インシデント

セキュリティ

暗号資産交換業者

リスク管理

承認プロセス

2026年09月26日

鍵は守られ、承認は破られた――ビットゲット3.9億ドル流出が示す「署名の手前」の脆弱性

何が起きたのか

2026年9月24日18時31分（UTC、日本時間25日3時31分）、セーシェル拠点で登録ユーザー1.2億人を抱えるビットゲットのセキュリティシステムが、ホットウォレットからの不正送金を検知した。同社は当初、被害額を3億5,160万ドル（約551億円）と公表したが、25日にジーキャッシュ（ZEC）とトロン（TRX）上の流出分を追加計上し、約3億8,750万ドルへ上方修正した。増加分の約3,590万ドルは新たな流出ではなく、初期集計の漏れだと同社は説明している。流出資産はXRP、ETH、USDT、USDC、USDT0、XAUt、BNB、AVAX、ZEC、TRXの10種類に及び、EVM系、XRP Ledger、Zcash、TRONの4系統の主要アドレスに集約された。

秘密鍵は無事でも資金は出ていった

グレイシー・チェンCEOによれば、攻撃者はウォレット基盤の中核バックエンドを侵害し、取引データを偽装したうえで社内の承認プロセスを作動させた。秘密鍵の漏えいはなく、3層構造のうちコールドウォレットは無傷で、被害はホットとウォームの一部にとどまる。ここで重要なのは、鍵管理が万全でも「何に署名・承認させられるか」を決める層が破られれば、資金は正規の手続きを経て流出するという点だ。2025年2月のBybit事件（約15億ドル）も、承認者に提示される取引内容が改ざんされた点で構造がよく似ている。

補償原資に潜む「建値リスク」

同社は損失を、5,500BTCを保有するユーザー保護基金（約4億6,400万ドル、約727億円）で全額補填するとした。損失額は基金評価額の約83.5%に相当する。基金はBTC建てである一方、損失はXRPやステーブルコインなど多通貨建てであり、単純計算ではBTCが約7万450ドルを下回ると基金評価額が損失額に届かなくなる。補填の確実性がBTC相場に依存している点は、経営判断上見落とせない。

攻撃者像と回収の現実

チェン氏は、攻撃元IPが北朝鮮系集団の利用歴があるVPNサービスと一致したと述べた。ブロックチェーン分析企業Ellipticも北朝鮮関与の可能性が極めて高いと評価し、本件により北朝鮮による2026年の暗号資産窃取額が10億ドルを超えたとしている。調査にはMandiantとSlowMistが参加し、回収報奨金制度も始まったが、CircleとTetherが凍結できたのは約31.8万ドルにとどまる。攻撃者は流出直後、約1.83億ドル分を市場価格より約5%高いコストを払ってでもETHへ急速に交換しており、凍結されうる資産を真っ先に処分する手口が鮮明だ。

出金再開の段取りと日本への示唆

出金は9月28日のBTCを皮切りに、29日にETH、30日にUSDT、10月2日にその他資産・法定通貨・P2Pと、チェーン単位で段階的に再開される。なお、ビットゲットは2026年8月に日本居住者向けサービスの終了を発表しており、国内利用者への直接的な影響は限定的とみられる。日本の交換業者には顧客資産の分別管理やコールド保管、ホットウォレット相当額の弁済原資確保が求められているが、本件はそれに加えて「承認プロセスに入力される取引データの真正性」そのものを、監督と内部監査の対象に据える必要性を示している。

【事業開発に関するインサイト】

セキュリティ投資の重心は「鍵の保護」から「承認意図の検証」へ移る。バックエンドとは独立した経路で取引内容を再構成し、署名前に照合する仕組み（独立シミュレーション、ポリシーエンジン、複数経路での検証）は、トークン化預金やステーブルコインを扱う国内金融機関のカストディ設計で標準要件になる可能性が高く、インフラ・コンプライアンス事業者にとって明確な商機となる。
補償原資は「規模」だけでなく「負債との整合」が問われる。単一資産建ての保護基金は相場次第で補填能力が揺らぐため、負債構成に合わせた原資設計と、基金評価額と潜在エクスポージャーの継続的な開示（Proof of Coverage）が、信頼を差別化要因に変える新たな商品領域になりうる。
インシデント対応は一社の危機管理から業界共同インフラへ移行している。攻撃者アドレスの共有、発行体による凍結、チェーン別の段階的出金再開はいずれも他社連携が前提であり、凍結額が約31.8万ドルにとどまった事実はその限界も示す。円建てステーブルコインの発行準備が進む日本では、発行体・交換業者・分析企業間の即時情報共有と凍結権限の運用ルール整備が、事業参入の前提条件になる。

【引用：出典】

CoinPost「ビットゲット、流出経緯を一部説明｜被害額は上方修正」（2026年9月26日） https://coinpost.jp/?p=739393

CoinPost「ビットゲット、5500ビットコインの保護基金で損失負担へ北朝鮮系集団関与か」（2026年9月25日） https://coinpost.jp/?p=739298

CoinPost「ビットゲットから不正流出、被害額3.5億ドル相当」（2026年9月25日） https://coinpost.jp/?p=739148

CoinPost「Bitget、日本向けサービス終了段階的に制限へ」（2026年8月3日） https://coinpost.jp/?p=729332

Bitget公式X（出金再開スケジュール） https://x.com/bitget/status/2103695497458557342

CoinDesk "Bitget's $352 million hack happened via spoofed transfers, not private keys" https://www.coindesk.com/markets/2026/09/25/bitget-s-usd351-million-hack-happened-via-spoofed-transfers-not-private-keys-ceo-gray-chen-says

Bloomberg "Crypto Theft by North Korea Tops $1 Billion in 2026 After Bitget Attack" https://www.bloomberg.com/news/articles/2026-09-25/bitget-hack-pushes-north-korean-crypto-haul-past-1-billion

CNBC "Crypto platform Bitget suspects North Korea is responsible for $352 million hack" https://www.cnbc.com/2026/09/25/crypto-platform-bitget-suspects-north-korea-in-352-million-hack.html

Fortune "North Korea accused of plundering Bitget for $387 million" https://fortune.com/2026/09/25/north-korea-bitget-387-million-crypto-attack/

Gizmodo "North Korea 'Very Likely' Behind $388 Million Hack of Crypto Exchange Bitget" https://gizmodo.com/north-korea-very-likely-behind-388-million-hack-of-crypto-exchange-bitget-2000817421

Insurance Journal (Bloomberg) "Crypto Exchange Bitget Says Hackers Stole $352 Million" https://www.insurancejournal.com/news/international/2026/09/25/886838.htm

Yahoo Finance (Decrypt) "Bitget Hacked as $350 Million Vanishes From Crypto Exchange Wallets" https://finance.yahoo.com/markets/crypto/articles/bitget-potentially-hacked-183-million-211538556.html

Bitquery "Bitget hack: how $352M left, and where it is now" https://bitquery.io/investigations/bitget-hack

The Crypto Times "Bitget Withdrawals Resume September 28: Full Schedule After $387.5M Hack" https://www.cryptotimes.io/2026/09/26/bitget-withdrawals-resume-september-28-full-schedule-after-387-5m-hack/

CoinCentral "Bitget Hack Total Jumps To $388 Million As New Details Emerge" https://coincentral.com/bitget-hack-total-jumps-to-388-million-as-new-details-emerge

監修

石田陽之（いしだあきひさ）

Cabinet株式会社代表取締役

2017年より、一貫してトークンやNFTの活用、ブロックチェーンゲームの企画・開発、NFTを活用した事業開発に従事。大手エンタメ上場企業を始め、80件以上のブロックチェーンプロダクトに対し事業責任者や設計、PM、アドバイザー等、様々な立場でブロックチェーン関連の事業開発に関わってきた。2021年よりCabinet株式会社を創業。

免責事項

本レポートは、暗号資産および関連市場に関する情報提供のみを目的として作成されたものであり、特定の暗号資産の購入、売却、保有その他一切の取引行為を推奨・勧誘するものではありません。また、金融商品取引法その他の関連法令に定める投資助言、投資勧誘、または金融商品の販売・媒介に該当するものではなく、税務・法務・会計上の助言を構成するものでもありません。

本レポートに記載された情報は、作成時点において信頼できると判断した情報源に基づいておりますが、その正確性、完全性、最新性、有用性等について当社は何ら保証するものではありません。暗号資産は価格変動が大きく、元本の毀損その他の損失が生じるリスクを伴います。投資判断は、利用者ご自身の責任と判断において行っていただくものとし、本レポートの利用に起因して生じたいかなる損害についても、当社は一切の責任を負いかねます。

ブロックチェーン新規事業のご相談

Cabinetでは、アイデア段階からの壁打ち、技術検証（PoC）、そして実装・運用まで一気通貫で伴走する事業開発コンサルティングを提供しています。まずはお気軽に無料相談をご利用ください。

ニュースレターに登録する

本レポートに掲載した内容に加え、業界の最新情報・未公開レポートをメールでお届けします。