何があった？
暗号資産取引所FTX.comやFTX.USなどを含むFTX Groupは、2022年11月に資金繰りが急速に悪化し、多数の関連会社が米国でChapter 11を申請しました。破産申立て後にCEOとなったJohn J. Ray III氏は、独立取締役らのために、旧経営陣の下での統制の状況を調査しました。
2023年4月9日、FTX Trading Ltd.などの債務者は、米デラウェア州連邦破産裁判所へ「First Interim Report of John J. Ray III to the Independent Directors on Control Failures at the FTX Exchanges」を提出しました。報告書は、経営・ガバナンス、財務・会計、暗号資産の管理、情報セキュリティなどを扱っています。
これは破綻後の経営陣と助言者による債務者側の調査報告で、裁判所の判決・認定ではありません。「First Interim Report（第1次中間報告書）」であり、報告書自身もすべての統制不備を網羅するものではなく、調査は継続中だとしています。本記事の日本語は報告書の付箋による翻訳・要約であり、公式日本語訳ではありません。
この報告書で気になった11か所
破綻までのニュースを時系列に追うのではなく、社内規程、QuickBooksの勘定名、Slackの承認方法、顧客データベースの設定、秘密鍵のラベルといった、報告書に実際に残った具体的な運用を取り上げます。
一次資料は、裁判所へ提出されたDocket 1242-1のPDFです。債務者側の公式Krollサイトにもこの提出資料がありますが、本記事では安定して直接参照できるCourtListener/RECAP収録の裁判所提出PDFへリンクしています。ページ番号は報告書本文に印字されたページです。報告書の暗号資産価額は、原則として破産申立日の2022年11月11日時点のものです。
「Nishadがバスにひかれたら、会社全体が終わる」。技術権限は少人数に集中していた
報告書は、FTX Groupの重要な権限がSam Bankman-Fried氏、Nishad Singh氏、Gary Wang氏ら少人数に集中し、権限委譲が乏しかったとしています。
技術開発とアーキテクチャをSingh氏とWang氏が強く握っていたことについて、あるFTX Group幹部は調査で、2人への依存度をかなり直接的な言葉で説明しました。
その幹部は「Nishad［Singh］がバスにひかれたら、会社全体が終わる。Gary［Wang］も同じだ」と述べていました。
同じページには、FTX.USの社長が職務分担、経営構造、採用などの問題を指摘した後、ボーナスを大幅に減らされ、Bankman-Fried氏へ謝罪するよう求められたことも記されています。別の社内弁護士も、Alamedaの統制、経営陣の能力、リスク管理への懸念を表明した後に解雇されたと報告されています。
監査が必要と分かると、社内規程の初稿を「24時間」で作るよう求めた
報告書によると、2020年12月末、FTX GroupはNASDAQ（米ナスダック市場）への直接上場を検討する中で、FTX.USに監査が必要だと知りました。監査には規程や手続の確認も含まれるため、監査人へ見せる内部統制の文書を用意する必要が生じました。
そこで経営陣は、業務フローに詳しい社員へ、規程や手続の初稿をわずか24時間で提出するよう求めました。
報告書によると、作成された文書は外部会計士から提供された既製のひな形を編集したもので、実際の業務をどこまで反映していたかは不明でした。さらに、それらは正式に施行されず、社員への教育も行われませんでした。
約8万件の取引が、QuickBooksの「Ask My Accountant」に未処理のまま残されていた
報告書によると、FTX Groupでは56社が財務諸表をまったく作成していませんでした。35社はQuickBooksを利用していましたが、Google Docs、Slack、共有ドライブ、Excelなども組み合わせて資産や負債を管理していました。
暗号資産の記録でも、銘柄や数量を示さずに「investments in cryptocurrency（暗号資産への投資）」とだけ入力された例があり、ほかのデータとの照合を難しくしていました。
さらに約8万件の取引が、QuickBooks上の「Ask My Accountant（会計士に聞く）」という受け皿勘定に、未処理の会計エントリーとして残されていました。
報告書は、こうした記録方法によって、取引の整合確認や財務状況の把握が極めて難しくなっていたと説明しています。
評価用のメモには「何か数字を考える？ 分からない」。Bankman-Fried氏は5000万ドルを見失うこともあると記した
Alameda Researchの記録も十分ではなく、報告書は、どのようにポジションを評価していたのか判断すること自体が難しいとしています。
2022年6月の「Portfolio summary（ポートフォリオ概要）」には、一部トークンの評価入力について、担当者に数値を入れるよう促すメモが残っていました。
そこに書かれていたのは「come up with some numbers? idk.（何か数字を考える？ 分からない）」でした。
Bankman-Fried氏自身も内部メッセージでAlamedaを「unauditable（監査不能）」と表現し、残高は概算しかできず、完全な取引履歴はなおさら把握できないと記していました。さらに、見失っていた5000万ドル分の資産が見つかることもある、と書いています。
未入金の小切手が数千枚。報告書は「迷惑郵便のようにたまっていた」と記した
FTX Groupでは、締結済みの貸付契約、会社間契約、買収・投資文書、銀行・証券口座の明細などの重要文書が、不完全だったり、相互に矛盾していたり、見つからなかったりする例があったと報告されています。
破産後のチームが各オフィスから回収したものの中には、入金されないまま残っていた小切手もありました。
通常の入金処理を怠ったため数千枚の小切手が残り、中には有効期間を数か月過ぎたものもありました。報告書は「迷惑郵便のようにたまっていた（collected like junk mail）」と表現しています。
報告書は同じ箇所で、銀行口座、取引口座、暗号資産ウォレット、署名権限者について信頼できる一覧も維持されておらず、再建チームが履歴を一から作り直す必要があったとしています。
経費と請求書はSlackへ投稿し、「絵文字」で承認していた
FTX Groupでは、承認記録にもSlack、Signal、Telegramなどの非公式な手段が広く使われていました。SignalやTelegramでは「disappearing messages（自動で消えるメッセージ）」が有効になった状態で、社内外の相手とやり取りした例もあったとされています。
経費と請求書はSlackへ投稿され、「絵文字」で承認されていました。
報告書は続けて、こうした非公式・一時的なメッセージシステムが、数千万ドル規模の送金の承認を得るためにも使われ、非公式な記録しか残らない、あるいは記録がまったく残らない場合があったとしています。
なお、報告書は絵文字による承認を経費・請求書について記しており、数千万ドル規模の送金が必ず絵文字だけで承認されていたと書いているわけではありません。
外部の暗号資産取引所に1000超の口座。用途や認証情報をまとめた一覧はなかった
FTX Groupは世界各地の外部暗号資産取引プラットフォームにも多数の口座を持っていました。時期によっては、そこに重要な資産が置かれていたと報告されています。
外部プラットフォームの口座は1000を超えていましたが、各口座の用途や認証情報をまとめた包括的な中央一覧はありませんでした。
口座の中には、FTXとの関係が名前から分かりにくいものもあり、仮名的なメールアドレス、実体のないシェル会社、個人名義などが使われていました。報告書によると、直接FTXと関係のない人物名義の口座もありました。
大半の個人客の借入枠の設定は0。優遇顧客でも最大1.5億ドル。Alamedaだけ650億ドルだった
報告書によると、FTX.comの顧客データベースには「borrow（借入枠）」という設定があり、取引制限や自動清算が発動せずに口座残高をどこまでマイナスにできるかを定めていました。
破産申立日時点で、大半の個人顧客のborrow設定値は0でした。一部の優遇顧客やマーケットメーカーには0を超える値が設定されていましたが、最大でも1.5億ドルでした。
Alamedaだけは、borrow設定値が650億ドルに設定されていました。
これは実際の借入額ではなく、申立日時点のデータベース設定値です。ログが不十分なため、650億ドルの設定をいつ誰が行ったかは特定できないとされています。
Alamedaには残高がマイナスでも出金できる「can_withdraw_below_borrow」と、それに代わったとみられる「allow_negative」という設定もありました。報告書によると、allow_negativeはマイナス残高でも無制限の暗号資産出金を認め、自動清算の対象からも外すもので、申立日時点でtrue（有効）だったFTX.com顧客はAlamedaだけでした。
送金に3本の秘密鍵が必要な仕組み。それでも3本全部を同じ場所に保存していた
暗号資産の保管では、複数の鍵を別々に管理することで、1人や1か所の侵害だけでは送金できないようにする仕組みがあります。
FTX Groupでも一部でそのような統制を試していましたが、報告書は運用方法そのものに問題があったとしています。
送金に必要な3本の秘密鍵を、3本とも同じ場所に保存していた例があり、報告書はそれでは統制の目的を失うと指摘しています。
Alamedaの鍵の説明も十分ではありませんでした。6億ドル分の暗号資産に対応する鍵は、意味を示さない4つの単語だけで名付けられ、用途や、その鍵について情報を持つ人物の記録がありませんでした。数百万ドル分の鍵には単に「use this（これを使う）」「do not use（使わない）」と名付けられたものもあり、1億ドルを超えるイーサリアムの資産に対応する秘密鍵が暗号化されず平文でサーバーに保存されていた例も記されています。
顧客には二要素認証を勧めた一方、社内のGoogle Workspaceと1PasswordではMFAを強制していなかった
FTX Groupは顧客に対して、多要素認証（MFA）を使うよう推奨していました。Bankman-Fried氏もTwitterで、暗号資産の安全対策として二要素認証（2FA）の重要性を繰り返し発信していました。
しかし社内では、主要なメール・文書環境のGoogle Workspaceと、パスワード管理に使う1Passwordという2つの重要サービスで、MFAの利用を強制していませんでした。
報告書はこの状況を「ironic（皮肉なこと）」と表現しています。Bankman-Fried氏が2019年に公開した投稿には「Daily reminder: use 2FA! 90% of crypto security is making sure you’ve done the basics.」とありました（訳：「毎日のリマインダー：二要素認証を使おう！ 暗号資産の安全対策の90％は、基本を実行したか確認することだ」）。
さらに報告書によると、重要な社内メールアカウントにMFAが設定されていた場合でも、経営陣がMFAを回避できるよう手配した例がありました。
11月の侵害を知ったきっかけは、Twitterで送金を見た再建アドバイザーの警告だった
2022年11月、FTX Groupの暗号資産ウォレットから不審な送金が発生しました。報告書はこれを「November 2022 Breach（2022年11月の侵害）」と呼んでいます。
しかし、中央ウォレットの秘密鍵へのアクセスを即座に検知する仕組みがなく、Amazon Web Services（AWS）の基本的な脅威検知機能も十分に有効化されていませんでした。
FTX Groupが侵害を知ったのは、再建アドバイザーがTwitterなどの公開情報で不審なウォレット送金を見つけ、社員へ知らせた後でした。
同じくAWSのroot（最上位の管理者）アカウントへのログインを知らせる基本的なアラートも設けられていなかったと報告されています。
報告書が指摘した背景
First Interim Reportが強調しているのは、暗号資産という新しい業種だから起きた特殊な問題だけではありません。取締役会による監督、職務分担、会計記録、支払承認、資産一覧、アクセス制御、多要素認証といった、一般的な企業でも必要になる基本的な統制が欠けていた、という整理です。
報告書は、FTX Groupの失敗を「hubris, incompetence, and greed（思い上がり、無能、強欲）」によるものと評しつつ、同時に、このFirst Interim Reportは調査の途中段階における概括的な報告であり、すべての統制不備や事実を網羅するものではないと明記しています。
この記事でも、後の刑事裁判やその後に提出された追加報告書の結論をさかのぼって混ぜず、2023年4月9日時点のこの報告書に記録された資料、設定、内部メッセージ、調査結果の範囲に限定しています。
この記事の訂正
上場の検討主体をFTX.USからFTX Groupへ訂正し、小切手の「collected like junk mail」は回収ではなく、入金されずにたまっていたという意味に改めました。borrow設定が0だったのは大半の個人顧客と見出しにも明示し、650億ドルは実際の借入額ではなく設定値としました。Alamedaの出金・自動清算免除の設定を区分し、6億ドルの鍵はAlamedaの事例、1億ドル超のEthereum資産に対応する鍵は複数と明確化しました。資産額の評価時点と、鍵について情報を持つ人物の記録がないという範囲も訂正し、56社と35社を別の集団とする説明を改め、資産評価のメモと5000万ドルに関する本人の発言の範囲を整理しました。約8万件の概数と英語表現の訳も整えました。