Bitget、3.5億ドル不正流出

大手仮想通貨取引所ビットゲット（Bitget）は2026年9月25日、自社管理のウォレットから約3億5,160万ドル（約510億円、1ドル＝145円換算）相当の暗号資産が不正に流出したと発表した。秘密鍵そのものは盗まれておらず、社内システムに侵入した攻撃者が送金データを偽装し、同社自身の承認手続きを通過させて資金を引き出したという。現在は入出金が停止されており、損失は同社の保護基金で補填するとしている。本稿では日本時間9月25日夕方時点で判明している事実と、まだ確認されていない論点を整理する。

約8時間で公式発表は4回更新、情報が錯綜した背景

今回の不正流出を巡っては、発覚から半日足らずの間にBitgetの公式発表、ブロックチェーン上の送金記録、大手分析会社の調査リポート、海外メディアの記事が相次いだ。その中には数字の読み違えや、公式発表より踏み込んだ見出しも混在しており、日本国内のSNSでも情報の取捨選択が難しくなっている。まずはBitgetが公式に認めている事実を時系列で確認する。

9月25日午前:CEOのGracy Chen氏が最初の声明を公開

初動の発表は、同社CEOであるGracy Chen（グレイシー・チャン）氏のX（旧ツイッター）への投稿が起点だ。投稿では「当社は現在、ウォレットの不正引き出しを検知し、緊急措置として出金を停止している」「被害額は約3,500万ドルではなく、約3億5,000万ドル規模だ」と説明された。この「桁」の訂正がSNS上で混乱を生んだが、これは発表のミスではなく、当初から複数の情報源で数字が錯綜していたことが背景にある。

午後:公式ブログで被害額を「約3億5,160万ドル」と確定

同日午後には公式ブログが更新され、被害額が確定値として「$351.6M（約3億5,160万ドル）」と報告された。これはビットコインに換算すると約5,500BTC、時価総額ベースでは日本の暗号資産交換業者の年間取引高に匹敵する規模だ。同社は「ユーザー資産の100%が保護される」「損失は保護基金であるビットゲット・プロテクション・ファンドから補填される」と明記した。

夕方:分析会社の報告書と報道機関の記事で数字が割れる

問題なのは、この公式発表の後に第三者機関の報告が相次ぎ、数字が3種類に分かれたことだ。ブロックチェーン分析を手がけるPeckShield（ペックシールド）は「約3,516万ドル」と報告したが、これは桁を1つ誤読したものだった。また、一部の日本語記事は「3,540万ドル」と報道したが、これも誤りで、正しくは「3億5,400万ドル相当」である。結果的に、公式発表の数値が最も正確であり、他の数値は誤読または換算ミスによるものだったことが後の調査で判明している。

流出の手口:「秘密鍵は無事」なのに、なぜ承認が通ったのか

今回の事件で最も注目すべきは、セキュリティの要である秘密鍵（プライベートキー）が漏洩していないにもかかわらず、攻撃者が送金を実行できたという点だ。Bitgetの公式説明によれば、流出したのはウォレットそのものではなく、そのウォレットを操作する「社内の承認システム」であるという。

狙われたのは「署名」の前段階、送金データを偽装

通常、取引所のウォレットから外部へ暗号資産を送金する際には、社内の承認プロセスを経て秘密鍵による電子署名が行われる。Bitgetの説明では、攻撃者はこの「署名を行う前の段階」、つまり送金先アドレスや金額を決定する社内システムに侵入し、取引データを不正なものにすり替えた。すでに社内の承認者（人間）が承認操作を行った後、システム上では別の送金先に改ざんされたデータが署名の対象となったため、最終的な検証プロセスを通過してしまったという。

ここが重要なポイントだ。秘密鍵はコールドウォレット（インターネットから遮断された環境）で厳重に管理されており、攻撃者はこのファイルそのものには触れていない。しかし、取引所のシステムは「署名すべきデータ」を社内システムから受け取り、その内容を顧客側で十分に検証できない設計になっていた場合、悪意あるデータが内部に混入すると、今回のような形で承認が通ってしまう。セキュリティ研究者の間では「典型的なサプライチェーン攻撃の一種であり、取引所の内部統制の甘さを突かれたケースだ」との見方が出ている。

「第三者ツール」説は未確認、侵入経路の公表待ち

中国語圏の仮想通貨メディア「TechFlow」は、Chen氏が配信で「Bitgetが日常的に利用する第三者の管理ツールが侵害され、それがウォレットのバックエンドシステムに波及した」と述べたと報じている。いわゆるサプライチェーン攻撃の可能性を示唆する発言だが、公式文書ではこの点について明言されておらず、ツール名も公表されていない。現時点では「第三者機関によるフォレンジック調査が完了するまで、侵入経路は公式には不明」と考えるのが正確だ。

流出が止まるまで約3時間、対応の早さに評価も

ブロックチェーン上の記録を分析すると、攻撃者による不正送金が始まったのは日本時間の9月25日午前5時頃（UTC午前8時頃）。Bitgetがこれを検知し、出金を停止したのが同日午前8時頃であることから、不正が始まってから約3時間で遮断に至った計算になる。過去の大手取引所の事件では数時間から半日以上にわたって資金の流出が続いたケースもあるため、検知から対応までの速さは一定の評価ができる。

ブロックチェーンで追う資金の流れ:テスト送金から分散移動まで

今回の事件では、ブロックチェーン上の記録が全て残っている。そのため、セキュリティ企業や有志のアナリストによって資金の流れが詳細に追跡されている。どのようにして巨額の資金が移動したのか、その手口を時系列で見てみよう。

第一段階:0.84ETHのテスト送金で手口を確認

攻撃者は本格的な不正送金の前に、まず0.84ETH（当時のレートで約30万円相当）を自らのアドレスへ送金している。これは「テスト送金」であり、盗んだ資金の移動が正常に機能するかどうかを確認するためのものだ。多くのハッカーが実行するこの手口は、逆に言えば「監視システムに検知されずに送金が通るか」を試す一種のリハーサルであり、Bitgetのセキュリティチームが即座に検知できなかった背景には、少額ゆえの見落としがあった可能性が指摘されている。

第二段階:ステーブルコインを一括でETHに変換

続いて攻撃者は、Bitgetから流出させた大量のステーブルコイン（USDTやUSDCなど米ドルに価値が連動する暗号資産）を、すぐにイーサリアム（ETH）へと変換している。これは、ステーブルコインの発行会社（テザー社やサークル社など）が資金を凍結するブラックリスト機能を回避するための常套手段だ。特に米ドル建てステーブルコインは、発行元の協力が得られれば警察権が及ばない分散型のイーサなどに比べて追跡・凍結が容易なため、攻撃者は価格変動リスクを顧みず、流動性の高いイーサリアムに資産を交換したとみられる。

第三段階:最大の被害はXRP、時価で約1億1,000万ドル相当

流出資産の内訳を検証すると、被害額の最大はXRP（リップル）だったことがわかっている。XRPは約1億1,000万ドル相当（約160億円）で、全体の約3割を占める。これはXRPの市場に与える流動性が薄かったために、大口の売り注文を出しても価格を大きく動かさずに換金できると判断されたものとみられる。一方、ビットコイン（BTC）での流出は確認されておらず、攻撃者はまず換金が容易なアルトコインやステーブルコインを狙った。

第四段階:資金は分散送金され、一部はビットコインに交換

流出した資金はその後、攻撃者の管理する複数のアドレスに小分けにして送金されている。業界団体が追跡したところ、盗まれた資金の一部は分散型取引所（DEX）でイーサ（ETH）やその他のアルトコインに交換され、さらにビットコインネットワーク上にも送金されていることが確認された。ビットコインへの交換は、追跡が困難とされるミキシングサービス（通貨の混ぜ合わせサービス）を利用する前の定番の流れであり、現在もなお資金の大部分は移動を続けている。

「3つの被害額」が飛び交う理由を整理する

SNS上で「Bitgetの被害額、本当はいくらなの？」という質問が多く見受けられる。これは情報源によって数字が異なるからだ。結論から言えば、正解は公式発表の「約3億5,160万ドル」であり、それ以外の数字は誤読や換算ミスである。

PeckShieldの誤読:「$35.16M」は「$351.6M」の誤り

大手セキュリティ企業のPeckShieldは当初、自社のXアカウントで「Bitgetのハッカー被害は約3,516万ドル（約51億円）」と投稿した。しかし、これは事実誤認であり、正しくは「3億5,160万ドル（約510億円）」である。桁を一つ間違えたこの誤報が拡散し、日本の仮想通貨情報サイトもそのまま引用したため、「大した額ではない」という誤解が一時的に広がった。

「TRX」と「ETH」の二重計算問題

さらに混乱を招いたのが、ブロックチェーン上で資金を追跡する際の「二重計上」の問題だ。攻撃者は盗んだトロン（TRX）をイーサリアム上の流動性プールに送り込んでからETHに交換しているが、この一連の流れを追跡ツールが「TRXの流出額」と「その後交換されたETHの額」の両方で計上してしまったために、集計によっては被害総額が5億ドルを超えるという誤った計算が流れた。これは取引所の管理アドレスではなく、攻撃者アドレスを起点に追跡した場合によくあるミスであり、現時点では公式発表の数字が最も信頼できる。

北朝鮮ハッカー関与の可能性はどこまで確かなのか

事件の直後から、この攻撃の背景には北朝鮮の工作員組織「ラザルス（Lazarus Group）」の可能性があると報じられている。実際、Bitgetの広報担当者は一部報道に対して「北朝鮮の関与を強く疑っている」とコメントした。しかし、ここで注意すべきは、この発言が法的な断定ではなく、あくまで捜査上の見解であるという点だ。

「ラザルス」とは名指ししていない、だが示唆は強まる

Bitgetの公式Xアカウントには「北朝鮮との関連を示す複数の指標がある」と投稿されている。ただし、同社はこの段階で「ラザルスによる犯行である」と断定はしていない。過去の例を見ると、2025年2月に約15億ドル（約2,200億円）が流出したイスラエルの取引所「バイビット（Bybit）」事件では、発生から5日後に米連邦捜査局（FBI）が公式サイトに声明を掲載し「北朝鮮の工作員が関与した」と断定した。今回のBitget事件でも、FBIや警察などの公的機関が同様の発表を行うかどうかが一つの注目点となる。

状況証拠はそろう：深夜の異常な作業時間帯と手口

セキュリティ企業が公開した分析では、攻撃者の作業時間帯が平壌時間の就業時間と一致する可能性が高いとされている。さらに、盗んだ資金を分散送金したのちにビットコインへ交換し、日本の警察庁や米シークレットサービスの凍結リストに載っている北朝鮮のアドレスへ送金するという一連の流れも、過去の北朝鮮系ハッカー集団の手口とほぼ一致する。しかし、これらはあくまで「状況証拠」であり、決定的な証拠ではない。

補填の財源は「5,500BTCの保護基金」、出金再開の時期は未定

ユーザーにとって最も気になるのは「自分の資産は戻るのか」という点だろう。Bitgetは声明で「被害額は全て当社の保護基金で補填する」と明言した。

ビットコインの含み益でカバー、分岐点は6万3900ドル

同社が「ビットゲット保護基金」として用意している原資は、ビットコイン（BTC）約5,500BTC（約83億円相当）だ。これは同社が過去に手数料収入の一部から積み立ててきた運用資産であり、市場価格が「約6万3,900ドル」を下回らない限り、全額補填してもなお余剰が残る計算になる。公開されているブロックチェーン上のアドレスでは、この5,500BTCの一部が取引所のコールドウォレットから保護基金のアドレスに移動済みであることが確認されている。

「自己資本10億ドル超」の根拠はまだ示されていない

一方、Bitgetの担当者が一部メディアに対して「当社の自己資本は10億ドル（約1,450億円）を超える」と語ったと報じられたが、この数字の裏付けとなる財務諸表や監査報告書は公開されていない。取引所が自己資本を過大に発表するのは、信用不安を和らげるための方便である可能性が高く、ユーザーはこの声明を額面通りに受け取るのではなく、あくまで「公式発表を待つ」という姿勢が求められる。

いま利用者が取るべき行動:便乗詐欺と誤情報に注意

このような事件が起きると、必ず便乗した詐欺が発生する。Bitgetを装って「お客様の資産を保護するため、以下のリンクからパスワードを再設定してください」といったSMSやメールが送られてくる可能性があるが、公式サイトにログインして問い合わせる以外の手段で、このような案内が来ることはない。絶対にリンクをクリックせず、公式のアプリやブックマークからアクセスしてほしい。

「Bitget Wallet」と「取引所」は別物、アプリの感染はなし

また、同社が運営するソフトウェア型のウォレット「Bitget Wallet（旧BitKeep）」は、今回の流出の影響を受けていない。流出したのは取引所の預かり資産（ホットウォレット）であり、ユーザーが自分で秘密鍵を管理する「非管理型ウォレット」は別のシステムで運用されている。悪質なニュースサイトが「Bitget Walletが危険」などと誤解を招く見出しを打っているケースもあるが、現在のところ関連性は確認されていない。

SNSで拡散した「Hyperliquid創業者の予言」は今回の原因とは無関係

事件後のSNSでは、2023年に仮想通貨取引所ハイパーリキッド（Hyperliquid）の創業者が投稿した「『次のFTX』が起こるなら、それはBitgetだ」という文言が切り出され、話題を呼んでいる。この投稿が今回の事件の予言だったと拡散されているようだが、これは文脈の無視もいいところだ。

2023年の指摘は「上場取りやめ」に基づくもので、技術的な批判ではない

この発言の実態は、2023年11月にハイパーリキッドがBitgetの上場を予定していたのに、それを一方的に取りやめた際に、創業者がBitgetの資本関係や過去の論争について苦言を呈したものだ。暗号資産（仮想通貨）の送金システムの技術的な問題や、セキュリティの甘さを具体的に指摘したわけではない。したがって、今回の流出事件とは全く因果関係がない。

両社は現在、提携関係にあり、噂を真に受けるのは危険

さらに注意すべきは、現在のハイパーリキッドとBitgetはビジネスパートナーだという事実だ。2025年12月にはBitgetの子会社であるBitget Walletがハイパーリキッドのオンチェーン取引サービスを統合することを発表しており、現在は良好な関係にある。過去の因縁を切り取って現在の事件と結びつけるのは、根拠のない憶測であり、編集部としても注意を促したい。

直近の注目イベント:24時間以内に公開されるはずの「事故報告書」に注目

Bitgetは今回の事件に関し、監査法人やブロックチェーン分析会社の協力を得て、24時間以内をめどに詳細な被害報告書（レポート）を公表するとしている。このレポートには、侵入経路の詳細、被害額の確定値、および再発防止策の骨子が盛り込まれる見込みだ。業界関係者の間では「この報告書の内容次第で、当局の捜査の進展が変わる」と言われており、次に注目すべきはこの公式レポートの発表と、出金再開の具体的なスケジュールになる。国内の利用者は、公式のXアカウントとブログを注視し、誤った情報に基づくパニック売りや詐欺に巻き込まれないようにしてほしい。

将来の流出を防ぐためには:取引所のセキュリティに求められる変化

今回の事件は、たとえ秘密鍵が無事でも、その周辺システムが侵害されれば資金が盗まれるという、現代の暗号資産取引所が抱える構造的なリスクを浮き彫りにした。編集部では、契約書や送金データを人間が目視で確認するプロセスが機能していなかったことが、今回の不正を許した一因だとみている。

マルチシグの無意味化と「人間の承認」の限界

従来の取引所は、秘密鍵を複数に分割して管理する「マルチシグネチャ（マルチシグ）」方式を採用しているため、仮に1つの鍵が盗まれても安全だと言われてきた。しかし、Bitgetのケースでは、攻撃者が送金指示データそのものを偽装したため、複数の署名者が「正規の取引」として署名してしまった可能性がある。これはマルチシグの前提を覆すものであり、各取引所が「本当に送金したい相手と金額は何か」を取引所のデータベースと照合する仕組み（ホワイトリスト方式）を導入しなければならないことを示している。

出金停止の判断基準を明確にし、日本の利用者保護に生かせ

日本の金融庁は現在、暗号資産交換業者に対して、このような事件を教訓にした実効性のある内部管理体制の構築を求めている。Bitgetは、日本の利用者向けサービスからは以前撤退しているため、国内の被害は現時点では確認されていない。それでも、日本円での取引を提供する国内取引所の多くが、今回のBitgetの事故事例を他山の石として、送金モニタリングシステムの強化や、異常な大口送金時の人による最終確認のプロセスを導入するかどうかが、今後の業界の底上げにつながるだろう。ユーザー側としては、取引所に資産を預けっぱなしにせず、自分で秘密鍵を管理する「自己保管（セルフカストディ）」の併用も検討すべき時代になっているのかもしれない。