Bitgetハッキング被害は3億8,750万ドルに拡大、盗難XRPは1億5,700万ドル規模

ウォレットバックエンドへの侵入の全貌

Bitgetは、史上最大級の暗号資産流出事件を正式に認めた。同取引所のホットウォレットおよびウォームウォレットから合計3億8,750万ドル分の資産が不正に引き出され、現在は法執行機関が捜査に乗り出している。同社のセキュリティシステムが最初の不正送金を検知したのは、9月24日18時31分(UTC)。その後およそ1時間のうちに、オンチェーンの監視筋は同取引所のタグが付いたウォレットアドレスから、ステーブルコインやイーサリアム(ETH)などの資産約1億8,300万ドル分が流出したことを確認した。Bitgetがその日のうちに公表した時点で被害額は3億5,160万ドルに達し、24時間後にCEOのGracy Chen氏が更新情報を発表、総額は3億8,750万ドルへと引き上げられた。Chen氏はライブ配信およびXでの連続投稿を通じて攻撃のメカニズムを説明している。それによれば、侵入者はユーザーの出金リクエストを偽造したわけでも、コールドウォレットや各ホット・ウォームウォレットの秘密鍵を入手したわけでもない。代わりに、取引所のウォレット基盤内部にあるバックエンドシステムに侵入し、トランザクションデータを改ざんして、Bitget自身の承認フローを欺いた――一見 Routine に見える送金をシステムが「正常」と判断して署名してしまったのだ。金庫の番号を盗んだのではなく、書類を偽造した結果、システムが疑いもなく押印した、という構図である。オンチェーンの痕跡はさらに多くを語った。新規作成されたばかりのウォレットが、ドル連動型ステーブルコインTetherのクロスチェーン版であるUSDT0を1,967万ドル分投入し、わずか6分で7,111 ETHを購入。市場価格より約5%高いレートで、UniswapXおよび1inch Fusionという分散型取引所を経由した。匿名研究者のDCF GODは、この流出が進行している最中に異常を指摘していた。資産はその後、Bitgetのタグが付いたさらなるアドレスから少なくとも5つのブロックチェーンへ分散。最大の構成要素は約1億300万XRPで、時価にしておよそ1億5,700万ドルに相当する。Chen氏は流出はすでに阻止され、今後これ以上の不正送金は不可能だと明言した。一方、入金・現物取引・無期限契約(パーペチュアル)市場は終始稼働を維持し、予防措置として出金のみが凍結されている。

更新情報https://x.com/GracyBitget/status/2103487508147491014

ラザルス関連か、4億6,400万ドルの保護基金

.working suspect(暫定的な容疑者)として浮上しているのは北朝鮮だ。オンチェーン調査企業のSpecter Analystは、最初の不正送金から数時間以内に、この作戦をラザルスグループ(Lazarus Group)の仕業と結び付けた。Chen氏も、3時間を超えるライブ配信を終えた後、今回の攻撃には北朝鮮系作戦の特徴が見られると述べた。根拠として挙げたのは、北朝鮮関連グループが選好するVPN構成と一致するIPアドレス、そして同国が関与したハッカー集団が過去に用いてきた手法と整合するオンチェーン上の署名。ただし氏は、この帰属は未確定であり、技術的証拠はまだ公開されていないと強調している。Chen氏自身もかつて同一グループの標的となり、取引所以外の個人ウォレットから約8万ドルを失ったと明かした。ラザルスはTraderTraitorというコードネームでも追跡されており、業界最大規模の強盗事件の多くが同グループに帰されている。2025年2月のBybitからの14億ドル盗難事件では、後にFBIが北朝鮮の関与を公式に確認した。分析会社Chainalysisの集計では、北朝鮮の2025年の暗号資産獲得総額は20億ドルを超える。コールドウォレットは無事だったとされ、被害を受けたのはホット・ウォームの各層。Bitgetのセルフカストディ型ウォレット製品にも影響はなく、複数のチェーンが事件関連アドレスを凍結している。利用者にとって最大の朗報は補償体制だ。2023年時点で3億ドル規模だったUser Protection Fundは現在4億6,400万ドルを超えており、今回の損失全額をこの基金が吸収するため、顧客の残高は完全に保全されている。MandiantとSlowMistによる独立系フォレンジックは進行中で、出金は同社が翌日以降に方針を示すまで停止。根本原因を明らかにする完全な報告書も、システム修復完了後に公表する意向だ。なお当初の被害推計は、調査者が対象ウォレット各層の突合作業を終える前にはるかに小さかった。そして事件は、皮肉にもBitgetが設立8周年を祝うタイミングで発生した。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

結び付けたhttps://x.com/SpecterAnalyst/status/2103286738961486186?s=20

セルフカストディ論争の再燃

オンチェーン記録と取引所側の検証をここまで読み解いた筆者の見立てはこうだ。根本原因は、正常に稼働していた署名プロセスに対して、攻撃者が管理する入力データを「偽造トランザクションデータ」として流し込んだ点にある。つまり承認レイヤーは設計どおりに動作し、入力だけが攻撃者に支配されていた。これは秘密鍵の盗難よりも是正が難しい問題であり、今後の対応はMandiantとSlowMistのフォレンジック、そして誓約されたインシデント報告書に委ねられている。Bybit事件に続く今回の襲撃は、北朝鮮型攻撃のプレイブックをさらに拡張した。利用者にとっては、ビットコイン・マキシマリズムが10年間主張し続けてきたセルフカストディ(自己管理)の議論が改めて現実味を帯びてくる。また、Stargate Financeのようなプロトコルが担うクロスチェーン移動の流動性は資金洗浄ルートとしても悪用されており、盗難資産の残りを凍結する取り組みは駆け引きの様相を呈している。プラットフォームリスクを見極めたい読者は、カストディや準備金証明(PoR)の実践を各社比較できる弊社のBest Crypto Exchangesガイドを参照されたい。