行われました（これは徹底的な品質管理レビューと元のバグの見直しの後に実施されました）。
- BitMEXサポート（お問い合わせはこちら）は、通常よりも長い時間をかけて、Eメールアドレスの変更、質問への回答、およびセキュリティ評価とアドバイスの提供に関するお客様のリクエストを処理し続けています。
BitMEXや他のプラットフォームで個人的な露出が心配な場合は、すべての重要なサービスで二段階認証を有効にするのが最善の方法です。まずはご自身のメールアドレスから二段階認証の設定をして頂けます。BitMEXは、このセキュリティについてのアドバイスを共有しており、Paul Stamatiouによる記事もご覧いただけます。
BitMEXのエンジニアリングチームは、プラットフォームでサポートされるセキュリティキーの数の増加、アカウント通知のシグナルの改善、アカウント乗っ取りの回避と封じ込めを行うためのツールをユーザーに提供する新機能に取り組んでいます。
お客様にして頂くこと
電子メールアドレス以外の個人情報やアカウントの詳細は開示されませんでしたが、ベストプラクティスとして、次のことをお勧めします。
- フィッシングにご注意ください。BitMEXからのメールは「support@bitmex.com」と「noreply@bitmex.com」から送信されます。これらの電子メールが迷惑メールフォルダに入らないように、これらの電子メールアドレスを連絡先リストに追加してください。BitMEXがユーザーにパスワードを求めることはありません。
- BitMEXはお客様に送金を要求することはありません。BitMEXアカウントに資金を入金する唯一の方法は、お客様の固有のBitMEXデポジットアドレスにBitcoinを送ることのみです。お客様のユニークなBitMEXデポジットアドレスは「3BMEX」または「3BitMEX」で始まり、お客様自身のBitMEXアカウントの入金ページで確認できます。
- 当社の公式BitMEXコミュニケーションチャネルをご確認ください。こちらに記載されているページが主要な公式ソーシャルメディアコミュニケーションチャネルであり、これらを通じて提供される指示のみが公式のものです。
- また、パスワードは使いまわしのものではなく、強力でユニークなものを使用し、二段階認証の設定がまだの方はこちらのページから設定していただくようお願い致します。セキュリティに関してはこちらのポストをご参照ください。
Eメールアドレス以外には、個人情報やアカウント情報は一切開示されていませんので、ご安心ください。この問題が発生した時点で、当社のシステムは危険にさらされていませんでした。当社はセキュリティを強化するための対策を継続しています。お客様のプライバシーとセキュリティは、引き続き最優先事項です。
当面の間、サポートが必要な場合は、連絡フォームからサポートまでお問い合わせください。
敬具
Vivien Khoo,
Deputy Chief Operating Officer