Origami Techは安全？セキュリティ対策を解説

はじめに

Origami Techは、当プラットフォームでコードを書かずに作成したボットを使って、よりスマートかつ安全に暗号資産を取引できるよう支援します。
Origami Techアプリでデプロイしたボットは、お客様ご自身の取引所アカウントを通じて暗号資産を取引します。アカウントを当プラットフォームに接続していただいた時点から、お客様のデータと資金を常に安全に保つことを最優先事項としています。

セキュリティ上の理由からインフラのすべての層を公開することはできませんが、ログインからAPIアクセスに至るまで、Origami Techがどのようにお客様を守っているかをわかりやすくご紹介します。

APIキー

ユーザーが管理する権限設定

Origami TechプラットフォームがAPIキーに求めるのは、読み取り権限と取引権限のみです。暗号資産の出金権限を求めることは一切なく、無効化しておくことを強くおすすめします。

ChaCha20-Poly1305による暗号化APIストレージ

お客様のAPIキーは、ChaCha20-Poly1305で保護されています。これは、高速性と安全性を兼ね備えたことで知られる最新の認証付き

暗号化アルゴリズムです。

APIキーがOrigami Techに追加されると、次の処理が行われます。

秘密かつ固有のサービスで暗号化されます。
ランダムに生成された32バイトの文字列と組み合わされ、この文字列は別の場所に保管されます。
2つに分割され、それぞれが隔離された別々のサービスに保管されます。

このアーキテクチャにより、単一のシステムだけでは完全なキーを復元するのに十分な情報を持てません。暗号化そのものに加えて、構造面でも強力な保護層を実現しています。

IPアドレスのホワイトリスト対応

ご利用の暗号資産取引所が対応している場合（例：OKX）、固定IPアドレスのホワイトリスト登録をご利用いただけます。これにより、APIキーはOrigamiの安全なIPからのリクエストにのみ応答するようになり、保護がさらに強化されます。

Origami Techにできないこと

万が一ユーザーアカウントが侵害されるという極めて考えにくい事態が起きても、Origami Techが暗号資産の出金を実行することはできません。必要なAPI権限が無効になっているだけでなく、出金ロジックそのものがコードレベルで実装されていないためです。この設計上の判断により、内部の関係者であってもプラットフォームの安全対策を回避することはできません。

システムとサーバーのセキュリティ

高度な暗号化プロトコル

Origami Techは、お客様のブラウザおよび暗号資産取引所とのすべての通信に、業界標準のTLS（HTTPSおよびWSS）プロトコルを使用しています。これにより、送信されるすべてのデータは通信中も暗号化されます。

プラットフォーム全体でのChaCha20-Poly1305暗号化

Origami Techは、APIキーの保管だけでなく、内部トークン、認証情報、設定シークレットを含むプラットフォーム上のあらゆる機密データにChaCha20とPoly1305を使用しています。これにより、「保存時」のデータも強固に保護されます。

分散型キーストレージアーキテクチャ

Origami Techは、シークレットを単一のシステムに保管するのではなく、分割保管モデルを採用しています。暗号化された各データは分割され、別々の内部サービスに分散して保管されます。暗号化データを安全に提供するために必要な各部分にアクセスできるのはインフラ層のみであり、開発者や一般スタッフはアクセスできません。

実行環境へのアクセス制限

Origami Techのすべてのサービスは、隔離された環境で稼働しています。重要なコンポーネントへのアクセスは制限されており、インフラチームの権限を持つメンバーにのみ付与されます。

アカウントアクセスの保護

信頼できるデバイスからの認証

安全なログインのためにGoogleシングルサインオン（SSO）の利用を推奨しており、認証アプリによる2FAもオプションでご利用いただけます。これにより、本人確認済みのユーザーだけがアカウントにアクセスできます。

ログイン失敗に対する保護

ログイン試行回数には次の上限を設けています。

— 1分あたり最大3回

— 1時間あたり最大10回

これらの上限により、認証情報に対するブルートフォース攻撃を防ぎます。

複雑なパスワードへの対応

Origami Techは強固なパスワードポリシーを適用しています。パスワードには大文字、数字、特殊文字を含め、一定以上の複雑さを満たす必要があります。

二要素認証（2FA）

2FAはすべてのユーザーがご利用いただけ、アカウント設定から有効にできます。保護をさらに強化するため、有効にしておくことを強くおすすめします。

従業員のアクセスと社内ポリシー

ロールベースのアクセス制御

インフラの機密性の高いコンポーネントへのアクセスは、限られた社内スタッフに制限されています。開発者はAPIデータやユーザーの認証情報にアクセスできません。

隔離されたインフラ

Origamiの社内環境は、プライベートネットワークと外部VPNの内側でセグメント化されています。

第三者へのデータ送信なし

Origami Techは、ユーザーデータや暗号資産の自動売買戦略を外部の第三者と共有することはありません。お客様の情報は常に非公開のまま暗号化されています。

データ削除と戦略の機密性

Origami Techは、お客様が明示的に共有を選択した場合（例：プリセットを公開した場合）を除き、お客様のカスタム戦略や数式にアクセスしません。戦略はデフォルトで非公開であり、管理者ユーザーであっても閲覧・アクセスすることはできません。プロジェクトが削除されると、その戦略はすべてのインターフェースから切り離され、最終的に完全に消去されます。それまでの間も、アクセスできない隔離された状態に保たれます。