クラーケン対ジェミニ: セキュリティのための最良の交換? （レビュー）

セキュリティインフラストラクチャの比較

1. Kraken は、ユーザー資産の 95% 以上を保管するコールド ストレージ、エアギャップ署名システム、FIPS 140-2 レベル 3 標準に認定されたハードウェア セキュリティ モジュール (HSM) を含む多層セキュリティ アーキテクチャを維持しています。

2. Gemini は同様の冷蔵保管モデルを採用していますが、「プロジェクト ウィンクルボス」保管プロトコルを通じて追加のレイヤーを追加しており、資産の移動に対して地理的に分散した場所にわたる二重署名の承認を義務付けています。

3. どちらのプラットフォームも毎年サードパーティによる侵入テストを受けています。ただし、Kraken は NCC Group などの企業から完全な監査報告書を公開していますが、Gemini は完全な技術的調査結果を開示せずに、Deloitte によって検証された概要を公開しています。

4. Kraken の社内セキュリティ チームには、元 NSA 暗号学者と元 FBI サイバー犯罪捜査官が含まれていますが、ジェミニのセキュリティ リーダーシップは主に金融コンプライアンス出身であり、攻撃的なセキュリティの専門知識には重点が置かれていません。

5. 2 要素認証オプションは異なります。Kraken は U2F セキュリティ キー、TOTP、および SMS フォールバックをサポートしていますが、Gemini は SMS を完全に制限し、U2F と TOTP のみを許可します。これにより、攻撃対象領域は削減されますが、一部のユーザーのアクセスが制限されます。

規制遵守とライセンス供与

1. Gemini は、米国初かつ最も厳格な暗号ライセンスであるニューヨーク州金融サービス局 (NYDFS) の BitLicense を保有しており、SEC 規則 17f-2 に基づく適格カストディアンとして活動しています。

2. Kraken はビットライセンスを保有していませんが、マネーサービス事業 (MSB) として FinCEN に登録されており、ワシントン州やテキサス州を含む複数の州で仮想通貨事業活動 (VCBA) 事業者としてライセンスを取得しています。

3. ジェミニの NYDFS の監督では、資産分離に関する四半期ごとの証明書と、独立した会計事務所によって検証される月次の準備金証明開示が義務付けられています。

4. Kraken は州規制当局に年次財務諸表を提出していますが、リアルタイムの準備金検証を公に開示したり、保管状況に関連する義務付けられた認証を受けたりすることはありません。

5. どちらの取引所も KYC/AML フレームワークに準拠していますが、Gemini はより厳格な本人確認基準を適用しており、機械読み取りが不十分であるか生体認証が不十分であるとみなされる政府発行の特定の ID を拒否しています。

保険適用と資産保護

1. Gemini は、AIG を通じてホット ウォレットに保管されているデジタル資産を最大 2 億ドルまで保証し、サイバーセキュリティ侵害、内部関係者の脅威、不正アクセスによる盗難をカバーします。

2. Kraken は総額 2 億 5,000 万ドルの犯罪保険契約を結んでいますが、保険契約の文言には、スマート コントラクトの脆弱性、オラクルの失敗、または従業員を対象としたソーシャル エンジニアリング攻撃から生じる損失は含まれていません。

3. どちらの取引所も、フィッシング、マルウェア、または個人用デバイスの侵害によるユーザーの損失を保証しません。責任はアカウント所有者のみにあります。

4. Gemini の保険は、プラットフォームのアップグレードによって開始されるウォレット移行イベント中に発生する損失にも適用されますが、Kraken はインフラストラクチャ移行中に発生した操作エラーに対する補償を明示的に除外しています。

5. どちらのプラットフォームも分離された顧客アカウントを維持していますが、企業資金と顧客資産の混在がゼロであることを示す四半期貸借対照表のスナップショットを公開しているのは Gemini だけです。

インシデント対応と透明性の歴史

1. Kraken は 2022 年第 2 四半期に標的型フィッシング キャンペーンを経験し、影響を受けたユーザーは 200 人未満でした。同社は72時間以内に事件を公表し、確認された損失の補償を申し出た。

2. Gemini は 2015 年の立ち上げ以来、公共セキュリティに関するインシデントを報告していませんでしたが、2021 年に漏洩した内部文書により、2 件の API キー漏洩のニアミスが悪用前に軽減されたことが明らかになりました。

3. Kraken のインシデント対応チームは、公表されている SLA に従って、侵害の検出が確認されてから 15 分以内に活動を開始し、1 時間以内に外部のフォレンジック パートナーと連携します。

4. Gemini の対応プロトコルには、異常検出後のすべての出金リクエストを 48 時間強制的に凍結することが含まれており、たとえ誤検知であっても、高ボラティリティ期間中に正規の取引が遅延します。

5. Kraken は、重大な脆弱性に対して最大 25,000 ドルを支払う公的バグ報奨金プログラムを維持しています。 Gemini は非公開の招待制プログラムを運営しており、報酬階層は公開されておらず、公開リーダーボードもありません。

よくある質問

Q: Kraken はユーザーの秘密鍵を保存しますか?いいえ、Kraken はユーザーの秘密鍵を生成したり保存したりすることはありません。すべての暗号署名は、Kraken の保管インフラストラクチャによって独占的に管理される強化された HSM 環境内で行われます。

Q: Gemini は司法命令なしにアカウントを凍結できますか?はい。 Gemini は、サービス利用規約に基づき、不審な活動、規制上の危険信号、または利用規定の違反を検出した場合、裁判所の承認を必要とせずにアカウントを一時停止する権利を留保します。

Q: Kraken のコールド ストレージ アドレスは公的に検証可能ですか?いいえ、Kraken はコールド ストレージに使用される Bitcoin またはイーサリアム デポジット アドレスを公開しません。オンチェーンアドレスマッピングなしで、集約されたプルーフオブリザーブデータのみを提供します。

Q: Gemini では、非カストディウォレットを介したセルフカストディの統合が可能ですか?いいえ、Gemini は取引またはステーキング機能のために外部の非保管ウォレットに直接接続することを禁止しています。プラットフォーム サービスに積極的に参加している間、すべての資産は Gemini が管理するアドレス内に存在する必要があります。