Bitget、3億8,800万ドルのハッキング被害後、Bitcoin(BTC)の出金を再開

Bitget、BTC出金を再開

Bitgetは月曜日の08:00(UTC)にBitcoin (BTC)の出金を再開した。9月24日に発生したセキュリティ侵害で約3億8,800万ドル規模の資産が影響を受けてから、丸4日が経過してのことである。再開の第一陣となったのはBitcoinネットワークとBNB Smart Chainで、その他の資産・ネットワークは今後数日で順次復旧する予定だ。月曜のAMAセッションで、Gracy Chen CEOは、BTCが最初に戻った理由について「出金パイプラインの社内チェックが最も早く完了したからだ」と説明した。Ether(ETH)とUSDTは、セキュリティ審査の進捗に応じて後続する。公表済みの復旧スケジュールによれば、ETHは火曜日にEthereum、BNB Smart Chain、Arbitrum、Base、Optimismの5ネットワークで出金が再開され、USDTは水曜日にEthereum、BNB Smart Chain、Solana、Tronで続く。残りの資産、法定通貨の入出金経路、P2Pサービスは10月2日をメドに復旧する。同取引所は、このスケジュールが全ユーザーに一律に適用されることを強調した。機関投資家やVIP顧客、従業員のための優先枠は設けられておらず、利用者側で追加の手続きは不要という。

偽装認証情報で3億8,750万ドルが流出

侵害そのものは9月24日の夜にさかのぼる。この時間帯、不正な送金がBitgetのホットウォレットおよびウォームウォレット基盤から流出し始めた。同取引所のインシデント開示によれば、攻撃者はプラットフォームが依存していたサードパーティ製セキュリティ製品の脆弱性を突いて高権限の社内認証情報を取得し、ウォレットシステムに偽造された出金データを流し込んで承認を誘発、リスク管理を回避した。重要なのは、秘密鍵は漏洩しておらず、コールドウォレットは無傷で、ユーザーの残高には一切影響がなかった点だ。Bitgetは当初被害額を3億5,160万ドルと発表したが、ZcashとTron上の追加送金を算入して3億8,750万ドルに上方修正した。2026年に発生した暗号資産窃盗としては過去最大である。外部のセキュリティ企業MandiantとSlowMistが捜査を支援しており、同取引所は脆弱性の修正を完了し、封じ込め以降の新たな不正送金が確認されていないこと、さらに窃取資産の一部をすでに凍結したと説明している。

THORChainには個別凍結の手段がない

侵害の封じ込めよりも資金の回収は容易ではない。オンチェーンデータによれば、攻撃者に紐づくEtherがTHORChainのボールトに流入し、そこでBitcoin (BTC)へとスワップされている。分散型スワッププロトコルを経由してチェーンをまたぐクジラ級の資金移動であり、Wrapped Bitcoin(WBTC)型のネットワーク間資産移動を支えるのと同じクロスチェーン経路だ。Chen氏は攻撃に関連するアドレスへのサービス提供を拒否するようTHORChainに公開で要請したが、プロトコル側は月曜の声明で反論した。ネットワーク停止は緊急時のセキュリティ機構でシステム全体に影響するものであり、特定の資金だけを選択的に凍結することはできないという。アナリストの指摘によれば、THORChainにはアドレスブラックリストの仕組みが組み込まれておらず、取引停止や接続チェーンの一時停止は攻撃者と一般利用者を等しく巻き込む。このためBitgetの凍結・回収戦略は、プロトコルレベルの執行ではなく、外部の管轄当局と賞金プログラムに依存せざるを得ない状況にある。

約5,500 BTCの基金が損失を吸収

Bitgetは自社準備金から再開に必要な資金を賄っている。月曜の再開に先立ち、取引所の自社データによると、2,042.28 BTC(約1億6,900万ドル相当)が、戦略的Bitcoin準備に近い性格を持つProtection Fundからホットウォレットへ移動した。オンチェーン記録では、なお3,457.72 BTCが基金に紐づくアドレスに留まっている。この移送は、ユーザーの資産流出を反映したものではなく、想定される出金需要に先立って資金を積むためのものだ。取り崩し元の基金はハッキング時点で約5,500 BTCを保有していた。Bitgetは損失全額をこの基金で補填することを約束しており、基金はインシデント発生時点で約4億6,400万ドルの規模に達していた——窃取額を上回る。加えて、攻撃者資金の凍結・回収に成功した場合、その5%を支払う賞金プログラムを開始した。現在の被害額ベースで最大約1,940万ドルに相当し、業界史上最大級の回収報酬である。リアルタイムの市況を追いたい読者は、MEXCでスポットおよび先物の価格を確認できる。

サプライチェーンリスクが事後対応を左右する

Chen氏のXライブ配信で新たなフォレンジック情報が明らかになり、侵害の動きが分単位で再現された。攻撃者は9月24日の18:31(UTC)頃、Ethereumのホットウォレットから0.84 ETH、Tronのホットウォレットから93 TRXを送る小規模な試験送金2件を行い、いずれもリスク管理の閾値を下回ったまま通過した。その後、18:58から20:09(UTC)にかけて、計約3億6,100万ドル相当の17件の大型送金が続いた。Bitgetの監視システムは最初の大型送金から7分後に不一致を検知し、プラットフォーム全体への自動出金ブロック、19:14(UTC)のP0非常事態宣言、19:40(UTC)までの封じ込めへと至った。ただし20:55から21:23(UTC)の間、出金サービスの完全分離前に第2波として7件、計約3,000万ドル相当の送金がAvalanche、XRP、Ethereum、Zcash、Algorand、TIA、Cosmosにまたがって発生した。月曜09:00(UTC)までに9,585人のユーザーが合計4,098 ビットコイン (BTC)を出金し、通常のサービスが報告されている。

Gracy Chen CEOの署名入り公式声明は、侵害とマネーロンダリング経路の双方について新たな詳細を加えた。Bitgetが確認したところ、9月24日のインシデントは8年間の社史で初めて基幹インフラを突破された攻撃であり、同社はこの記録が自らの対応を評価する基準になると述べた。THORChainに加え、攻撃者はUniswap、1inch Fusion、Stargate経由でも資金を迂回させており、不正送金はEthereum、XRP Ledger、Tronに及んでいる。Bitgetは、捜査機関の支援のため確認済みの攻撃者アドレスとトラッキングデータを公開したと説明し、検証が完了し次第、今週中に正式なセキュリティレポートを公表する見込みを示した。声明では、127%の統合準備率も開示され、ユーザー残高が無傷であることが改めて確認された。

(14:24 UTC時点)これらの断片を合わせると、一本の流れが見えてくる。数時間以内の封じ込め、1週間弱での補填、そしてまだ攻撃者が主導権を握るマネーロンダリングの攻防である。オンチェーンデータと取引所のインシデント開示を私たちが読み解く限り、根本原因——鍵の盗難ではなく、サードパーティベンダーの脆弱性と漏洩した社内認証情報の組み合わせ——はすでにほぼ確定しており、ZcashとTronを含む複数チェーン上で流出総額はオンチェーンで検証可能である。優良暗号資産取引所にランクされる各社がサードパーティのセキュリティ審査を強化するか、そして賞金プログラムが実際に資金を回収できるかどうかが、この事案の結末を決める。10月2日まで段階的に進む再開の動向は、Bitcoinの最新ニュースで追い続けたい。