root@neverkyc:/blog/fixedfloat-2024-hakku-go-anzensei$ cat post.md

FixedFloatは2024年のハッキング事件後も本当に安全か?

// by ~anon · 2026-05-30 · mock,auto-generated,ja

FixedFloatは2024年のハッキング事件後も本当に安全なのか?

2024年2月16日、ノーKYC即時スワップ取引所として国内外で広く利用されてきたFixedFloatは、ホットウォレットから資金が流出し続けるという最悪の朝を迎えました。チームがプラットフォームを一時停止するまでに、攻撃者は約1,728 BTCおよび409 ETHを抜き取り、その被害総額は当時のレートで約2,600万ドル(約39億円)にのぼりました。「速く、プライベートに、アカウント不要でスワップできる」というキャッチフレーズで成長してきた取引所にとって、この事件はブランド戦略そのものを揺るがす実存的な危機でした。あれから2年。日本のトレーダーの間でも「FixedFloatは今、本当に安全に使えるのか? それとも時限爆弾なのか?」という議論は依然として尽きません。本記事では、2024年2月に何が起こったのか、その後FixedFloatは何を変えたのか、そのカストディモデルがMoneroSwapperのようなより安全な代替手段と比較してどう違うのか、そしてビットコインやMoneroを預ける前に確認すべき具体的なシグナルを、日本のユーザー視点から丁寧に解説します。

2024年2月16日に実際に起こったこと

FixedFloatは「自動暗号資産取引所」を自称し、約50種類の通貨を登録不要でスワップできるサービスを提供してきました。仕組みはシンプルです。入金通貨と出金通貨を選び、ワンタイムのデポジットアドレスへ送金すると、プラットフォーム側が自社の流動性プールを通じて取引をルーティングし、指定の出金アドレスへ交換後の通貨を返す。即時スワップを実現するため、FixedFloatはChangeNowやSimpleSwapといった競合と同様に、サポート対象のすべてのチェーンに対してホットウォレットを事前に資金供給しています。攻撃者が到達したのは、まさにこのホットウォレット群でした。

FixedFloatが公開した事後報告書では、事件は「セキュリティ構造上の脆弱性」によるものとされましたが、具体的な悪用手法は明示されませんでした。Arkham、ZachXBT、SlowMistといったオンチェーン分析者たちが資金の流出パターンを追跡した結果、攻撃者は分離された2つのホットウォレットを短時間で連続して空にしており、スマートコントラクトの欠陥ではなく、署名鍵の漏洩あるいは内部アクセスレベルの侵害である可能性が高い、と結論づけました。盗まれた資金は、現在は閉鎖されたミキサーeXch、複数の中継ビットコインアドレスを経由して洗浄され、一部のETHはTHORChainを経由してブリッジされたことも判明しています。

被害総額: 約1,728 BTCと409 ETH。事件当日のレートで約2,600万ドル(約39億円)。
停止期間: FixedFloatは数日間メンテナンス画面を表示した後、スワップを部分的に再開しました。
ユーザー資金への影響: 運営チームは「プラットフォームは個別のユーザー残高ではなく流動性のみを保有するノンカストディアル構造であるため、個別のユーザー資金は失われていない」と一貫して主張しています。この主張のニュアンスについては後ほど詳しく検証します。
公的な犯人特定はなし: 2026年中盤の時点でも、攻撃者の身元も、具体的に悪用された脆弱性の正体も公的に特定されていません。

「ノンカストディアル」は「安全」を意味しない

FixedFloatは自らをノンカストディアルと位置づけており、その説明自体は技術的に正しい部分があります。スワップを開始する際に資金を事前にデポジットする必要はなく、自分の名前で残高が管理されることもありません。1回のスワップに対してのみコインを送金し、交換後のコインは指定した出金アドレスへ直接送られる。ユーザーアカウントは存在せず、回復可能な残高もなく、理論上はユーザーレベルでハッカーが狙えるハニーポットも存在しない、という構造です。

しかしこの説明は、リスクが実際にどこに存在するのかを巧妙に覆い隠しています。FixedFloatは「長期残高」という観点ではノンカストディアルですが、「スワップ実行中」という観点では完全にカストディアルなのです。あなたのビットコインがプラットフォームが生成したデポジットアドレスに着金した瞬間から、対応する出金トランザクションが送信されるまでの間、FixedFloatはあなたの資金を完全にコントロールしています。2024年の事件のようにホットウォレットが空にされれば、その時点で進行中のスワップは恒久的に塩漬けになるか、遅延の末に返金されるか、最悪の場合は失われる可能性すらあります。

ホットウォレットの露出ウィンドウ

すべての即時スワップ取引所には、数分単位で計測される「ホットウォレットの露出ウィンドウ」が存在します。FixedFloatの場合、このウィンドウは「ユーザーの入金が確認されてから、出金トランザクションがブロードキャストされるまで」の全期間に相当します。この間、ユーザーが送ったデポジットと、プラットフォームがこれから送金しようとしている出金用流動性は、いずれもFixedFloatの内部署名インフラがコントロールするアドレスに格納されています。2024年2月のような侵害がこのウィンドウ中に発生すれば、実行中のスワップに直接的な影響が及びます。

本物のアトミックスワップとの構造的な違い

対照的に、本物のアトミックスワップはハッシュタイムロック契約(HTLC)を用いており、取引の両側が「両方とも実行される」か「両方とも返金される」かのどちらかしか起こりえません。中央集権的な第三者が両側の資金を同時にコントロールする中間状態が存在しないのです。COMIT、BasicSwap、Haveno(旧Bisq2)などのツールは、この原理をビットコインとMoneroの交換に適用しています。FixedFloatはアトミックスワップではありません。ノンカストディアルというブランディングを身にまとった、中央集権的なマッチングサービスなのです。何も問題が起きていないときは便利でも、運営者が侵害された瞬間に大惨事に変わる、という構造的な弱さを抱えています。

FixedFloat対代替手段: 2026年時点のスナップショット

「FixedFloatは安全か?」という問いは、他にどんな選択肢があるかと並べて初めて意味を持ちます。以下は、2026年現在、日本のトレーダーが言及することの多い代替手段とFixedFloatを横並びで比較した表です。特にMonero関連のフローに焦点を当てています。

サービス	スワップ中のカストディモデル	KYCの発動条件	既知の侵害	Monoroペアの品質
FixedFloat	スワップ中はカストディアル、スワップ間はノンカストディアル	リスクベース。フラグ付きトランザクションにはKYCを要求する場合あり	2024年2月、被害額約2,600万ドル	流動性は良好。固定レートと変動レートの両方を提供
MoneroSwapper	複数プロバイダーを横断するアグリゲーター方式。単一鍵で管理される中央集権的ホットウォレットを持たない	必須のKYCなし。KYCを要求するプロバイダーはルーティングから除外	報告された侵害事例なし	XMRペアに特化して最適化
SimpleSwap	スワップ中はカストディアル	リスクベースのAMLチェック	大規模な公的侵害なし	良好。入金方法の選択肢が豊富
Haveno (P2P DEX)	2-of-2マルチシグによる真のノンカストディアル。運営者は資金を保持しない	なし — 完全にTor上のピアツーピア	該当なし	プライバシーは極めて高いが流動性は低い
国内KYC取引所	出金まで完全カストディアル	本人確認書類の提出が必須	過去10年間で多数(コインチェック、Mt. Goxほか)	多くの国内取引所は2018年以降XMRを上場廃止

2つのパターンが浮かび上がります。第一に、いかなる時点においても運営者カストディが介在しない選択肢は、ピアツーピアのアトミックスワップツールのみであり、それは流動性と操作の複雑さというトレードオフを伴います。第二に、MoneroSwapperが採用するアグリゲーターによるルーティングは、スワップを複数のプロバイダーに分散させることで「単一プラットフォームへの露出」を縮小するモデルであり、どこか1つのバックエンドのホットウォレットが侵害されても、すべてのルートが自動的に影響を受けることはありません。

あなたのビットコインと攻撃者の間に立つのが、ある1社のホットウォレット署名鍵だけなのだとすれば、あなたはマーケティングページに何が書かれていようと、その会社をカストディアル取引所と同じだけ信頼していることになります。

日本の文脈: なぜこの議論が他人事ではないのか

日本の暗号資産ユーザーは、海外メディアが言うところの「取引所ハック」を、他のどの国の市場よりも生々しい記憶として共有しています。2014年のMt. Gox破綻、2018年1月のコインチェックによる580億円相当のNEM流出、その後のZaif、Liquidの相次ぐ事件。これらが直接的に、現在の金融庁による厳格な暗号資産交換業者登録制度を生み出した経緯があります。資金決済法と犯罪収益移転防止法のもとで、国内の登録業者はコールドウォレット保管比率、外部監査、報告義務など、世界でも最も重い義務を課されている部類に入ります。

その一方で、まさにこの規制環境こそが、Moneroをはじめとするプライバシーコインを国内取引所から事実上消し去りました。コインチェック事件後、金融庁は匿名性の高い暗号資産を「マネーロンダリングリスクが高い」として、国内取引所での取扱いを実質的に不可能にしました。Monero、Dash、ZECは2018年から2019年にかけて国内の主要取引所から順次上場廃止され、現在もこの状況は基本的に変わっていません。そのため、Moneroを取得したい国内ユーザーには「海外の即時スワップ取引所を経由するしかない」という選択肢が残されており、その候補としてFixedFloatが頻繁に挙げられてきたのです。

つまり、FixedFloatの安全性をどう評価するかは、日本のMoneroユーザーにとって極めて実務的な問題です。国内の規制された取引所が利用できない以上、海外スワップサービスのリスク評価スキルがそのままセルフカストディの安全性を左右します。コインチェック事件で学んだ「業者の破綻リスクから資金を守る」という教訓は、ノンカストディアルブランドを掲げる即時スワップにおいてこそ、改めて適用されるべきものなのです。

日本のユーザーが取りうる現実的な調達ルート

金融庁の規制下でMoneroが国内取引所から消えた現状を踏まえると、日本のユーザーがMoneroを手に入れるための実務的なルートは、おおむね4つに集約されます。それぞれにリスクプロファイルが異なるため、自分の用途と照らし合わせて選ぶ必要があります。

ルート1: 国内取引所でBTCを購入し、海外即時スワップでXMRに変換する。 最も一般的で実用的な方法です。bitFlyer、コインチェック、bitbankなどでBTCを購入し、ウォレットに引き出してから、FixedFloat、SimpleSwap、ChangeNow、あるいはMoneroSwapperのようなアグリゲーター経由でXMRに変換します。利点は、円から暗号資産への入口が完全に合法かつ追跡可能であること。欠点は、ブロックチェーン上でBTCからXMRへの変換イベントが残るため、税務上の取扱いが煩雑になることです。

ルート2: 海外の取引所(KrakenやKuCoinなど)に口座を開設し、そこから直接XMRを購入する。 一部の海外取引所では依然としてXMRを取り扱っていますが、KYCは必須であり、日本居住者向けのサービス提供範囲は時期によって変動します。出金時のオンチェーン痕跡が比較的クリーンになる一方、海外口座の維持コストや為替リスクを引き受ける必要があります。

ルート3: ピアツーピア市場(LocalMoneroの後継、Havenoなど)を利用する。 プライバシーの観点では最も強力ですが、流動性が薄く、取引相手の信用リスクや手間が伴います。Havenoは2-of-2マルチシグエスクローを使うため運営者カストディがなく、Tor経由で完全にピアツーピアで動作する点が、構造的にFixedFloatのような中央集権サービスとは一線を画します。

ルート4: マイニングによる獲得。 Moneroは依然としてCPUマイニング(RandomX)で個人が現実的に参加できる数少ない主要暗号資産です。家庭の電気代を考慮すると経済的合理性は限定的ですが、一切の取引所を介さずにXMRを生成できるため、プライバシー観点では究極の方法と言えます。

多くの日本のユーザーは、ルート1を主軸とし、必要に応じてルート3を併用するハイブリッドな運用に落ち着いています。そしてルート1を選ぶ場合に避けられないのが、まさにFixedFloatのような即時スワップ取引所のリスク評価です。

送金前に即時スワップを評価する方法

2024年のFixedFloat事件が有益なケーススタディである理由は、警告サインがFixedFloat固有のものではなく、プールされたホットウォレットを運営するすべての即時スワップ取引所に当てはまるからです。以下のチェックリストは、初めて利用するサービスを評価する際にプロのトレーダーやMoneroコミュニティのモデレーターが用いるものと基本的に同じです。

事後報告書を実際に読む。 侵害を経験したプラットフォームには、公開された技術的なポストモーテムがあるべきです。「セキュリティ構造上の脆弱性」のような曖昧な表現はレッドフラグ。具体的な脆弱性名、適用したパッチ、その後実施された第三者監査が明示されていればグリーンフラグです。
可能な場合はオンチェーンの準備金を確認する。 プルーフ・オブ・リザーブを公開している、あるいはホットウォレットアドレスを開示しているプラットフォームもあります。侵害後にウォレットが補充されていない場合、それは意味のあるシグナルになります。
ZachXBT、SlowMist、PeckShieldのフィードを確認する。 出金遅延やトランザクション凍結に関する繰り返しの言及は、たとえ侵害そのものが報告されていなくても警告灯です。
必ず少額から試す。 30ドル相当のスワップでも、UXの問題、返金フロー、カスタマーサポートの応答時間といった本質的な情報が浮かび上がります。本気の金額を預ける前に、必ずこのステップを踏むべきです。
大きな金額にはアグリゲーターまたはピアツーピアルートを優先する。 MoneroSwapperのようなアグリゲーターを使ってスワップを複数のプロバイダーに分散させるか、価値の高いレッグには真のアトミックスワップを用いることで、単一障害点への露出を減らすことができます。
返金ポリシーを必ず文書で確認する。 出金トランザクションがSLA内に到着しなかった場合、何が起こるのか? 事前に返金アドレスを指定できるか? このような重要な情報を利用規約ではなくサポートチケットの中に隠しているプラットフォームは、運用手続きが弱い傾向があります。

コインチェック事件との技術的な比較

日本のユーザーがFixedFloat事件を理解するうえで、2018年1月のコインチェックNEM流出事件と並べて見ると、共通点と相違点が浮かび上がります。コインチェック事件では、ホットウォレットに保管されていたNEM約580億円相当が、署名鍵への不正アクセスを通じて流出しました。当時最大の批判は、コインチェックがマルチシグウォレットを採用せず、コールドウォレット保管比率も極端に低かった点に集中しました。事件後、金融庁は登録制度の厳格化、定期的な現地立入検査、コールドウォレット保管比率の高水準化を業界に要求しました。

FixedFloat事件は、規制環境こそ異なるものの、本質的な攻撃面は同じです。すなわち「即時の出金処理に対応するため、ホットウォレットに無視できない金額の資金を保持する必要があり、その署名鍵が侵害されれば壊滅的な損失が発生する」という構造です。コインチェックの教訓は、規制を通じて国内取引所には適用されましたが、海外で運営される即時スワップサービスには直接的には及びません。FixedFloatのようなサービスは、自社で決めた範囲のセキュリティ対策しか行わず、その対策の妥当性を保証する第三者監査の義務も負っていません。

つまり、コインチェック事件以降に「日本では取引所のホットウォレット管理が厳格に規制されている」という安心感を覚えている日本のユーザーであっても、海外即時スワップを使う瞬間からは、その規制傘の外に出ているということを認識しておく必要があります。FixedFloatは法的にも技術的にも、コインチェック事件以前の国内取引所のリスクプロファイルに、より近い性質を持っているのです。

FixedFloatが事件後に変更したこと

2024年2月以降、FixedFloatは署名インフラを再構築し、すべてのホットウォレット鍵をローテーションし、将来のインシデントにおける影響範囲を制限するために、流動性をより細かく分離されたウォレット群に分割したと公表しています。さらに、異常な出金を検知して自動的に停止するためのレートベースの監視も追加されました。これらは妥当な対策であり、2024年から2026年にかけてFixedFloatを継続的に利用してきたほとんどのユーザーは、再発したトラブルを報告していません。

とはいえ、プラットフォームは事件後のアーキテクチャに関する完全な第三者監査を公開しておらず、当初の脆弱性が何であったかを名指ししておらず、そしてあの被害をあれほど深刻なものにした「スワップ中はカストディアル」というモデル自体にも、意味のある変更を加えてはいません。構造的な観点からすれば、2024年の攻撃面はいまだに存在しているのです。変わったのはその周囲の運用上のハードニング(防護策)だけです。このトレードオフを許容できるトレーダーにとって、2026年のFixedFloatは事件前よりリスクが増しているわけではないでしょう。しかし、より強固な保証を求めるトレーダーにとっては、複数のバックエンドにルーティングするアグリゲーターや、運営者カストディが構造的に存在しないアトミックスワップDEXのほうが、「次は頑張ります」というプラットフォーム単体の約束よりも、はるかに耐久性のある回答となります。

よくある質問

2024年のハックでFixedFloatユーザーは資金を失ったのか?

FixedFloatは公式に「個別ユーザーの残高は影響を受けていない。プラットフォームは個別アカウントに対して長期残高を保持していないため」と発表しました。盗まれた約2,600万ドル相当の資金は、プラットフォーム自身の運用流動性から流出したものです。ただし、事件発生時にスワップを実行中だった一部のユーザーは返金の遅延を報告しており、コミュニティのスレッドには、最終的に手動でのサポート介入が必要だったトランザクションについての記述も散見されます。「個別のユーザー資金は紛失していない」という建前のもと、補償プログラムの発表はありませんでした。

2024年2月以降、FixedFloatは再びハッキングされたか?

2026年中盤の時点で、当初の2024年2月の事件以降、FixedFloatに対する公的に確認された侵害は報告されていません。チームは鍵をローテーションし、ホットウォレットのトポロジーを再構築し、監視機能を追加しました。新たな公開インシデントが存在しないことは励みになりますが、それはアーキテクチャが安全であることを証明するものではなく、単に「成功した攻撃が公表されていない」というだけの状態です。

FixedFloatでMoneroにスワップする際、本当にKYC不要なのか?

FixedFloatは標準的なスワップに対して、アカウント作成や事前のKYCを要求しません。しかしプラットフォームは、自社のAMLシステムが高リスクと判定した取引について本人確認情報を要求する権利を留保しています。これは、Monero関連の大きな出来高、あるいは入金アドレスがオンチェーン履歴で汚染されているとみなされる場合に発動することがあります。構造的にKYCのないルートを求めるユーザーは、ハードKYCトリガーを持つプロバイダーを除外するアグリゲーターか、運営者自体が本人確認を要求できないHavenoのようなピアツーピアDEXを選ぶ傾向があります。

ビットコインからMoneroへのスワップで、より安全な代替手段は何か?

構造的により安全と言えるカテゴリは2つあります。アグリゲーター型のルーターと、アトミックスワップDEXです。MoneroSwapperのようなアグリゲーターは、複数のバックエンドプロバイダーに取引を分散させるため、どこか1社のバックエンドが侵害されても、すべてのルートが影響を受けることはありません。アトミックスワップDEXは、ハッシュタイムロック契約を用いて運営者が両側の資金を同時に保持できないようにします。多くのユーザーにとってはアグリゲーターのほうが実用的な選択肢ですが、極めて大きな金額や最大限のプライバシーが要求されるユースケースでは、操作の複雑さを引き受けてでもアトミックスワップを使う価値があります。

FixedFloat事件のあと、即時スワップ取引所はすべて避けるべきか?

いいえ。即時スワップ取引所は依然として、通貨間を移動するための最も便利な手段であり、その代替手段である国内KYC取引所は、しばしばより大きな長期的なリスクをユーザーに負わせます。FixedFloatから学ぶべき教訓は「即時スワップを二度と使うな」ではなく、「単一プラットフォームにリスクを集中させない、スワップは短時間で完結させる、そして送金前に運営者のインシデント履歴を必ず検証する」ということです。

日本の国税庁の観点からは、FixedFloat経由のスワップはどう扱われるのか?

国税庁の現行ガイダンスでは、暗号資産同士の交換は所得課税の対象となるイベントとされており、これはFixedFloatのような海外即時スワップを経由した場合でも変わりません。スワップ時点での日本円換算評価額に基づいて損益を計算し、雑所得として総合課税で申告する必要があります。FixedFloatはユーザー履歴を保存しない設計であるため、各スワップのトランザクションIDと日時、入出金額を自分で記録しておくことが極めて重要です。ノーKYCであることと、課税義務がないことは別物である、という点を必ず認識しておきましょう。

事件発生時にスワップを実行中だった場合、どう対処すべきだったか?

2024年2月16日の事件発生時にスワップが進行中だったユーザーの大半は、まず取引画面が更新されないことに気づき、その後メンテナンス画面に切り替わった、と報告しています。この種のインシデントが発生した場合の現実的な対処は、まずトランザクションIDと送金時刻、入出金アドレスのスクリーンショットをすべて保存し、サポートチケットの履歴を残し、コミュニティスレッド(Reddit、Bitcointalk、Telegramの公式チャンネルなど)で他のユーザーの動きを確認することです。返金や再処理は数日から数週間を要する場合があり、焦って同じデポジットアドレスへ追加送金するなどの行動は絶対に避けるべきです。即時スワップを利用する際は、トラブル発生時の証拠保全を念頭に置いた操作習慣を身につけておくことが、いざというときに自分の資金を守る最後の砦になります。

まとめ

2026年のFixedFloatは、2024年2月に侵害された当時のバージョンと比べて運用面でハードニングされていますが、あの侵害を可能にした構造的な露出 — 運営者がコントロールするホットウォレットがすべてのスワップを橋渡しする構造 — そのものは取り除かれていません。これが「FixedFloatは安全か?」という問いに対する、誠実で簡潔な答えです。事件後のチームの強化策を信頼するならば、小額かつ短時間で完結するスワップにはおそらく問題ない水準でしょう。ただし、ハッキング以前と比較して「構造的に」より安全になったサービスというわけではなく、より注意深く運用されているサービスにすぎません。素早い変換以上のことを行うのであれば、複数のバックエンドにルーティングリスクを分散するか、運営者カストディが一切存在しないアトミックスワップDEXを利用するほうが望ましいと言えます。Monero中心のスワップで、その「ルーティングの判断」を肩代わりしてくれる出発点が欲しい場合は、MoneroSwapperで複数のレートを比較するか、次のスワップを送金する前にMoneroを匿名で購入する方法の解説に目を通すことをおすすめします。

← back to blog