Bitget、ホットウォレットから3億5,160万ドル流出を確認——イーサリアム(ETH)も被害に

チェーンをまたいで空になったホットウォレット

世界最大級の暗号資産取引所Bitgetが、ハッカーによるホットウォレットへの侵入により3億5,000万ドル超の資産を失った。ホットウォレットとは、出金や決済処理のために取引所がインターネットに常時接続して運用するウォレットを指し、取引所への攻撃においては標準的に最初の標的となる。オンチェーン監視ツールは9月25日未明に最初の異常な資金移動を検知し、取引所管理アドレスから持ち主不明のウォレットへ1億8,000万ドル超の資産が流出したことを記録した。その後、追跡された流出額の累計は3億5,100万ドルを超えて上昇しており、今回の侵害は取引所内部の監視ではなく、外部のオンチェーン分析によって先に捕捉されたものだ。窃取された資産はEthereum (ETH)のほか、ステーブルコインのUSDCとUSDT、BNB、AVAXに及んでいる。オンチェーンデータによれば、攻撃者はこれらの資産を市場価格を大きく下回る水準で換金しており、スリッページの極端な実例となった。その後、攻撃者はブリッジプロトコル経由で資金を他のブロックチェーンへ移し、回収作業の妨害を図った。疑わしい流出の数分後には、ユーザーからの出金失敗の報告が相次いだ。BitgetのGracy Chen最高経営責任者(CEO)は木曜日にこのインシデントを公表し、損害額を約3億5,160万ドルと推定した。Chen氏は顧客資産は安全であり、損失全体が取引所のユーザー保護ファンドの補償範囲に収まると強調した。同ファンドは現在4億6,400万ドル超を保有しており、今回の被害を全額吸収できる規模だ。Bitgetは攻撃を検知した直後に出金を停止し、完全なセキュリティレビューが終わるまでサービスを再開しないとしている。Chen氏はまた、調査で追跡されたIPアドレスが北朝鮮(DPRK)系グループに関連している可能性があるとしつつ、この関連は確定していないと明言した。

バックエンド侵入、鍵は無事か

Bitgetが9月25日に発表した公式の追加情報により、根本原因が絞り込まれた。Chen氏がXアカウントで公開したセキュリティチームの暫定調査結果によれば、侵入者は取引所のウォレットサービスの中核となるバックエンドシステムに侵入し、転送情報を偽造した上で承認署名プロシージャを起動して外部アドレスへ資金を送金した。これはプラットフォームの通常の転送用注文タイプに似せた指示だったという。決定的なのは、ウォレットの秘密鍵が漏洩したことを示す証拠は一切確認されていない点だ。Chen氏は鍵の漏洩が排除されたと述べ、「より深刻なリスクシナリオが排除された」とし、封じ込めは完了しており、今後不正に資金がプラットフォーム外へ流出する可能性はないと説明した。同社自身の評価によれば、Bitgetの三層ウォレット構造によりコールドウォレットは完全に無傷のまま保たれている。攻撃者が具体的にどのようにバックエンドに侵入したかは調査中で、Bitgetは侵入手法が特定され次第、完全な技術レポートを公表するとしている。緊急対応チームはインシデント発生直後に稼働し、異常な資金を受け取ったアドレスを特定・報告するとともに、捜査機関とオンチェーンセキュリティ企業に通報した。この種のバックエンド侵入は、鍵の漏洩よりも発見が難しい。攻撃者は取引所自身が信頼するインフラの内部から動くからだ。出金は引き続き停止中で、複数の技術チームがシステム復旧とセキュリティ強化を並行して進めている。Chen氏は再開時期の確約を避け、日付が確定した時点で発表するとしつつ、「守れない日程を性急に約束する」ことはないと述べた。市場をリアルタイムで追いたい読者は、Gateでスポットおよび先物のライブ価格を確認できる。

4億6,400万ドルのファンドが再開の焦点に

窃取資金の一部については、具体的な凍結が実現した。Circleが金曜日5時00分(UTC)にEtherscanで「Bitget Exploiter 8」というラベルのアドレスをブラックリストに登録し、ブロックチェーンセキュリティ企業MistTrackの報告によれば、Tetherもその後当該ウォレットを凍結した。この措置でロックされたのはステーブルコイン約31万8,000ドル分 — 21万8,023 USDTと9万9,990 USDC、および170.47 イーサリアム (ETH) — にとどまり、3億5,160万ドルの被害全体から見ればごく一部だ。この限界は構造的なものだ。MistTrackのトラッカーによれば、他の攻撃者アドレスが依然として6万3,000 ETH超を保有しており、ETHはどの発行体にも凍結できない資産である。Circleの即応は、4月に発生した2億8,500万ドルのDrinftハッキングとは対照的だ。あの際はブラックリスト登録が行われる前に、約2億3,200万ドルのUSDCがSolanaからEthereumへ移動し、ZachXBTを含むオンチェーン調査者から批判を浴びた。

（15:10 UTC 時点） (15時10分UTC時点)両方の開示を併せて読むと、今回の侵害は暗号学的な失敗ではなくオペレーショナルセキュリティの失敗として整理できる。秘密鍵は無傷のままだったにもかかわらず、署名パイプラインそのものがバックエンドの内部から操作され得たということだ。流出した約3億5,160万ドルの資金のオンチェーン追跡は一件ごとに検証可能であり、攻撃者がブリッジによる移動を完了する前に、どれだけを凍結または回収できるかが今後の焦点となる。これまでの公式の事後検証は損失をバックエンド侵入に帰しており、復旧策の詳細は未発表だ。Bitgetの4億6,400万ドルの補償ファンドのような補償プールは、Coinbase Global(COIN)に至るまで各取引所で標準装備となり、取引所の生存要件になっている。取引所リスクを比較するトレーダー向けに、当社の「best crypto exchanges」ガイドはカストディモデルの違いを解説している。次の注目材料は、出金再開の告知と技術レポートだ。