Bitgetの3億5,160万ドル不正流出、窃取資金はEthereum(ETH)に集約

Bitget、3億5,160万ドル規模のホットウォレット侵害を公式確認

暗号資産取引所Bitgetは、一部ホットウォレットから約3億5,160万ドル相当の資産が不正に送金されたことを公式に確認した。同社の検知時刻は9月24日18時31分(UTC)で、緊急対応プロトコルにより侵害は数分以内に封じ込められたという。セキュリティシステムは送金の実行中に異常な流出を捕捉し、その後、疑わしいアドレスのロックダウン、法執行機関への通報、オンチェーンセキュリティ企業の投入へと対応が進められた。予防措置として出金は一時停止されたが、入金および先物取引を含む取引は通常どおり稼働しており、顧客の残高表示も実際の保有資産を正しく反映している。

被害は同社の3層カストディ構造のうちホットウォレット層とウォームウォレット層にとどまり、資産の大半を保管するコールドウォレットには影響がなかった。取引所の説明によれば、秘密鍵そのものは盗まれていない。攻撃者はウォレットインフラ内の主要なバックエンドコンポーネントを侵害し、これを使ってトランザクションデータを改ざん。本来は拒否されるべき送金を、通常の承認・署名フローに不正に通したという。この点は重要だ。鍵自体は暗号学的に健全なまま残り、鍵へ指示を流すパイプライン側が破られたことになる。CEOのGracy Chen氏は取引所の公式発表の中で、ユーザー資産は完全に保護されており、4億6,400万ドル超を保有するユーザー保護ファンドが推定定損失3億5,160万ドルを、約1億1,200万ドルの余裕をもってカバーできると確認した。「われわれは責任を回避しない」と同社は声明し、「1ドル、1つの判断」に至るまで完全な説明責任を果たすと誓った。Chen氏はまた、独立したセルフカストディ製品であるBitget Walletは影響を受けていないと強調した。ブロックチェーン研究の間では、アナリストのConor Grogan氏らがこの説を支持しており、初期のルーティング指標が北朝鮮のLazarus Groupに結び付けられているが、Bitget自身はこの主張を公式には確認していない。さらに同社は、2025年4月にマーケットメイキング・ボット・アービトラージ関連で発生した約1億ドル規模のインシデントとは、本件を明確に区別し、両者はメカニズム的に無関係だと説明している。

取引所の公式発表https://x.com/bitget/status/2103236552482848927?s=20

オンチェーンの痕跡:1億293万XRP、31,890 ETH

Bitgetが公に動きを見せる前から、オンチェーンの観察者たちは同所名のラベルが付いたウォレットから数千桁規模の資金流出を追跡し始めていた。初期推計は1億5,000万〜1億7,000万ドルだったが、マッピングが拡大するにつれてほぼ倍増した。オンチェーンデータが示す窃取資産の構成は異例なほど幅広い。約1億293万XRP(1億5,750万ドル相当)、31,890 ETH(8,580万ドル相当)、3,475万ドルのUSDT、2,105万ドルのUSDC、1,967万ドルのUSDT0、トークン化ゴールド3,000 XAUt、12,719 BNB、821,012 AVAX、そしてTRONネットワーク上の2,059万TRXだ。EVM互換資産の大部分は急速に集約され、Ethereum(ETH)へ変換された。トラッカーの推計では、攻撃者のETHポジションは約67,982 ETHに達した。公開トラッカーが可視化できた約1億8,300万ドルと、Bitget発表の3億5,160万ドルとの差は、同社がより広範な会計を行っていることによるものであり、主に巨額のXRPポジションと追加のチェーン分が含まれる。つまり初期のオンチェーン警報は炎の一部しか捉えていなかった。回収の見込みは資産の種別によって分かれる。USDTやUSDCなどのステーブルコインは、トークンが識別可能である限り発行者が自身のコントラクトで凍結できる。一方、新規ウォレットに移されたネイティブETHは取り戻すことがはるかに困難だ。だからこそ、ETHへの急速な変換が現時点で最も重大なオンチェーンシグナルなのである。Chen氏はXでの続報において、インシデントは封じ込め済みで今後の不正送金は想定されていないと述べ、MandiantおよびSlowmistと協力して毎時の進捗を公開し、根本原因と是正措置を網羅した完全な報告書を24時間以内に公表する方針を示した。出金再開のスケジュールは未定だが、その間も入金と取引は開放されたままだ。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

Xでの続報https://x.com/GracyBitget/status/2103284083363398137?s=20

検証報告書は24時間以内に

本件は、取引所リスクが急騰した一年の流れの中に位置づけられる。2026年上半期だけで、212件のセキュリティインシデントにより約11億ドルが窃取されている。オンチェーンの痕跡から読み取れる攻撃者の狙いは、速度と恒久性だ。確実に機能する回収手段である発行者による凍結を逃れるため、変換可能な資産をすべてネイティブETHへ掃き出している。バックエンド改ざんという攻撃ベクトルは、業界のセキュリティ基準も引き直させる。秘密鍵は持ちこたえたのに資金は流出した。つまり取引所を比較する際、判定すべき境界は鍵の保管だけではなく、署名インフラ全体なのだ。最適な暗号資産取引所を選ぶ利用者にとって、SNS上のFOMOを煽る犯人アトリビューション憶測よりも、今後の開示内容が重要だ。初報から24時間以内に公開予定の検証報告書は、根本原因とその対策、そしてトランザクションポリシーのチェックが改ざんされたフローを拒否できたか否かを明示すべきである。