Bitgetの3億8750万ドル暗号資産流出、外部セキュリティ製品のゼロデイ脆弱性が原因と判明
要点
- 暗号資産取引所Bitgetは、総額3億8,750万ドルが不正流出した事件について、外部セキュリティ製品のゼロデイ脆弱性が悪用されたことを確認した。
- 調査によると、攻撃者は8月下旬から外部機器へ不正アクセスを開始し、ウォレットの出金仕様に合わせた専用ツールを用いて資産を送金していた。
- 被害は11のブロックチェーンに及び、取引所側は対象機能を停止したほか、北朝鮮の関与を示す分析結果を公表した。
暗号資産取引所のBitget（ビットゲット）は、2026年9月下旬に発生した3億8,750万ドル規模の暗号資産不正流出について、サードパーティ製セキュリティ製品に存在したゼロデイ脆弱性が原因であったことを確認した。ブロックチェーンセキュリティ企業SlowMistおよびGoogle傘下のMandiantによる調査結果に基づくもので、取引所の公式X（旧Twitter）などで詳細が明かされた。攻撃者が外部アプライアンスを踏み台にして内部ネットワークへ段階的に侵入し、正規の送金プロセスを掌握していた手口が判明している。
事件の概要と影響範囲
Bitgetは2026年9月24日、ホットウォレットおよびウォームウォレット（常時または随時インターネットに接続された資産管理システム）から一連の不正送金が行われたことを公表し、全暗号資産の出金を一時停止した。
被害は合計11種類のブロックチェーンに及んでいる。対象となったネットワークは、Ethereum、XRP Ledger、Zcash、TRON、Arbitrum、Optimism、Base、BNB Smart Chain、Avalanche、Algorand、Celestiaである。流出が確認された暗号資産には、XRP、ETH、USDT、ZEC、ATOM、USDC、USD0、XAUt、BNB、AVAX、TRX、ALGO、TIAなどが含まれている。なお、事件発生後にCircle、Tether、NEAR Intentsなどの連携により、約110万ドル相当の資産が凍結されたと報告されている。
8月下旬から始まっていた初期侵入とデータベース接続
SlowMistが公開した調査進捗レポートによると、今回の攻撃に関連する最も初期の不正活動は2026年8月31日に確認されていたという。
同社の分析によれば、サードパーティ製品（レポート内では「Product A」と表記）のノード上で稼働していたサービスに、ゼロデイ脆弱性（修正プログラムが未提供の脆弱性）が存在していた。攻撃者はこのサービスプロセスの配下で隠蔽スクリプトを実行し、環境変数に保存されていたデータベース接続用のパスワードを読み取った上で、内部データベースへの接続を確立していた。
同様の隠蔽スクリプトによる活動は、9月23日および9月25日にも別の2つのノードで確認された。このことから、暗号資産が外部へ不正送金される前の段階で、対象サービスの稼働環境がすでに広範囲にわたって侵害されていたことが明らかになっている。
内部アカウントの悪用と出金専用ツールの実行
続いて9月25日、攻撃者は別のセキュリティ製品（「Product B」と表記）の管理プラットフォームに対し、社内従業員の認証情報を悪用して不正アクセスを行った。プラットフォームのタスクパラメータに対してシステムコマンドを注入する試行を3回連続で行い、不正ファイルの書き込みを図ったという。
その後、管理プラットフォームのWeb実行エンドポイントを介してコードを送信し、サーバー設定の改ざん、通信中継用ファイルの作成、ならびに不正プログラム群の一括アップロードと組み立てを実行したとされる。
さらに、今回の不正出金には攻撃者が独自に作成した専用ツールが用いられていた。SlowMistが削除済みデータから復元したプログラムは、Bitgetのウォレットシステムが持つ出金ロジックに合わせて高度に最適化されていた。このツールは2026年9月25日午前1時49分に実行が開始され、既存のリスク管理システムを回避しながら多額の暗号資産を不正に送金したとされている。
機器経由の内部侵入と攻撃者の特定状況
Google傘下のMandiantによる調査では、攻撃者がサードパーティ製のセキュリティ機器（機器Aおよび機器B）へ不正アクセスを行い、そこを起点としてウォレット環境へラテラルムーブメント（同一ネットワーク内の他端末へ侵入を広げる行為）を展開した経路が特定された。
攻撃者はセキュリティ機器BにWebシェル（外部からWeb経由でコマンド操作を可能にする不正プログラム）を設置し、C2（遠隔操作用の通信制御）接続を確立した。この持続的なアクセス権を足がかりにして本番環境のウォレットジョブサーバーへ侵入し、不正なパッケージを配布してサーバーの制御権を奪ったと報告されている。
Bitgetは、問題が確認されたサードパーティ製品のベンダーへ通知を行い、修正対応が完了するまで該当機能を停止したと説明している。また、IPアドレスの挙動パターンやオンチェーン分析、さらにブロックチェーン分析企業EllipticおよびTRM Labsによる調査に基づき、過去の不正資金洗浄ウォレットとの重複が確認されたことから、本攻撃は北朝鮮の脅威アクターによるものである可能性が高いとの見解を示している。