PR

Bitget、3億8750万ドルの流出を確認。CEOは北朝鮮関連の手口と指摘、出金は9月28日から段階再開

仮想通貨ニュース
2026.09.27
記事内に広告が含まれています。

暗号資産取引所Bitgetは9月26日、9月24日に発生した不正送金による流出額を3億8750万ドルと確定し、9月28日から出金を段階的に再開すると発表した。当初の公表額は3億5160万ドルだったが、ZcashとTRON上の資産が追加で確認されたため上方修正された。

この記事のポイント

  • 流出額は3億8750万ドル。秘密鍵の盗難ではなく、バックエンドシステムを侵害して送金データを偽装する手口だった。
  • BitgetのグレイシーチェンCEOは、IPアドレスの挙動やオンチェーン分析から北朝鮮関連グループの手口と一致すると述べた。ブロックチェーン分析企業Ellipticも同様の見方を示している。
  • 損失は5500BTC（4億6400万ドル超）規模のユーザー保護基金で全額補填され、利用者残高は維持される。出金は9月28日のビットコインを皮切りに10月2日まで順次再開する。

検知から流出額確定までの経緯

Bitgetの監視システムが異常を検知したのは、協定世界時（UTC）9月24日18時31分だった。ホットウォレットからの不正な送金が複数のネットワークで同時に走り、当初は約1億7500万ドルが流出したと観測されていた（参考: The Record・Crypto CEO accuses North Korea of $387 million theft）。

被害は検知後も拡大し、翌25日時点で3億5160万ドルに達した。流出した資産はETH、XRP、BNB、AVAX、USDT、USDCなど複数銘柄にまたがり、対象ネットワークはイーサリアムおよびEVM系チェーン、XRP Ledger、Zcash、TRONに及んだ（参考: Elliptic・Bitget attack pushes suspected North Korea crypto heists over $1 billion in 2026）。

経緯

9月24日 18:31 UTCBitgetの監視システムがホットウォレットからの不正送金を検知。出金を停止。

9月25日流出額を3億5160万ドルと公表。チェンCEOが北朝鮮関連グループの関与の可能性に言及。

9月25日Ellipticが、本件で2026年の北朝鮮関連とみられる被害額が10億ドルを超えたと報告。

9月26日ZcashとTRON上の資産を追加確認し、流出額を3億8750万ドルへ修正。出金の段階再開日程を公表。

承認プロセスを通過した「偽装データ」による送金

今回の攻撃で特徴的なのは、秘密鍵が盗まれていない点である。チェンCEOは、攻撃者が「当社のウォレットインフラ内の重要なバックエンドシステムを侵害し、それを使って取引データを偽装し、当社の承認プロセスを作動させて資金を外部へ移動させた」と説明した（参考: CNBC・Crypto platform Bitget suspects North Korea is responsible for $352 million hack）。

署名者が買収された形跡も報告されていない。承認フローそのものは設計どおりに動作し、その入力となるデータが偽られていた。つまり、鍵管理の強度ではなく、承認判断の材料が信頼できるかという点が突かれた形になる。

Bitgetは脆弱性を特定して修正済みであり、追加の不正送金は発生しないとしている。調査には米Mandiantとブロックチェーンセキュリティ企業SlowMistが独立チームとして参加している（参考: NewsBTC・Bitget Raises Hack Estimate To $387.5M And Sets Withdrawal Restart Plan）。

用語の整理

ホットウォレット: インターネットに接続した状態で運用する取引所の出金用ウォレット。即時出金に対応できる反面、外部からの攻撃面が大きい。

バックエンドシステム: 利用者から見えない内部処理基盤。出金の指示内容を組み立て、署名・承認へ引き渡す役割を担う。

ユーザー保護基金: 取引所が自己資金で積み立て、事故時に利用者の損失を補填するための準備金。法的な預金保険とは異なり、運営方針に基づく任意の仕組み。

クロスチェーン: 別々のブロックチェーン間で資産を移す操作。追跡を難しくする目的で資金洗浄に使われることがある。

北朝鮮関与とみる根拠と2026年の被害総額

チェンCEOは、攻撃手法が「北朝鮮のハッカー組織の既知のパターンと高い整合性がある」と述べている。根拠として挙げたのは、過去に北朝鮮系グループの活動履歴があるVPNインフラに接続していたIPアドレス、行動パターン、そしてオンチェーンの痕跡である（参考: Fortune・North Korea accused of plundering Bitget for $387 million in year’s biggest crypto attack）。

Ellipticも独自分析で同様の判断を示した。同社は、Bitgetから流出したXRPと、過去に北朝鮮関連とされた事件のETHとの間に接続が見られること、2025年のBybit事件で使われた資金洗浄インフラとのつながりがあることを指摘している。資金はネイティブ資産へ速やかに交換され、Arbitrumからイーサリアムへクロスチェーンさせる動きも確認されたという。

Ellipticによれば、2026年に入って北朝鮮関連とみられる暗号資産の窃取は51件以上、累計10億ドルを超え、本件は同年で最大の単一事件となる。同社は2026年4月にも、Solana上のDrift Protocolで発生した2億8500万ドルの流出について北朝鮮系の関与を指摘していた。

一方、オンチェーンアナリストのSpecterは、流出したXRPが7月に発生したAFXの事件（被害額2400万ドル）の資金と接続していると指摘した。ただしCryptoSlateは、Bitget事件の帰属は調査中であり、独立した確認は取れていないと注記している（参考: CryptoSlate・Bitget’s North Korea-linked $352 million hack could drain 76% of its protection fund）。現時点で捜査当局による公式な断定は公表されていない。

ユーザー保護基金による補填と出金再開スケジュール

Bitgetは、損失の全額をユーザー保護基金で吸収すると表明している。同基金は5500BTC、時価で4億6400万ドル超とされ、利用者の口座残高は実際の保有量を反映したまま維持される。CryptoSlateの試算では、当初公表額の3億5160万ドルを全額充当した場合でも基金の約76%に相当する。今回確定した3億8750万ドルはそれを上回る規模であり、基金に占める比率はさらに高くなる。

チェンCEOは25日時点では再開時期を明言せず、確信を持って言える段階になってから公表するとしていたが、26日に具体的な日程を示した。

対象 再開日時（UTC）
ビットコイン（Bitcoinネットワーク） 9月28日 8:00
イーサリアム（複数ネットワーク） 9月29日 8:00
USDT 9月30日 8:00
その他のトークン、法定通貨、P2P取引 10月2日

Bitgetは、資金回収に協力した第三者へ報酬を支払うリカバリーバウンティ制度を設け、業界パートナーとの連携で一部資産の凍結にも成功したとしている。チェンCEOは「関係当局に通報し、世界的に全面的に協力している」と述べ、さらに「Bybitが15億ドルの損失に耐えられたのなら、我々も3億5000万ドル超の損失に耐えられる」と語った。

今後の論点

第一に、承認プロセスの前提となる内部データをどう検証するかという設計上の課題がある。マルチシグ（複数署名）やコールドウォレットへの分離は鍵の盗難に備える仕組みであり、正規の承認フローに偽のデータを流し込む攻撃はその想定の外側にある。2025年のBybit事件でも、署名者が表示された内容を信じて承認した点が問題になった。編集部の見方では、今回の事案は「鍵を守る」から「承認する情報が正しいか確かめる」へ、取引所の防御の重心が移りつつあることを示している（根拠: 秘密鍵の盗難・署名者の買収がいずれも報告されていないこと）。

第二に、保護基金の耐久性である。Bitgetは全額補填を明言しているが、単一の事件で基金の大半を消費する構図になっており、補充の速度と原資の開示が今後問われる。基金はビットコイン建てで保有されているため、価格変動によって補填余力そのものが動く点にも留意が必要になる。

第三に、資金の追跡と凍結の実効性である。Ellipticは流出資金の一部について既に移動経路を把握しており、Bitgetも業界連携で凍結に至ったと説明している。もっとも、回収額の内訳は現時点で公表されておらず、最終的にどれだけ戻るかは確認できていない。

出典

免責事項

本記事は情報提供を目的としたものであり、特定の暗号資産の購入・売却を推奨するものではありません。投資判断はご自身の責任で行ってください。暗号資産は価格変動が大きく、元本を割り込む可能性があります。なお、本記事はAIを活用して作成しています。正確性に努めていますが、内容が事実と異なる可能性があります。重要な情報はご自身で公式・一次情報をご確認ください。

関連記事

コメント