Bitgetが攻撃者ウォレットにEthereum(ETH)を含む3億5,160万ドルのハッキングを確認

Bitget、3億5,160万ドル相当のウォレット侵害を確認

暗号資産取引所Bitgetは木曜日、ホットウォレットおよびウォームウォレットの一部に不正な送金が発生したことを確認した。推定被害額は約3億5,160万ドル。取引所の公式発表によると、セキュリティシステムは9月24日18時31分(UTC)に異常な資金移動を検知し、数分以内に緊急対応手順を発動した。創業者兼CEOのGracy Chen氏は、コールドウォレットは一切 touchされておらず、被害は同社の3層カストディ構造のうちホット層とウォーム層に限定されていると説明した。出金はセキュリティレビューの完了まで一時停止となっているが、入金と取引は通常どおり稼働している。同社は調査の進展に合わせ、公式チャネルを通じて1時間ごとの状況更新を公表するとしている。

オンチェーンで一括送金パターンが浮上

取引所の公式確認に先立ち、オンチェーンでは数時間にわたり警鐘が鳴り続けていた。チェーンデータによると、一連の大型送金が約20分という短い時間帯に集中しており、資金はBitgetのラベルが付いた複数のホットウォレット、さらには少なくとも1件のコールドウォレットから流出した。単一のアドレス0x770b...63Eeが受取人として繰り返し出現し、取引所関連ウォレットからEthereum(ETH)、AVAX、BNB、USDT、USDC、そして現物ゴールドに裏付けられたトークンXAUTを吸い上げていた。リサーチャーはこの集約パターンを異例と指摘する。複数のウォレットが異なる資産を短時間のうちに同一宛先へ送る動きは、取引所ハッキング時に見られる迅速な一括回収と類似する。ただし、取引所はウォレットメンテナンスやカストディ変更の際に内部的に資金を統合することもあるため、一概に断定はできない。

保護基金による補償を表明

開示の中でChen氏は、口座残高は正確に保持されており、顧客資産は保護されていると利用者を安心させようとした。Chen氏はこう書いている。「ユーザーの資金は安全です。今回の損失全額はBitgetのユーザー保護基金の補償範囲内であり、同基金は現在4億6,400万ドル超を保有しています」。同取引所によれば、緊急対応チームは最初の異常送金から数分以内に稼働し、異常な資金流に関連するアドレスを特定・フラグ付けしたうえで、法執行機関およびオンチェーンセキュリティ企業に正式に通知した。ソーシャルメディア上では当初約1億7,400万ドルとの推定が流れ、後続の取引の判明とともに積み上がったが、最終的に確認された規模をほぼ半分下回る過小評価だったことになる。

監視対象はホットウォレット3件とコールドウォレット1件

取引所が声明を出す前に、オンチェーンのテレメトリーはすでに被害の範囲を描き出していた。影響を受けたのはホットウォレット3件とコールドウォレット1件で、最初の報告時点でこれらのアドレスには約5億3,000万ドル相当の資産が残っており、直前の送金はわずか数分前に記録されていた。ソーシャルプラットフォームでは出金ができないという利用者の報告が相次ぎ、一部のアカウントが根拠のないまま流出資金の一部がETHへ変換されていると主張したことで、侵害の憶測に拍車がかかった。AIクリプトウォレット監視システムで強化されつつあるリアルタイムのカストディ監視も、この一括送金を資金がすでに動き出した後まで捉えられなかったことは明らかだ。

攻撃者、Arbitrumで7,111 ETHを購入

オンチェーンのフォレンジックは、攻撃者が略取した資金の換金をどう開始したかを明らかにした。0xe410で始まる新規作成ウォレットが、1,967万ドル相当のUSDT0を使い、わずか6分でArbitrum上の7,111 ETHを購入。UniswapXと1inch Fusionを経由し、スポット価格を最大5%上回るプレミアムを支払った。これは価格よりも速度を優先する買い手に典型的な水準だ。盗まれたステーブルコインと異なり、ETHは分散型であり凍結がはるかに困難だ。匿名のオンチェーンリサーチャーDCF GODが最初にこの取引を指摘し、分析企業Bubblemapsは約1時間のうちに複数チェーンから単一の宛先へ約1億8,300万ドル相当の資産が移動したとして、同プラットフォームを「ハッキングされた可能性がある」とラベル付けした。

Hackenがコールドウォレットの資金移動を警告

ブロックチェーンセキュリティ企業Hackenは最も早く警鐘を鳴らした先のひとつだ。同社はBitgetに帰属するコールドウォレットからUSDT、ETH、BTC、AVAX、BNBが移動したことを報告し、疑われる侵害額を約1億ドルと評価した。イールドファーミングプロトコルから中央集権型取引所まで監査実績を持つ同社は、出金苦情が増えるなか調査を開始した。Hackenの試算は結局は保守的だったことが証明された。推定額は1億7,600万ドル、1億8,300万ドルと積み上がり、最終的に取引所自身の評価である3億5,160万ドルがそれらをほぼ倍増させた。この乖離は、多段階の一括回収の全体像が固まる前には、初期のチェーンテレメトリーが典型的には最初の局面しか捉えられないことを示している。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

事後報告書は24時間以内に公表予定

一連の流れを総合すると、約20分で多資産が0x770b10b273fC44Fe9197D6bF20F145c2e98463Eeへ一括送金され、そこから派生アドレスへ分散し、6分間でETHが集中的に積み増されたという経緯は、2026年に確認された取引所侵害としては最大級の規模を刻む。流出総額は攻撃者アドレスを追跡する誰にでもオンチェーン上で検証可能だ。根本原因は依然非公開だが、Bitgetは是正措置を含む完全なインシデント報告書を24時間以内に公表する方針を明示している。オンチェーンの証拠を当編集部が読み解く限り、チェーンごとの細分化は資金凍結の試みを妨害するために設計されている。2025年2月にBybitで過去最高の14億ドルが盗まれ、前年は業界全体で27億2,000万ドルの被害が発生したことを踏まえると、改めて市場の方向性ではなくカストディ構造が律速要因となっている。当社の最適な暗号資産取引所ガイドは、各取引所が資産分離と保険補償をどう開示しているかを追跡している。