Bitgetでの3億5100万ドル盗難事件の裏侧：サプライチェーン攻撃が再燃、一部の手口は北朝鮮系ハッカー「Lazarus」によるものとみられる

記事：シャオピン

9月25日、北京時間02:31、Bitgetのセキュリティシステムがホットウォレットの異常な送金を検知した。数分以内にセキュリティチームは緊急対応を起動した。

数時間後、CEOのGracy Chen氏がX上でセキュリティ発表を行い、盗難額が約3億5160万ドルであることを確認した。コールドウォレットは無事であり、影響を受けたのはホットウォレットと一部のウォームウォレットのみである。出金は一時的に停止されたが、入金と取引は継続して稼働している。

また彼女は重要な情報を提示した：Bitgetのユーザー保護ファンドは現在4億6400万ドル以上を保有しており、今回の損失を完全にカバーできる。

これは2026年に起きた暗号資産取引所としては最大の単発セキュリティインシデントかもしれない。

攻撃プロセスの解明

オンチェーン調査家が最初に異常を検知した。

「0xe410」で始まる新規アドレスがArbitrum上でUSDT0 1967万を用いて7,111枚のETHを購入し、このプロセスはわずか6分で完了した。取引はUniswapXおよび1inch Fusion経由でルーティングされた。USDT0はBitgetのホットウォレットとして識別されたアドレスから直接送信されたものである。

その後、より大規模な資金移動が表面化した。複数のBitget識別ホットウォレットおよびウォームウォレットの資産が単一アドレスへ移動され、ETH、USDT、USDC、AVAX、BNBが含まれ、複数チェーンに跨って行われた。

オンチェーンでの推計は当初1億7400万ドルだったが、すぐに1億8300万ドルへと修正され、最終的にBitget公式が総損失を約3億5160万ドルと確認した。

攻撃者の操作方法には明確な論理がある：ステーブルコインを素早くETHに交換する。Tetherは契約レベルでUSDTを凍結でき、CircleはUSDCを凍結できるが、ETHにはこのような「緊急ブレーキ」機制はない。まずステーブルコインをETHに換えるというのは、Bybit盗難時にLazarus Groupが使用した資金移動戦略と全く同一だ。

やや安心させる詳細な点もある：第一波攻撃の後、被害を受けたウォレットはまだ約5億3000万ドルの資産を保有しており、攻撃者はすべてのホットウォレットを空にするようなことはしなかった。

Bitgetは24時間以内に完全なインシデントレポートを公開すると表明し、既に法執行機関にも連絡を入れている。

サプライチェーン攻撃：侵入対象はBitgetの利用ツール

Gracy Chen氏はその後、ライブ配信において現時点で把握している攻撃経路を明らかにした。

初期判定では、これはサプライチェーン攻撃である。攻撃者が侵入したのはBitgetのコアシステムではなく、日常的に使用されている一つのサードパーティーツールだった。この侵害されたツールは、ウォレットサービスの重要バックエンドシステムに影響を与えた。

攻撃の実行手法は非常に精緻であった：侵害された第三者サービスが送金情報を偽造し、その後Bitgetの署名装置を呼び出して資金を引き出した。Gracy氏はこれを秘密鍵の漏洩ではないと強調し、現在の捜査によれば内部関係者による犯行の可能性も低いとしている。しかし同時に、最終的な攻撃経路についてはセキュリティチームがさらに確認が必要だと述べた。

Gracy氏はBybit盗難事件に例えて解説した。2025年2月のBybit攻撃は署名承認プロセスに関与していただけでなく、Safeマルチサインページへのサプライチェーン攻撃も含まれていた。彼女は、取引所を対象としたハッキングは通常単一類型ではなく、1回の攻撃で6〜7種類の手法のうち2〜3種類を組み合わせて使用する場合があると指摘し、よくある手法には秘密鍵の漏洩、スマートコントラクトの脆弱性、内部犯、そして社会工学的攻撃などが含まれると説明した。

この情報公開で伝えられたのは2つのポイントである。

朗報は、サプライチェーン攻撃であることが確めば、Bitgetのコアセキュリティアーキテクチャ（鍵管理、権限制御）が直接的に突破されていなかった可能性が高く、修復経路が比較的問題がないことを示唆している。汚染された第三者ツールを遮断し、署名フローを置き換えればよい。

懸念されるのは、サプライチェーン攻撃とは信頼連鎖の上流からの脅威を意味しており、取引所がいかに高いセキュリティ投資を行っても、第三者サービスプロバイダのセキュリティ水準を完全に制御することはできないということだ。これは業界全体における構造的な脆弱性である。

4億6400万ドルの保護ファンド：「飾り」から「命綱」へ

暗号資産取引所の「保護ファンド」は長年議論を呼んで来た概念である。

多くの取引所が数億ドル規模の保護ファンドを有していると主張しているものの、これらのファンドの構成、流動性、法的拘束力は一度たりとも独立して検証されたことがない。それらはむしろ、好況時にユーザーのセキュリティ不安を鎮静化させるためのPRツールのように思われる。

今日、Bitgetの保護ファンドはその設立以来、初めて本格的なストレステストを迎えることとなった。

4億6400万ドル対3億5160万ドル。この数字が実態でありかつ流動性がある場合、Bitgetは外部融資なしで損失を全額カバーできる能力を有する。これによりBitgetは、近年重大なセキュリティインシデント後に自前で損失を吸収できたBybitに続き2番目の取引所となるだろう。

継続的に追跡すべき課題は以下の通りだ：保護ファンドが保有する具体的な資産構成は何か？流動性はどうか？独立監査は実施済みか？Chen氏の発表では第三者検証に関する言及はなかった。

出金が再開されるまで、これらの質問に対する回答がユーザーの信頼に直接影響を与えることになる。

Bitgetは倒れない

この発言には3つの根拠がある。

損失のカバーが可能である。3億5160万ドルは確かに巨額の数字だが、Bitgetの保護ファンド（4億6400万ドル）は損失額を約1億1200万ドル上回る。コールドウォレットが無事ということは取引所の核心準備金が影響を受けていないことを意味する。被害を受けたウォレットも攻撃後もなお5億3000万ドルを保有している。Bitgetの貸借対照表には今回の打撃を吸収するのに十分な余裕が存在する。

先行事例が乗り越えられることを証明している。

2025年2月、BybitはLazarus Groupにより15億ドルを盗まれた。損失規模はBitgetの4倍以上である。ベン・ジョウはブリッジローンで穴埋めを行い、出金は72時間以内に正常化した。Bybitは生き残っただけでなく、2026年もグローバル上位5位内の取引量を維持した。Bitgetが直面する課題は規模においてBybitより小さく、実行が適切であれば回復速度はさらに速くなるはずだ。

経営陣の対応速度である。

Gracy Chen氏は攻撃検知から数時間以内に公衆声明を発表し、具体的金額を確認し、保護ファンドによるカバーを約束し、出金一時停止と継続的なアップデートメカニズムを宣告した。これはBitmartと鮮明な対比をなす。Bitmartは2021年に1億9600万ドルが盗まれた際、全額補償を約束したが、2026年の閉鎖時になってもユーザーは資金を取り戻せなかった。Gracy氏の迅速な対応は少なくとも、Bitgetの経営陣が問題を先送りせず正面から受け止めることを選んだことを示している。

業界は何を学ぶべきか？

2025年にBybitが15億ドルを盗まれ、2026年にBitgetが3億5000万ドルを盗まれた。両事件の間隔はわずか19ヶ月しかない。

ホットウォレットの安全性が依然として中央集権型取引所で最も脆弱な箇所である。何層もの署名設計がどれほど精巧でも、ホットウォレットがインターネットに接続している限り、それは攻撃面となり得る。この問題は解決しておらず、盗難ごとに再び注目を集めて一時的に重視されるが、次の好況期の取引量圧力下でまた緩みが生じるのが現状だ。

ユーザーにとって今回の教訓はBybit盗難時のそれと同じである：取引に必要な範囲を超える資産を任意の中央集権型取引所に長期保管してはならない。コールドウォレットでの自己保管コストには学習曲線や操作性の不都合が含まれるが、そのコストは「取引所が盗難にあった後の出金再開待ち」という不確実性のコストと比較すれば遙かに低い。

同種の通貨BGBは情報の流出後約5%下落した。総合指数はそれに追随して下がらなかった。マーケットはこのイベントを「Bitgetの問題」として認識し、「業界全体のシステムリスク」としては捉えていない。今のところこの見立ては正しい。1つの取引所のホットウォレットが盗難に遭うことと、業界全体の信頼崩壊との間には、あの4億6400万ドルの保護ファンドが約束を実現できるかどうかという壁がある。

今後の72時間が重要なターニングポイントとなる。出金が再開される時期、保護ファンドの資産構成が公に検証されるかどうか、完全なインシデントレポートが期限通りに公開されるかどうか。この3点がBitgetがBybitと同様に、1度のセキュリティ危機を信頼の再構築に変えられるかを決定づける。

Gracy Chen氏とその背後にあるBitgetは、直ちに正面から受け止めて責任を担う道を選んだ。この業界では降りて腰を下ろしたり逃げ出したりする人々を目にしてきた。この一点だけでも、彼女とBitgetは自身を証明する機会に値する。