📡 Signal｜Bitget、秘密鍵の窃取なしに 3.5 億ドルを持ち出される

暗号資産取引所 Bitget は 9 月 24 日 18 時 31 分 (UTC)、複数のホットウォレットから許可されていない送金が出ていることを検知し、3 億 5,160 万ドル相当が影響を受けたと発表した。同社の説明では秘密鍵は盗まれていない。ウォレット基盤の内部システムが乗っ取られ、そこで作られた偽の送金データが取引所自身の承認手続きを通ってしまった、という組み立てだ。

Gracy Chen @Bitget

@GracyBitget

·Follow

[SECURITY NOTICE] Bitget Hot Wallet Incident — September 24, 2026 At 18:31 UTC on September 24, 2026, Bitget's security systems detected unauthorized transfers from some of our hot wallets. Our security team activated emergency response protocols immediately. What we have Show more

9:30 PM · Sep 24, 2026

3.7K

Read 621 replies

鍵を守り切っても資産が出ていく経路があった、という話になる。取引所のセキュリティは長らく「鍵をどこに置くか」で語られてきた。今回問われているのは、鍵を使う判断を誰が・どの根拠で下しているか、その手前の層だ。

偽の伝票が正規の窓口を通った

Bitget によれば、攻撃者はウォレット基盤の重要な内部システムに侵入し、そこから送金データを偽装して、取引所の承認プロセスを起動させた。銀行の正規の窓口に、偽造した払戻伝票を通すのに近い。コールドウォレットとホット・ウォームウォレットの秘密鍵はいずれも取得されていないと同社は述べ、内部犯行でもないと結論づけている。

検知は自動で働いた。異常な送金先アドレスを特定したうえで、予防措置として出金を一時停止している。ウォレットは 3 層構造で、常時オンラインのホット、その控えにあたるウォーム、完全にオフラインのコールドに分かれている。突破されたのはホットとウォームの一部で、コールドは無傷だと説明している。

初期には、オンチェーンを追う調査者の見積もりが 1 億 7,400 万〜1 億 8,300 万ドルの幅で出回っていた。取引所自身が 3 億 5,160 万ドルと確定させたのはその後だ。外から見える資金移動と、実際に影響を受けた額とのあいだには、最初の数時間、倍近い開きがあった。

凍結できない資産へ逃げた

流出した資産は ETH、USDT、USDC、AVAX、BNB、そして金価格に連動するトークン XAUT と複数のチェーンにまたがり、ひとつのアドレスへ集約された。そのうえで、発行者が凍結できるステーブルコインは ETH へ交換されている。

これは逃走の技術というより、いまの資産構成の読み方に関わる。ステーブルコインには発行者が特定アドレスを凍結する権限があり、過去の事件ではそれが回収の主な手段だった。つまり攻撃者は、回収されうる資産を、誰も止められない資産へ置き換える時間を確保できていたことになる。検知から停止までの時間が、そのまま回収可能性の目減りに変わる。

4 億 6,400 万ドルの基金と、全員に及ぶ停止

Bitget は、今回の損失額の全額がユーザー保護基金の範囲に収まると説明している。基金は 4 億 6,400 万ドル超。単純に引けば、1 億ドル強の余裕を残す計算になる。

一方で、出金停止は影響を受けた資産を持つ利用者だけでなく、プラットフォーム全体に及んでいる。入金と取引は動いたままだ。再開の日付は示されておらず、セキュリティレビューの完了をもって順次戻すとしている。基金が損失を吸収できることと、自分の資金がいま動かせることは、利用者にとって別の問題として残っている。

鍵の管理は機能していた

3 層のウォレット構成も、コールドストレージの比率も、秘密鍵の管理も、業界がこの数年で積み上げてきた答えだ。今回それらは機能した。にもかかわらず 3 億 5,160 万ドルが出た。守りの重心が、鍵の保管から、送金を承認する内部システムの完全性へ移っていることを、この事例は具体的な数字で示している。

Bitget は、根本原因と是正措置を含む完全なインシデントレポートを 24 時間以内に公表すると約束した。見るべきはそれと、出金再開の告知の二つだ。レポートに「どの内部システムが、どう侵害されたか」が書かれているか、それとも侵害の事実だけで終わるか。そこが、この取引所が業界に残せるものと、自社の広報で終わるものとを分ける。

ことば

ホットウォレット — 取引所が出金にすぐ応じられるよう、インターネットに接続したまま運用する保管庫。即応性と引き換えに外部からの攻撃面を持つため、大半の資産はオフラインのコールドウォレットへ回すのが通例になっている。
ユーザー保護基金 — 取引所が自己資金を積み立て、侵害や障害で利用者が被った損失を補填するために置く準備金。法定の保険ではなく、規模も運用も取引所ごとの自主的な設計にとどまる。
発行者による凍結 — USDT や USDC のように、発行体が特定のアドレスを指定して送金を止められる仕組み。不正資金の回収に使われる一方、権限が中央に残ることへの批判もある。

🔗 一次ソース

偽の伝票が正規の窓口を通った

凍結できない資産へ逃げた

4 億 6,400 万ドルの基金と、全員に及ぶ停止

鍵の管理は機能していた

ことば

関連記事