GENERAL BYTES

紙幣でビットコインを買う場面を想像してみてください。取引所にログインする代わりに、機械の前に立って自分のウォレットアドレスを指定します。GENERAL BYTES はこの交換方法のための機器を提供しています。自社の年表では、2013 年にプラハで創業し、2014 年に一般利用者向けの最初の ATM を設置したとしています。販売台数は過去の出荷を表すもので、現在稼働中の場所の一覧や、独立して確認された顧客数ではありません。 [1]

購入がうまくいかない場合、大切なのはその ATM を誰が運営しているかです。GENERAL BYTES は個別取引に関する問い合わせ先を運営者としています。メーカー名だけでは交換レート、手数料、代金の受取人、返金の担当者は分かりません。購入前には機器のブランドを見るだけでなく、取引条件を読み、サービスの連絡先を確認しておくと役立ちます。 [2]

一方向の BATM は現金を受け取り、暗号資産の購入に使えます。双方向の機種では、暗号資産を受け取って現金を払い出すこともできます。ただし、同じブランドの全機種が両方を提供するわけではありません。機種、装備、運営者の設定が関係します。たとえば製品群としてビットコインの売却に対応していても、訪れた機械でその時に紙幣を受け取れる保証にはなりません。 [2]

BATM 端末からの要求を処理するのが、ATM を集中管理するサーバー CAS です。設定に応じて取引所や hot wallets、つまり日常の支払いに使えるオンラインのウォレットと通信します。そのため、購入時には接続されたウォレットから顧客のアドレスへビットコインを送ることができます。メーカーによると端末自体は暗号資産を保管しません。安全性には丈夫な筐体だけでなく、サーバー、ウォレット、連携サービスのアカウントへのアクセス保護も必要です。 [3]

運営者が別の取引所やウォレットを接続したいこともあります。そのための仕組みが CAS の拡張機能です。公開リポジトリ batm_public にはサンプル、試験ツール、Java API があり、Java で書かれたプログラムがこのインターフェースを通じてシステムと連携します。拡張機能の公開は、製品の全構成要素がオープンソースである証明にはなりません。独自の追加機能にも保守と、使用中の CAS との互換性確認が必要です。 [4]

2023 年 3 月 17–18 日の事案に関する通知では、攻撃者がサーバーのインターフェースから独自のアプリケーションを実行したとされています。これによりデータベースと API キー、つまり接続されたウォレットや取引所の認証情報にアクセスできました。そうした情報は送金を可能にする場合もあります。そのため復旧には更新に加え、侵害されたサーバーの再構築と認証情報の交換が含まれました。最初の侵入口を塞ぐことと、盗まれたアクセス権を無効にすることは別の作業です。 [5]

2026 年 7 月 22 日の報告は、別の CAS インシデントを説明しています。同社は、受信データを処理する Hessian ライブラリの防御不足と、端末を識別するフィンガープリントの確認不備を挙げました。ここでいう指紋は接続機器の識別情報であり、顧客の指ではありません。メーカー自身の基盤への侵入も報告されています。したがって、2023 年の修正だけで後の問題が解決したとは言えません。各通知にはそれぞれの影響範囲と復旧手順があります。 [6]

2026 年の報告への 8 月の追記では、診断データを集める Sentry への侵入が説明されました。同社によると、攻撃者は CAS サーバーのアドレスや、機械が読み取れなかった QR コードの画像を取得できた可能性があります。メーカーは、画像に含まれていたのはアドレスであり、秘密鍵ではないとしています。この区別は重要ですが、運用上の機微な情報であることに変わりはありません。ATM が顧客の本人確認をする場合もあります。紙幣で払うだけでは匿名の購入は保証されません。 [6] [2]