Alchemyのエンタープライズグレードのセキュリティインフラの内側

企業がブロックチェーンインフラプロバイダーを評価する際、セキュリティは意思決定プロセスにおいて最も重要な要素です。ブロックチェーン統合を検討している金融サービスであれ、デジタル資産機能を構築するFortune 500企業であれ、エンタープライズ規模へとスケールするweb3ネイティブ企業であれ、セキュリティはビジネスの成功にとって不可欠であり、顧客に対する交渉の余地のない責務です。

Alchemyでは、こうした要件を深く理解しています。私たちのセキュリティチームは、大手銀行、規制対象の金融機関、主要なクラウドプロバイダー、連邦政府機関、大手セキュリティ企業など、世界で最も要求水準の高い環境で活動してきた実務者によって構成されています。私たちは、企業のコンプライアンスチームが求める基準を満たしながら、ブロックチェーンアプリケーションが必要とするパフォーマンスと信頼性を提供できるよう、セキュリティプログラムを設計してきました。

ここでは、最も重要となるセキュリティ課題に私たちがどう取り組んでいるか、具体的に見ていきます。

セキュリティの基盤

Alchemyのセキュリティ組織は、エンタープライズグレードのインフラに不可欠な3つの中核的能力を統合しています：

• 規制対象機関やその監査担当者と協働してきたチームによる金融サービスのリスク管理の専門知識
• 数十億件のリクエストを処理する高可用性インフラを保護するエンタープライズ規模の運用経験
• 検知、対応、継続的改善をカバーする包括的な脅威防御能力

この組み合わせにより、企業のコンプライアンス要件を満たしつつ、最新のブロックチェーンアプリケーションが求めるパフォーマンス要件にも応えるインフラセキュリティを提供できます。

エンタープライズ企業がAlchemyを選ぶ理由

エンタープライズグレードのセキュリティとは、単一のツールや認証によって成り立つものではありません。経験豊富な人材、実証済みのプロセス、そして実戦で鍛えられたシステムが連携して機能することが重要です。

コンプライアンス要件を満たします：

• SOC 2 Type II認証取得
• 監査担当者が必要とする文書を備えたパブリックTrust Center
• エンタープライズのセキュリティレビュー向けに設計された管理策
• 審査に対応できるエビデンスと監査証跡

web3が求めるパフォーマンスを提供します：

• 市場が最も混乱する局面における99.99%の稼働率
• Kinexys by J.P. Morgan、Polymarketなどのチーム向けにエンタープライズ規模でテスト済みのパフォーマンス
• 100以上のブロックチェーンネットワークのサポート
• 自動フェイルオーバー機能を備えたグローバルインフラ

私たちが対応してきた実際のシナリオ

重要なサードパーティインフラプロバイダーの障害

課題： 2025年10月にCloudflareで障害が発生した際、多くのサービスがダウンしました。単一プロバイダーに依存したアーキテクチャを採用していた組織には打つ手がなく、プロバイダーの障害がそのまま自社サービスの障害につながりました。

なぜこれが重要か： 私たちは、当初からマルチプロバイダーでの耐障害性を前提にアーキテクチャを設計しています。私たちのインフラは複数のクラウドプロバイダーにまたがり自動フェイルオーバーを備えているため、主要な依存先で障害が発生しても、お客様のサービスはオンラインを維持できます。

アプリケーション層でのDDoS攻撃

脅威： 攻撃者が無料プランに対し、偽の登録を大量に送りつけることでアプリケーション層のDDoS攻撃を試みました。

私たちの対応：

• インシデントを宣言し、オンコール対応チームを招集
• 悪用元の地域・ネットワークをスロットリングおよびブロック
• 正規ユーザーと不正アカウントをリアルタイムで切り分け
• 悪意あるIPに紐づくすべてのアカウントを特定し削除

結果： 顧客のサービスはオンラインのまま維持され、この攻撃は障害ではなく、私たちが通過したテストとなりました。

国家的アクターによるインフラへの標的型攻撃

脅威： 最近、ClickFix/ClickFakeオペレーションと呼ばれる、北朝鮮(DPRK)関連とされるキャンペーンによって私たちは標的にされました。Alchemy社員を装った偽のLinkedInアカウントが少なくとも15件確認され、複数の経路で連携した攻撃の一環であることが判明しました。

私たちの対応： 私たちのセキュリティチームは、稼働中のコマンド＆コントロール（C2）サーバーへのアクセスを獲得し、マルウェアをダウンロードして徹底的に分析しました。これにより、侵害の試みを実用的なインテリジェンスへと転換しました。マルウェアのリバースエンジニアリングにより、非公開かつこれまで知られていなかった国家支援型のC2ドメイン、TTP、IOCを明らかにしました。

なぜこれが重要か： 私たちの能力により、既知の指標だけに頼ることなく、独自の脅威インテリジェンスを生成できます。私たちは防御するだけでなく、進化する脅威の一歩先を行くためのインテリジェンスを構築しています。

デプロイキーが保存されたノートPCの盗難

想定シナリオ： デプロイ用の認証情報が入ったノートPCが紛失または盗難に遭う——これはすべての組織が備えておくべきリスクです。

あらかじめ講じている管理策：

• デプロイできる人： デプロイキーにアクセスできるのは厳しく限定された役割のみ。アクセスはログ記録・レビューされ、容易に取り消せます。
• ノートPC上のデータ： エンドポイントに保存できる内容を制限し、DLPによって機密データを監視しています。

対応の流れ：

• EDRにより、デバイスを即座にネットワークから隔離してフォレンジックを実施
• MDMにより、リモートでロックおよびワイプを実行
• 該当ユーザーに紐づくセッションを失効させ、キーをローテーション
• ノートPCは暗号化済み
• ゼロトラストの管理策により、デバイスの状態とネットワーク要件を確認

違い： Alchemyであれば、これらはデフォルトで提供されます——堅牢化されたデバイス、統制されたアクセス、実践されたインシデント対応です。多くの自前構築やレガシーな環境では、どのノートPCに誰がどのキーを持っているかさえ推測に頼りがちです。

GitHubアカウントを狙ったフィッシング攻撃

私たちの防御策：

• 第一層： 継続的な従業員教育と、不審なログインの監視。これが最大の防御線です。
• 第二層： すべてのGitHubアカウントにOktaを通じたSSOを導入しており、Alchemy固有のGitHubアカウントがフィッシングされるには、SSOインフラ自体が侵害される必要があります——これが重要な追加の防御層となっています。

セキュリティプログラムのご確認

エンタープライズのセキュリティ・コンプライアンスチームの皆様には、私たちのセキュリティプログラムを詳しくご確認いただくことをお勧めします：

Trust Centerをご覧ください。セキュリティ管理策とコンプライアンス文書をご確認いただけます。

具体的なセキュリティ要件、コンプライアンスニーズ、規制上の考慮事項、技術アーキテクチャについては、お問い合わせください。

よくある質問

Alchemyはどのようなセキュリティ認証を取得していますか？

AlchemyはSOC 2 Type II認証を取得しており、パブリックTrust Centerでは、エンタープライズのセキュリティレビュー向けに設計された文書、管理策、エビデンス、監査証跡を提供しています。

Alchemyはブロックチェーンアプリケーションに対して、どのように高い稼働率を実現していますか？

複数のクラウドプロバイダーにまたがる自動フェイルオーバーを備えたグローバルインフラにより、市場が最も混乱する局面でも99.99%の稼働率を実現しており、主要な依存先で障害が発生してもサービスの継続性を確保します。

Alchemyはどのようなアクセス制御を実施していますか？

Oktaを通じたシングルサインオン（SSO）とロールベースアクセス制御（RBAC）を使用しており、厳密に限定されたアクセスをログ記録・レビューし、容易に取り消せるようにしています。

最近の国家的アクターによる標的型攻撃に対し、Alchemyはどのように対応しましたか？

DPRK関連とされるClickFix/ClickFakeキャンペーンの際、Alchemyのセキュリティチームは稼働中のコマンド＆コントロールサーバーへのアクセスを獲得し、マルウェアをダウンロードしてリバースエンジニアリングを実施。これまで知られていなかった国家支援型のC2ドメイン、TTP、IOCを明らかにしました。

ノートPCの盗難・紛失に対し、Alchemyはどのような対策を講じていますか？

暗号化されたノートPC、即座にネットワーク隔離が可能なエンドポイント検知・対応（EDR）、リモートロック・ワイプが可能なモバイルデバイス管理（MDM）、ゼロトラストの管理策、そして即座に取り消し可能な厳密に限定されたデプロイキーアクセスを採用しています。

AlchemyはDDoS攻撃にどのように対応していますか？

無料プランに対する実際のアプリケーション層DDoS攻撃において、Alchemyのチームはインシデントを宣言し、悪用元の地域・ネットワークをスロットリング・ブロックし、正規ユーザーと不正アカウントをリアルタイムで切り分け、悪意あるアカウントをすべて削除しました。この間、顧客のサービスは一貫してオンラインを維持しました。

Alchemyのセキュリティチームがエンタープライズ要件に対応できる理由は何ですか？

Alchemyのセキュリティチームは、大手銀行、規制対象の金融機関、主要なクラウドプロバイダー、連邦政府機関、大手セキュリティ企業での経験を持つ実務者で構成されており、金融サービスのリスク管理、エンタープライズ規模の運用、包括的な脅威防御能力を組み合わせています。

AlchemyはGitHubを狙ったフィッシング攻撃に対し、どのように対策していますか？

Alchemyはすべてのアカウントに対してOktaを通じたSSOを必須としており、GitHubアカウントがフィッシングされるにはSSOインフラ自体が侵害される必要があります。それに加え、継続的な従業員教育と不審なログインの監視を第一の防御層としています。