Dunamu、3,600万ドル規模のハッキング発生から8ヶ月で制裁手続きに直面

2026年7月、韓国金融監督院（FSS）は、国内最大の仮想資産取引所Upbitの運営会社であるドゥナムを対象に、公式な制裁手続きに着手した。これは、2025年11月に発生した約3,600万ドル規模のホットウォレット・ハッキング事件から約8ヶ月後に行われた措置である。規制当局は、今回の手続きを通じて、仮想資産事業者のセキュリティ管理責任を厳格に問う姿勢を示している。

「金融監督院による今回の制裁手続きの開始は、仮想資産サービスプロバイダーのITセキュリティの不備に対して直接的な責任を問うための、韓国規制当局による重大な転換点を意味している。」

現在、金融監督院は具体的な制裁レベルを確定させていないが、ドゥナム側に調査結果を通知し、それに対する弁明の機会を与えたことが分かっている。ドゥナムは今後、委員会の審議過程で調査結果に対して異議を申し立てたり、セキュリティ強化措置について説明したりすることができる。今回の事件は、仮想資産市場の規制枠組みが確立される過程において、重要な先例となる見通しだ。

2025年11月の侵害事故：3,600万ドルの流出

2025年11月27日に発生したセキュリティ事故は、Upbitのホットウォレットを精密に標的とし、約445億ウォン（当時の価値で約3,600万ドル）相当のソラナ（Solana）ベースの資産を流出させた。調査の結果、攻撃者は管理者権限を奪取したり、なりすましたりする手法を使用したことが判明しており、これは過去2019年に発生したハッキング手法と類似したパターンを示していた。セキュリティ専門家や当局は、今回の攻撃の背後に北朝鮮のハッキング組織であるラザルス・グループ（Lazarus Group）がいると指摘している。

• 2025年11月27日 午前4時42分：ハッキング開始および最初の不正流出を検知
• 午前5時：Upbit関係者の緊急会議を招集
• 午前5時27分：ソラナ（Solana）ネットワークの入出金停止措置
• 当日業務終了時点：ハッキングの事実に関する公式な対外発表

Upbitは、ハッキングの事実を認識した時点と実際に公表した時点の間にタイムラグがあったことから、「遅延公示」の論争に巻き込まれた。特に、ハッキングの発表がネイバーフィナンシャル（Naver Financial）に関連する主要なビジネスイベントの終了後に行われた点が批判の核心である。規制当局は、このような公示のタイミングが投資家保護の原則に反していないかどうかを重点的に調査している。

韓国の現行の仮想資産関連法令には、ハッキングやITセキュリティの不備に対して直接制裁を下せる明示的な条項が不足している点が、規制の障害として指摘されている。2026年から本格的に施行される仮想資産基本法は、デジタル資産事故に対する無過失責任の原則を導入する計画だが、今回のドゥナム（Dunamu）の事例は法的空白期間の中で進行している。これに伴い、金融監督院は既存の監督規定を最大限に活用して責任を問う方針だ。

企業運営および経営陣への影響

ドゥナムは現在、韓国の法律上、金融会社に分類されていないため、制裁を受けた役員に対する5年間の就業制限規定が直接適用されない可能性が高い。これにより、イ・ソグ代表をはじめとする経営陣が、制裁結果に関わらず職務を維持したり、再任に挑戦したりできる構造的な特異点が存在する。しかし、規制当局との摩擦は、今後の企業の対外的な信頼性や事業拡大において大きな負担となる見通しだ。

特に、ドゥナムが推進しているネイバーフィナンシャルとの株式交換取引は、今回の制裁手続きの結果によって影響を受ける可能性がある。両社は当該取引の完了期限を2026年12月31日まで延長しており、複数の段階の規制承認手続きを残している。今回のセキュリティ事故の調査が当該取引の承認の可否を決定づける直接的な理由ではないにせよ、審査過程で否定的な要因として考慮される可能性があるという分析が出ている。

結論として、今回のドゥナムに対する制裁手続きは、韓国の仮想資産市場의 透明性とセキュリティレベルを一段階高める契機になると評価されている。2026年末まで続く規制整備の過程において、今回の事例は今後発生し得る類似の事故に対する処罰の基準や責任の範囲を設定する指標となるだろう。投資家たちは、規制当局の最終決定が市場の信頼回復にどのような影響を与えるか注目している。