Bitget、ホットウォレットから3億5,160万ドル流出を確認——イーサリアム(ETH)も被害に

複数チェーンでホットウォレットが流出

世界最大級の暗号資産取引所Bitgetが、ホットウォレットへの不正アクセスによって3億5,000万ドル超の資産を失った。ホットウォレットとは、出金や決済処理のために取引所がインターネット接続状態で管理するウォレットであり、取引所への攻撃における最初の標的となりやすい領域だ。オンチェーンモニタリングは9月25日未明に最初の異常な資金移動を検知し、取引所管理アドレスから所有者不明のウォレットへ1億8,000万ドル超の資産が流出したことを示した。追跡された流出額の累計はその後3億5,100万ドルを超えており、この侵害は取引所の内部監視ではなく、外部のオンチェーン分析によって最初に捕捉されたという経緯だ。窃取された資産はイーサリアム(ETH)、ステーブルコインのUSDCとUSDT、BNB、AVAXにまたがる。オンチェーンデータによれば、攻撃者はこれらの資産を市場価格を大幅に下回るレートで換金しており、スリッページの極端な実例と言える。その後、ブリッジプロトコルを経由して資金を他のブロックチェーンへ移し、回収を困難にする動きを見せた。ユーザーからは、不審な流出の数分後に出金失敗の報告が相次いだ。BitgetのCEOであるGracy Chen氏は木曜日にこのインシデントを公表し、推定被害額を約3億5,160万ドルと明らかにした。同氏は顧客資金は安全であり、損失全体が取引所のユーザー保護ファンドの補償範囲内に収まると強調した。同ファンドは現在4億6,400万ドル超を保有しており、今回の被害を全額で吸収できる規模だ。Bitgetは攻撃を検知した直後に出金を停止し、徹底的なセキュリティレビューが完了した後にのみサービスを再開するとしている。Chen氏はまた、調査で追跡されたIPアドレスが北朝鮮(DPRK)系グループと関連している可能性があると明かしつつ、関連性はまだ確定的に証明されていないと強調した。

バックエンド侵害、秘密鍵は無事

Bitgetが9月25日に発表した公式フォローアップは、根本原因を絞り込んだ。Chen氏がXアカウントで公開したセキュリティチームの暫定調査結果によれば、侵入者は取引所のウォレットサービスのコアバックエンドシステムに侵入し、転送情報を偽造して承認署名手続きを起動、資金を外部アドレスへ押し出した——指示内容はプラットフォームの通常の転送用の注文タイプに似たものであったという。決定的なのは、ウォレットの秘密鍵が漏洩したことを示す証拠は一切ない点だ。Chen氏は鍵の漏洩は排除されたと述べ、「より深刻なリスクシナリオは除去された」と説明し、封じ込めは完了しており、権限のない資金流出が今後起こる可能性は残っていないとしている。同社自身の評価によれば、Bitgetの三層ウォレット構造により、コールドウォレットは完全に影響を受けていない。攻撃者がどのようにバックエンドへ侵入したかは調査中であり、Bitgetは侵入手法が特定でき次第、完全な技術レポートを公表するとしている。緊急対応チームはインシデント発生直後に稼働し、異常な資金を受け取ったアドレスを特定・報告し、法執行機関と本件に対応するオンチェーンセキュリティ企業に通知した。この種のバックエンド侵入は、鍵漏洩よりも発見が難しい。攻撃者が取引所自身が信頼するインフラの内部で動くからだ。出金は引き続き停止されており、複数の技術チームがシステム復旧とセキュリティ強化を並行して進めている。Chen氏は再開時期について確約を避け、日付が確定した瞬間に発表するものであり、「守れない日程を性急に約束する」ことはしないと述べた。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

4億6,400万ドルのファンド、再開へ焦点

両方の開示を合わせて読めば、この侵害は暗号技術上の失敗ではなく、運用セキュリティ(OpSec)上の失敗だと位置づけられる。秘密鍵は無傷だったにもかかわらず、署名パイプラインそのものがバックエンドの内部から操作され得たという構造だ。流出した約3億5,160万ドルのオンチェーン追跡は一件ごとに検証可能であり、攻撃者がブリッジを完了する前にどれだけ凍結・回収できるかが回収額を決める。これまでの公式事後検証は損失をバックエンドへの侵入に帰しており、再発防止策の詳細は未公開だ。Bitgetの4億6,400万ドルのファンドのような補償プールは、BitgetからCoinbase Global(COIN)に至るまで主要取引所で標準となっており、取引所にとって生残りの必須要件となっている。手数料リスクを比較したいトレーダー向けには、当社の最適な暗号資産取引所ガイドがカストディモデルの違いを解説している。次の注目材料は、出金再開の告知と技術レポートだ。