GMOコインは安全？資産管理・破綻時の扱い・過去の行政処分を解説

GMOコインを運営しているのはGMOコイン株式会社です。直接の親会社は、東証スタンダード市場に上場するGMOフィナンシャルホールディングス株式会社で、GMOコインは同社の主要な連結子会社に位置付けられています。

さらに、GMOフィナンシャルホールディングスの親会社が、東証プライム市場に上場するGMOインターネットグループ株式会社です。つまり、GMOコインは東証プライム上場企業の直接の子会社ではなく、GMOフィナンシャルホールディングスを通じてGMOインターネットグループに属しています。

上場区分や資本関係を確認するときは、この階層を分けて見ることが重要です。GMOコイン自体が上場しているわけではありませんが、上場企業であるGMOフィナンシャルホールディングスの傘下で暗号資産事業を展開しています。

GMOコイン株式会社は、暗号資産交換業(暗号資産の売買や管理)と金融商品取引業(デリバティブ等の取引)の両方で登録を受けています。名称は似ていますが、それぞれ対象となる業務が異なります。

また、GMOコイン株式会社は一般社団法人 日本暗号資産等取引業協会（JVCEA）と一般社団法人 金融先物取引業協会に加入しています。暗号資産の現物取引や管理に関する登録と、デリバティブ取引などに関する登録を分けて確認できる状態です。

GMOコインでは、顧客から預かった日本円を自社の資産とは分けて分別管理しています。日本円の預託先には日証金信託銀行を利用し、同社の信託口座で管理する仕組みです。

そのため、利用者がGMOコインへ入金した日本円が、そのままGMOコインの事業資金として管理されるわけではありません。顧客から預かった資産と会社自身の資産を区別して管理する体制が取られています。

顧客から預かった暗号資産については、すべてコールドウォレット(ネットから切り離したウォレット)で保管しています。インターネットへ常時接続する環境から秘密鍵を切り離すことで、外部からの不正アクセスによる流出リスクを抑える仕組みです。

コールドウォレットで保管するだけでなく、暗号資産の移動や秘密鍵の管理についても複数の対策が取られています。

• コールドウォレットから暗号資産を移動する際は、複数部署による承認を必要とする
• GMOコインのセキュリティ基準を満たす暗号資産には、複数の秘密鍵を使って承認するマルチシグを導入する
• 秘密鍵を、セキュリティ構成の異なる複数の場所に分散して保管する

1つの環境や担当者だけで暗号資産を移動できないようにすることで、保管だけでなく移動時の安全性も高めています。

資産そのものの保管とは別に、利用者のアカウントやGMOコインのシステムを守るための対策も導入されています。特に、日本円の出金や暗号資産の送付など、資産が外部へ移動する操作では二段階認証が利用されます。

• 日本円の出金時に二段階認証を行う
• 暗号資産の送付時に二段階認証を行う
• ログイン実績のない環境からアクセスした場合に二段階認証を行う
• ログイン履歴を記録し、ログインなどの情報をメールで通知する
• 2026年6月から、パスワードを入力せずに認証できるパスキーに対応している
• 外部の専門家による定期的な脆弱性診断を実施する
• グループ会社と連携して脆弱性に関する情報を収集する

このように、GMOコインでは日本円と暗号資産の保管だけでなく、アカウント認証やシステムの脆弱性対策まで複数の層でセキュリティ対策を行っています。

当時のGMOコインでは、事業規模が急速に拡大する一方でシステム障害が頻発していました。関東財務局は、障害が発生したことだけでなく、根本原因の分析や適切な再発防止策が十分に講じられていない状態を問題視しています。

処分の中心となったのは、こうしたシステムリスクを適切に管理するための態勢です。暗号資産がハッキングによって流出したことを受けた処分ではなく、取引業務そのものを停止させる処分でもありませんでした。

GMOコインは業務改善命令を受けた後、2018年3月22日に改善計画を提出しました。計画では、当時指摘されたシステム管理上の問題に対応するため、主に次の態勢を見直す方針が示されています。

• 経営管理態勢
• 障害発生時の対応態勢
• 情報セキュリティ・サイバーセキュリティ管理態勢
• 品質管理・構成管理態勢

その後、2019年2月には業務改善命令が解除されたとロイターが報じています。解除については金融庁の公表情報ではなく報道による確認となりますが、2018年の処分後に改善計画が提出され、その後解除まで至った経過を確認できます。

2018年当時に問題とされた管理態勢については、処分後に改善計画が提出され、解除まで至っています。現在の安全性を考える際は、この経過と、現在採用されている資産管理・セキュリティ対策をあわせて見る必要があります。

ここで重要なのは、「行政処分を受けたこと」だけを見るのではなく、何が問題だったのか、その後どう対応されたのかまでセットで確認することです。

GMOコインは、秘密鍵に関する情報の漏えい・滅失などによって、分別管理している顧客暗号資産が不足した場合の債務履行方針を公表しています。

この方針では、不足した暗号資産と同種・同量の暗号資産を調達して返還することを基本としています。同種・同量の調達が困難な場合には、日本円で支払う場合があり、その際は漏えいなどを検知した日の前営業日の価格を基準として算定し、2週間以内に取引口座へ入金するとしています。

日本円や暗号資産を会社資産と分けて管理していることは、顧客資産を守るうえで重要な仕組みです。ただし、分別管理されていることと、会社破綻時に必ず全額返還されることは同じではありません。

GMOコイン自身も、会社が倒産した場合には、分別管理している預託資産を顧客へ返還できない可能性があると説明しています。そのため、分別管理は資産保全のための対策として評価できる一方、破綻時の返還を保証する制度として捉えることはできません。

3章で確認したコールドウォレットや信託口座などは、平常時に顧客資産を適切に管理するための仕組みです。会社そのものが破綻した場合にどこまで資産が返還されるかとは、分けて考える必要があります。

GMOコインの口座で暗号資産を通常保有している場合と、「貸暗号資産」でGMOコインへ暗号資産を貸し付けている場合では、破綻時の扱いも同じではありません。

イメージとしては、「預けて管理してもらう」のと「相手に貸す」の違いです。同じGMOコイン内の暗号資産でも、貸暗号資産にすると資産の位置付けが変わるため、破綻時の扱いも同じではありません。

貸暗号資産は、暗号資産を保有したまま貸借料を受け取れるサービスですが、安全性を考える際には通常保有との違いも理解しておく必要があります。利率や対応通貨、貸出期間などの条件については、GMOコインのレンディングの仕組みや利用条件を解説した記事で詳しく紹介しています。

GMOコインが注意喚起している主な手口には、次のようなものがあります。入口は偽サイトでも、その後に追加認証や電話、画面共有へ誘導するなど、複数の手口が組み合わされる場合もあります。

• 検索広告から偽サイトへ誘導する
  検索結果の広告枠にGMOコインを装ったサイトを表示し、公式サイトだと思わせてアクセスさせる手口です。
• 偽のログイン画面で認証情報を入力させる
  本物に似せた画面を使い、ログイン情報や認証コードなどを入力させて取得しようとします。
• マルウェアや不自然な追加認証を利用する
  マルウェアを利用したり、通常とは異なる認証画面を表示したりして、認証情報や操作内容を盗み取ろうとする手口です。
• 画面共有や操作方法を指示する
  画面共有やキーボード操作を求め、利用者本人に暗号資産の送付などを行わせるケースがあります。
• GMOコインの社員を装って電話する
  社員を名乗って信用させたうえで、外部ウォレットの作成や暗号資産の送付を求める手口も注意喚起されています。

このような手口では、利用者自身が正規の操作として送付を実行してしまう場合があります。そのため、二段階認証を設定しているだけでは防げないケースがある点にも注意が必要です。

フィッシングや不正利用を防ぐには、認証機能だけに頼らず、普段のアクセス方法や通知の確認まで含めて対策することが重要です。GMOコインでは、利用者側で次のような対応を取るよう案内しています。

• 公式アプリやブックマークからアクセスする
  検索結果の広告から直接アクセスせず、公式アプリや事前に登録したブックマークを利用することで、偽サイトへ誘導されるリスクを減らせます。
• パスキーを設定する
  パスワード入力に依存しない認証方法を利用することで、偽サイトへパスワードを入力してしまうリスクを抑えやすくなります。
• ログイン・約定通知を確認する
  身に覚えのないログインや取引に早く気付けるよう、通知を有効にして定期的に確認します。
• パスワードを使い回さず、利用環境を最新に保つ
  他サービスと同じパスワードを使用せず、OS・ブラウザ・アプリも最新の状態へ更新しておきます。
• 不自然な認証画面や操作指示が出たら中止する
  普段と異なる追加認証画面が表示された場合や、電話・メッセージで画面共有、外部ウォレットの作成、暗号資産の送付を求められた場合は、そのまま操作を続けないことが重要です。

GMOコイン側のセキュリティ対策と、利用者自身が行うフィッシング対策は役割が異なります。二段階認証やパスキーを設定したうえで、アクセス先や第三者からの操作指示にも注意することが、不正被害を防ぐうえで重要です。

GMOコインを利用しているなら、パスキーや通知設定が有効になっているか一度確認しておきましょう。あわせて公式サイトをブックマークしておけば、検索広告から偽サイトへ入ってしまうリスクも減らせます。