【８千回ボタン連打】システムに欠陥　１８歳のモバコイン仮想通貨の詐取事件

**みつを ★** · 2019/03/14(木) 19:55:13.56

https://www.asahi.com/sp/articles/ASM3G4TR0M3GUTIL026.html

８千回ボタン連打、システムに欠陥　仮想通貨の詐取事件
荒ちひろ、稲垣千駿
2019年3月14日19時20分

　仮想通貨「モナコイン」を顧客から預かるサービス「Ｍｏｎａｐｐｙ（モナッピー）」（営業停止中）に昨年、サイバー攻撃を仕掛け、運営会社からモナコイン約１５００万円相当（当時のレート）を詐取したなどとして、警視庁は１４日、宇都宮市の少年（１８）を電子計算機使用詐欺と組織的犯罪処罰法違反（犯罪収益の隠匿）の疑いで書類送検し、発表した。容疑を認めているという。

　仮想通貨をめぐっては、昨年１月の「コインチェック」約５８０億円相当、同９月の「ザイフ」約７０億円相当（ともに当時）など、仮想通貨交換業者からの不正流出が相次ぐ。同庁によると、仮想通貨流出事件の立件は全国で初めて。

　サイバー犯罪対策課によると、少年は昨年８～９月、モナッピーの送金システムの欠陥を悪用して誤作動させ、運営会社が管理していたモナコイン約９万７千モナ（約１５００万円相当）を外部の口座に送金させて詐取。大半を海外の仮想通貨交換所の匿名アカウントに移した疑いがある。

　悪用されたのは「ギフトコード」というモナッピーの送金機能。コードを入力すると自分あてに贈られた分のモナコインを受け取ることができるが、短時間に大量に操作すると誤作動で複数回送金されてしまうシステム上の欠陥があった。
　欠陥の存在に気づいた少年は、スマートフォンやパソコンで計８２５４回、手動で操作ボタンの連打を繰り返し、自らが取得していた１３３回分のコードで、６４２回分の送金に成功。オンライン上のモナッピーのウォレット（口座）からモナコイン全量を奪った。「自分の残高が増えていくのが楽しくて、コインを全部取ってしまった」と供述しているという。
　サイバー攻撃をしかける際、複数の匿名化ツールを利用して身元がわからないようにしていたとされ、ログの解析などから容疑が浮かんだという。（荒ちひろ、稲垣千駿）

**みつを ★** · 2019/03/14(木) 19:55:59.66

>>1
すみません、スレタイ間違えました
正→モナコイン
誤→モバコイン

**名無しさん＠１周年** · 2019/03/14(木) 19:56:36.91

https://i.imgur.com/GxOClz4.jpg

**名無しさん＠１周年** · 2019/03/14(木) 19:56:52.17

剥奪な

**名無しさん＠１周年** · 2019/03/14(木) 19:57:03.70

やってみないとわからない　穴はあるもんだ

**名無しさん＠１周年** · 2019/03/14(木) 19:57:37.24

もうだめかもしれんね

**名無しさん＠１周年** · 2019/03/14(木) 19:57:43.43

スクリプト書けよ！

**名無しさん＠１周年** · 2019/03/14(木) 19:58:13.85

>>3
256発で破壊できる

**名無しさん＠１周年** · 2019/03/14(木) 19:58:18.36

ﾓﾅｰ

**名無しさん＠１周年** · 2019/03/14(木) 19:58:27.66

これやっとる奴らも同情の余地のねーキチガイどもなのに
被害者意識剥き出しで説明だの返金だのと
ゴミクズどもが群れをなして喚き散らしとったな

**名無しさん＠１周年** · 2019/03/14(木) 19:59:07.98

連打で逮捕ｗ

**名無しさん＠１周年** · 2019/03/14(木) 19:59:31.73

>>8
それ、嘘の都市伝説だぞ。

**名無しさん＠１周年** · 2019/03/14(木) 19:59:43.89

>>10
やっとるやつらが基地外ってどういうこと？

**名無しさん＠１周年** · 2019/03/14(木) 19:59:53.25

>>2
これは業務妨害でアウトやろ

**名無しさん＠１周年** · 2019/03/14(木) 20:00:07.11

GenReとの提携済みのIXTもよろしく

**名無しさん＠１周年** · 2019/03/14(木) 20:00:23.42

1ﾓﾅｰ = \9800

**名無しさん＠１周年** · 2019/03/14(木) 20:00:35.28

世界よ！これが日本のITだ！
for無限ループで逮捕ｗｗｗ
連打で逮捕ｗｗｗ

**名無しさん＠１周年** · 2019/03/14(木) 20:00:50.04

バネを仕込むか

**名無しさん＠１周年** · 2019/03/14(木) 20:01:07.66

やっぱり、宗くん（野田草履）が正解。
わかんだね。
ビットコイン（3億円相当）をガチホ。

**名無しさん＠１周年** · 2019/03/14(木) 20:01:29.93

>>2
ゲームおもたん？

**名無しさん＠１周年** · 2019/03/14(木) 20:01:41.84

F5連打ニダ

**名無しさん＠１周年** · 2019/03/14(木) 20:02:48.45

>>1
これ、モバゲーに通報したほうがいいの？

**名無しさん＠１周年** · 2019/03/14(木) 20:03:51.57

たまによくある穴であんま笑ってられないなコレ

**名無しさん＠１周年** · 2019/03/14(木) 20:04:49.17

プログラミングの授業始まってるだろ？
学校は何を教えているんだ役に立っていないじゃないか(๑˃̵ᴗ˂̵)

**名無しさん＠１周年** · 2019/03/14(木) 20:04:50.49

複数の匿名化ツールって何だろう

**名無しさん＠１周年** · 2019/03/14(木) 20:04:51.31

小数点以下の確率でも盗めるってホントだったのか！？

**名無しさん＠１周年** · 2019/03/14(木) 20:04:51.74

18歳で技術的には優秀やな・・・

**名無しさん＠１周年** · 2019/03/14(木) 20:06:05.33

DQのカジノみたいに特定の数を注文すると激安で買えるみたいなもんか

**名無しさん＠１周年** · 2019/03/14(木) 20:06:52.57

>>1

犯罪、っちゃ、犯罪なんだろうが。。。

なんか解説のレベルに全くついていけないワシにはこの18歳が天才に思えて仕方ないのだが。

昔の「ゲームセンターあらし」の必殺技を思い出したわ。

**名無しさん＠１周年** · 2019/03/14(木) 20:06:56.75

>>26
大丈夫？
ファミ通の攻略本だよ？

**名無しさん＠１周年** · 2019/03/14(木) 20:07:04.23

匿名化でも辿れる程度には捜査力がついてきたのか

**名無しさん＠１周年** · 2019/03/14(木) 20:07:06.60

>サイバー攻撃をしかける際、複数の匿名化ツールを利用して身元がわからないようにしていたとされ、
>ログの解析などから容疑が浮かんだという。

つまりこれ、torやI2PやUltrasurf VPNの完全終了のお知らせって事でいいのかな？

**名無しさん＠１周年** · 2019/03/14(木) 20:08:11.27

手動で操作ボタンの連打を繰り返しｗｗｗｗｗせめてスクリプトくらい組めよ

**名無しさん＠１周年** · 2019/03/14(木) 20:08:34.77

>>18
10円玉とか定規とか…

**名無しさん＠１周年** · 2019/03/14(木) 20:08:37.21

専門知識が無くてもハカー

**名無しさん＠１周年** · 2019/03/14(木) 20:09:02.28

モバゲーの話じゃなかった

**名無しさん＠１周年** · 2019/03/14(木) 20:09:08.41

どのへんが違法なの？

**名無しさん＠１周年** · 2019/03/14(木) 20:09:30.75

モナッピーはデバッグしてくれた少年にバイト料だせよ。

**名無しさん＠１周年** · 2019/03/14(木) 20:09:32.49

認知度上がってかち上げてんやん
1500万払ってやれよ

ボリューム（24時間）
\34,593,276 JPY
79.21 BTC

**名無しさん＠１周年** · 2019/03/14(木) 20:09:35.62

連打したら逮捕とか高橋名人どうすんだよ

**名無しさん＠１周年** · 2019/03/14(木) 20:09:45.26

16連射も金になるのか。

**名無しさん＠１周年** · 2019/03/14(木) 20:10:37.19

ブロックチェーン技術者って優秀なのにこういう不具合普通に出すんだな

**名無しさん＠１周年** · 2019/03/14(木) 20:11:33.44

>>32
いや、経路が匿名でも送り先がな…

**名無しさん＠１周年** · 2019/03/14(木) 20:12:21.95

手動でって
システムがガバガバすぎないか

**名無しさん＠１周年** · 2019/03/14(木) 20:12:49.81

研究者の姿勢として必要な素養は備えてる

**名無しさん＠１周年** · 2019/03/14(木) 20:13:27.00

昔から裏技見つける奴は凄いと思う

**名無しさん＠１周年** · 2019/03/14(木) 20:13:33.86

> 匿名化ツール
匿名できてないじゃん

**名無しさん＠１周年** · 2019/03/14(木) 20:13:36.57

高○名人が↓

**名無しさん＠１周年** · 2019/03/14(木) 20:13:41.89

高橋名人を越える逸材がいたか

**名無しさん＠１周年** · 2019/03/14(木) 20:13:54.30

高橋名人はいくら稼いだの？

**名無しさん＠１周年** · 2019/03/14(木) 20:13:55.17

>>3
昭和だなあ(´・ω・｀)

**名無しさん＠１周年** · 2019/03/14(木) 20:14:45.96

発見したきっかけが知りたい

**名無しさん＠１周年** · 2019/03/14(木) 20:15:36.80

これはさすがに作った奴が間抜けだな

**名無しさん＠１周年** · 2019/03/14(木) 20:15:43.14

コインチェックのカネ盗んだのか北だってわかった以上
もう仮想通貨なんてオワコンですよね。やってる奴ヤバいだろ

**名無しさん＠１周年** · 2019/03/14(木) 20:16:44.47

ガバガバやんけ！

いくらブロックチェーンが革新的でも
ブロックチェーンの外側がズタボロじゃ意味がない

**名無しさん＠１周年** · 2019/03/14(木) 20:16:51.54

>>44
トランザクションで ACID が成立してないって
DB処理の基礎もわかってないアホが設計したのかね

トランザクションでなくクエリ毎のコミットという素人設計とか

**名無しさん＠１周年** · 2019/03/14(木) 20:16:51.65

ギココインでも始めるか

**名無しさん＠１周年** · 2019/03/14(木) 20:16:59.98

>>43
あとちょっとで完全犯罪だったかもね
つーかシステムが脆弱すぎだろ

**名無しさん＠１周年** · 2019/03/14(木) 20:18:45.95

>>12
あれ嘘だったの？

**名無しさん＠１周年** · 2019/03/14(木) 20:18:46.65

16bitなのか16beatなのか良くﾜｶﾗﾝ時代

**名無しさん＠１周年** · 2019/03/14(木) 20:18:47.27

ラグとパケット詰まりを流用したのか

**名無しさん＠１周年** · 2019/03/14(木) 20:19:39.49

高橋名人の疑惑の正体がこれか！

**名無しさん＠１周年** · 2019/03/14(木) 20:19:52.18

間違いなく俺より賢い

**名無しさん＠１周年** · 2019/03/14(木) 20:19:52.99

自分の口座に送ってバレないと思ったのか？
最初に何とかするところじゃね？

**名無しさん＠１周年** · 2019/03/14(木) 20:19:59.18

反応悪くてイラついてキー連打していたらキーバッファに溜まっていた処理が一気に溢れて連打って経験あるだろ。
それだよ

**名無しさん＠１周年** · 2019/03/14(木) 20:20:05.41

運営の鯖と通信ロジックがショボかったねえ

**名無しさん＠１周年** · 2019/03/14(木) 20:20:08.24

>>37
「不正な指令」で「不法な利益」を得た（刑法246条の2）

なんだけど、今回のはバグをつかれたので
ゴネられたら裁判長引きそう
（連打してはいけません、なんて約款は無いだろうし…）

**名無しさん＠１周年** · 2019/03/14(木) 20:21:28.65

炎のコマを受け継ぎし者

**名無しさん＠１周年** · 2019/03/14(木) 20:22:08.28

高橋名人が逮捕されたと聞いてやってきました

**名無しさん＠１周年** · 2019/03/14(木) 20:22:42.97

出来ればハッカー的なカッコいい盗り方で捕まって欲しかった

**名無しさん＠１周年** · 2019/03/14(木) 20:23:03.14

リアルタイム送金は穴多いから注意

初歩的なバグだったなあ

**名無しさん＠１周年** · 2019/03/14(木) 20:23:15.17

バキュラに256発のザッパーを打ち込むみたいなもんか？

**名無しさん＠１周年** · 2019/03/14(木) 20:24:20.87

ゲームの裏技レベル
どんなプログラムだよ

**名無しさん＠１周年** · 2019/03/14(木) 20:25:20.12

送金処理とキャンセルを繰り返して
送金処理だけ残ったってところだな

**名無しさん＠１周年** · 2019/03/14(木) 20:25:23.82

>>32
ゆうちゃんでアメリカ絡めば特定されるの分かったじゃん

**名無しさん＠１周年** · 2019/03/14(木) 20:25:43.86

俺のモナコイン‥

**名無しさん＠１周年** · 2019/03/14(木) 20:26:05.84

仮想通貨の取引所とかこんなレベルの開発・運営ばっかりだよな
金儲け優先で知らないやつが適当にシステム組んでるんだろうな

**名無しさん＠１周年** · 2019/03/14(木) 20:27:01.00

途中からゲーム感覚になってて草

**名無しさん＠１周年** · 2019/03/14(木) 20:29:07.18

>短時間に大量に操作すると誤作動で複数回送金されてしまうシステム上の欠陥があった。
６４２／８２５４(成功/試行)
成果:９万７千モナ（約１５００万円相当）

1クリック約2000円

**名無しさん＠１周年** · 2019/03/14(木) 20:29:20.36

通信を秘匿化しても金の動き自体は消せないから
その瞬間増大した口座探したら見つけられた感じ？

**名無しさん＠１周年** · 2019/03/14(木) 20:31:25.77

UIでもDBでも連打の対策してなかったのか

まぁ、PMが段取り取れないとそういうことあるかも

**名無しさん＠１周年** · 2019/03/14(木) 20:32:12.82

凄いな18歳オッサンにはなんのこっちゃかサッパリ分からん

**名無しさん＠１周年** · 2019/03/14(木) 20:34:27.05

よくあるバグやな
ゲームとかでデュープする奴もこの手口が多い

**名無しさん＠１周年** · 2019/03/14(木) 20:34:27.74

ロジック的に想像つくかな

2垢用意して
お互い送金処理とキャンセル処理を繰り返して
秒単位で処理順をオーバーフローさせるとか

まあ違うかもしれんが

**名無しさん＠１周年** · 2019/03/14(木) 20:35:17.66

今どきの子が手動でボタン連打って出来るんだｗ

**名無しさん＠１周年** · 2019/03/14(木) 20:35:46.94

>>7
公衆Wi-Fiでアタックすりゃ捕まらなかったのにな。

**名無しさん＠１周年** · 2019/03/14(木) 20:37:27.72

>>86
クライアント側が送信速度が遅いと動機取られる可能性もある
あくまで鯖側の処理ミス狙いだと思うよ

**名無しさん＠１周年** · 2019/03/14(木) 20:37:43.53

ログってなんのログなのか気になるな

**名無しさん＠１周年** · 2019/03/14(木) 20:38:28.80

＞短時間に大量に操作すると誤作動で複数回送金されてしまうシステム上の欠陥があった。
クソすぎて笑ったｗ
トランザクションもなにもないのかｗｗｗ

**名無しさん＠１周年** · 2019/03/14(木) 20:38:37.81

システムと監視の甘さが拡散する前に分かって、
1500万円程度の被害で抑えられたんだから少年に感謝しろよ。

**名無しさん＠１周年** · 2019/03/14(木) 20:39:45.03

>>84
データの同期とれてないだけだろ。
秒単位の処理でオーバーフローするってファミコンですら1秒間に256連打できるんだぞw

**名無しさん＠１周年** · 2019/03/14(木) 20:39:56.20

>>89
だよな、基本中の基本なのに

**名無しさん＠１周年** · 2019/03/14(木) 20:40:06.73

＞オンライン上のモナッピーのウォレット（口座）からモナコイン全量を奪った
って全額かよｗｗｗ
全額で1500まんえんｗｗｗ

**名無しさん＠１周年** · 2019/03/14(木) 20:40:37.61

>>90
全部抜かれてるぞ

**名無しさん＠１周年** · 2019/03/14(木) 20:41:27.64

なんで逮捕しないんだよ
凶悪犯だろ

**名無しさん＠１周年** · 2019/03/14(木) 20:41:29.87

公衆Wi-Fiでも監視カメラから特定されそうだし海外が最強じゃないの
マウントゴックスもコインチェックもいまだに捕まってないし

**名無しさん＠１周年** · 2019/03/14(木) 20:42:21.00

１つの送金処理が完了するまでに
送金処理を何度でも開始できる

**名無しさん＠１周年** · 2019/03/14(木) 20:43:22.53

>>91
送金でそんな情報量ある場合は不審データとして全部キャンセルさせるのが正しいやり方

**名無しさん＠１周年** · 2019/03/14(木) 20:44:05.82

遠隔操作の冤罪のときも、被害学生に同じような自白を強要してただろう

**名無しさん＠１周年** · 2019/03/14(木) 20:44:19.13

システムがそういうふうに出来てたんならやられた方が悪いんじゃないの？
コードを書き換えたわけでもなし