Bitget、3億8,800万ドルのホットウォレット流入後にBitcoin(BTC)出金を再開

Bitcoin出金の再開へ

Bitgetは先週の不正アクセスを受けて顧客の出金処理を段階的に再開した。Bitcoin (BTC)ネットワークの出金は9月28日の日本時間午後5時前後から順次復旧している。再開の順序はBitcoinが最初で、続いてEthereumおよびBSC、Arbitrum、Base、Optimismの各ネットワーク、その後USDT、最後に残りのトークンと法定通貨サービスという段取りだ。同取引所はリテール、VIP、機関投資家を問わず単一の出金チャネルを維持し、優先待ち行列は設けず、最低出金額と24時間の上限も従来どおり変更していない。需要は殺到しているものの処理は秩序立って進んでおり、16:50(UTC+8)時点で出金注文は7,683件・合計3,609 BTCに達し、うち6,946件(3,326 BTC)はすでにオンチェーンで最低1件の承認を得ている。残る737件(283 BTC)はブロードキャスト済みで承認待ちの状態だ。出金処理の人員は約5倍に増強され、混雑するBitcoinメインネットを回避する経路として、BSC経由でのBTC送金も利用可能になった。約3日半に及んだ出金停止について同社は、資金不足ではなく、再検証が必要なシステムの数が膨大だったためだと強調する。再開と並行してセキュリティ態勢も引き上げられた。機密システムへのアクセスには多者間承認が必須となり、脆弱性を持ち込んだサードパーティベンダーは是正まで切断、出金リクエストにはすべて独立した検証が課される。同社は秘密鍵が漏洩したことは一度もないと改めて表明した。一方、オンチェーン上では盗まれた資金の追跡が続く。オンチェーンアナリストのZachXBTによれば、資金はブリッジ経由でチェーン間を移動し、Wasabiのようなミキシングサービスへ流れ込んでいる。さらに中国語圏のマネーロンダリング組織が、攻撃グループの代理人としてDiscordやTelegramで資金処理サービスを公然と宣伝しているという。 lolo/Marin という偽名を使う担当者は、かつて2億9,200万ドル規模のKelp DAO流出事件の資金洗浄に関与したとされており、ZachXBTは北朝鮮のTraderTraitorグループの攻撃でも同様のパターンが繰り返されていると指摘する。

サードパーティのゼロデイ脆弱性と偽造指示

CEOのGracy Chen氏とグレーター・チャイナ責任者のXie Jiayin氏が公開発表した事後ブリーフィングは、攻撃の経緯を分単位で明らかにした。攻撃は9月25日02:31(UTC+8)、Ethereumホットウォレットから0.84 ETH、TRONホットウォレットから93 TRXというごく小規模な2件の試行的送金から始まった。金額がリスク管理のしきい値を下回っていたため、警告は一切発火しなかった。02:58から04:09の間に攻撃者はEthereum、XRP、BSC、Base、Arbitrum、Optimism、Avalancheを跨いで約3億6,000万ドル相当の大口送金を17件実行し、第2波ではALGO、TIA、ATOM、プライバシーコインのZcashも標的となった。プラットフォームの照合システムは03:05に異常を検知して全ユーザーの出金を自動ブロック、03:14にはP0レベルの緊急対応が発動したが、ウォレット凍結までに第2ラウンドの送金7件で約2,800万ドルが追加流出した。合計流出額はホット・ウォーム両ウォレット合わせて約3億8,800万ドルに上る。公式開示によれば、侵入経路はサードパーティ製セキュリティ製品のゼロデイ脆弱性だった。攻撃者は正規の高権限内部クレデンシャルを盗み、実行前リスクチェックを迂回するため偽造出金コマンドをウォレットバックエンドに直接書き込み、送金ごとに痕跡を削除した。マルウェアは関与していない。先物・現物取引で業界最大級の規模を誇るBitgetは、秘密鍵とコールドウォレットには一切触れられておらず、内部犯行も暫定的に排除されたと説明する。当時準備金比率127%で約4億6,400万ドル規模だった保護基金が損失を吸収し、1週間以内に3億ドル以上へ補填したうえで、検証可能な公開ウォレットに置かれるとしている。MandiantとSlowMistが独立したフォレンジック調査を進めており、完全な報告書は1週間以内に公表予定だ。凍結または返還された資金の5%を報酬とする回復賞金も設けられた。リアルタイムで市況を追いたい読者はGateで現物および先物の価格を確認できる。

3億ドル基金の補填が試金石に

Gracy Chen氏が9月28日のライブ配信で示した最新情報では、損失見積もりが上方修正された。攻撃者アドレスへ移動した資産は従来の3億5,160万ドルから約3億8,750万ドルへ拡大している。Chen氏は保護基金が不足分を全額カバーし、口座残高への影響はないと改めて強調、1週間以内に自己資金で3億ドル以上に補填すると述べた。あわせて「Project Stand Together」と呼ばれるユーザー支援プログラムも立ち上げている。封じ込めは完了済みで、影響を受けたシステムは隔離され、クレデンシャルは失効・再発行、改ざんされたサードパーティ機能はベンダーのパッチ提供まで無効化された。出金処理は急速に拡大しており、18:00(JPT)までに9,585件・合計4,098.03 ビットコイン (BTC)を処理した。ETHとUSDTの出金は翌日に再開される。回復活動では業界パートナーとの連携により一部資金の凍結に成功しており、5%の報酬体系はBybitのLazarusBountyプラットフォームと連動する可能性もある。

（05:26 UTC 時点） 当メディアの見立てはこうだ。Bitget設立8年目で初のセキュリティ事故であり、核心的な教訓は、サードパーティ製セキュリティ層そのものが攻撃対象面になり得るため、自社コードと同等の厳しさで監査しなければならない、という点だ。オンチェーン上の証拠の連なりは例外的に明瞭で、攻撃者アドレスは公開され、すべての資金移動が追跡可能だ。補填後の基金がユーザー自身が検証できる公開ウォレットに置かれるため、対応の妥当性も第三者が確認できる。真の試金石は、3億ドルの基金補填と1週間以内に出る独立系フォレンジック報告書だろう。クリプトのFear and Greed Indexといったセンチメント指標が、市場がこの事態を封じ込められたと見ているかどうかを示すはずだ。