Bitgetの約3.88億ドル暗号資産流出、サードパーティ製セキュリティ製品の脆弱性が原因と発表

要点

• 暗号資産取引所Bitgetで発生した約3億8800万ドルの資産流出について、同社が利用していたサードパーティ製セキュリティ製品の脆弱性が侵入経路であったことが明らかになった。

• 攻撃者は製品のゼロデイ脆弱性を悪用して高権限の内部認証情報を奪い、正規の管理操作を装ってウォレットシステムへ不正な出金指示を送り込んでいた。

• 被害はホットウォレットおよびウォームウォレットの一部に留まり、オフラインのコールドウォレットや秘密鍵の漏洩はなく、顧客資産の損失は同社の保護基金で全額補填される。

• 調査にはMandiantやSlowMistが参画しており、Bitgetはビットコインを皮切りに出金を順次再開するとともに、今週中に正式なインシデント報告書を公開する予定としている。

• 暗号資産取引所大手のBitget（ビットゲット）は、2026年9月24日に発生した約3億8800万ドル（約580億円相当）規模の不正流出インシデントについて、同社が導入していたサードパーティ製セキュリティ製品の脆弱性が原因であったと公表した。BitgetのCEOであるGracy Chen氏がライブ配信や海外メディアの取材に対して説明した。

• 同社によると、攻撃者はこの脆弱性を悪用して社内の高レベルな管理者権限（認証情報）を取得し、ウォレットインフラに対する不正な送金命令を実行させたという。現在、影響を受けたシステムの隔離や認証情報の刷新が進められており、外部のセキュリティ企業とともに詳細なフォレンジック調査が行われている。

侵入経路と攻撃の手口：ゼロデイ脆弱性の悪用

発表によると、侵入の起点となったのはBitgetが使用していた外部ベンダー製のセキュリティ製品だった。Chen氏は海外メディア「The Block」に対し、この欠陥がベンダーによる修正プログラムの提供前に悪用された「ゼロデイ脆弱性」であったと説明している。ただし、製品の具体的な名称については現時点で公表されていない。

攻撃者はこの欠陥を通じて内部の管理システムに侵入し、バックエンドのウォレットサービスに対して不正な出金コマンドを挿入した。送信されたコマンドは奪取された正規の認証情報を使用していたため、内部システム上では正当な管理業務の一環として処理され、承認プロセスを通過してしまったという。Chen氏は、攻撃者が日常的な運用業務を装いながら行動の痕跡を消去していたと述べている。

リスク検知をすり抜けた巧妙な送金プロセス

犯行が行われた9月24日、攻撃者はまず協定世界時（UTC）18時31分に2回の少額送金をテストとして実施した。これらの送金はBitgetのリスク管理システムが設定している検知閾値（しきいち）を下回る金額であったため、不正アラートが発報されなかった。

安全を確認した攻撃者は、その約30分後に大口の資金移動を開始し、監視システムを回避しながら多額の暗号資産を送金させた。Bitgetは先週の段階でバックエンドシステムが侵害され取引データが偽装されたことを明かしていたが、今回の発表で具体的な侵入手段と送金の手順が判明した形となる。

ウォレットへの影響と顧客資産の保護体制

今回の被害についてBitgetは、流出した資金は入出金処理に用いられるホットウォレット（常時インターネットに接続された送金用ウォレット）およびウォームウォレットの一部から引き出されたものであると説明している。

一方で、資産の大半を保管するコールドウォレット（インターネットから物理的に隔離された保管用ウォレット）は影響を受けていない。また、これまでの調査結果に基づき、暗号資産の移転署名に必要な「秘密鍵（プライベートキー）」自体の漏洩は確認されていないとしている。

ユーザーの口座残高に影響はなく、損失分についてはセキュリティインシデントに備えて同社が積み立てている「保護基金（Protection Fund）」から全額が補填される。停止されていた出金機能については、月曜日からビットコイン（BTC）の取り扱いが再開されており、その他の暗号資産についても10月2日までに段階的に再開される予定となっている。ユーザー側で必要な個別手続きはないという。

対策の強化と攻撃者グループの追跡

Bitgetはインシデント発生後、影響を受けたシステムを即座に隔離し、問題の機能を停止した。さらに、社内の認証情報をすべて無効化して再発行したほか、ベンダーへの通知を行った。ただし、ベンダー側から修正パッチがすでにリリースされたかどうかについては言及していない。

再発防止策として、同社は内部アクセス権限の制限、出金処理に対する独立した二重チェック機構の導入、異常な挙動を検知する監視体制の強化を実施した。また、今後のサードパーティ製セキュリティ製品の選定および導入プロセスの見直しを進めるとしている。

今回のインシデント調査には、サイバーセキュリティ大手の米Mandiant（マンディアント）およびブロックチェーンセキュリティ企業のSlowMist（スローミスト）が支援に入っており、Bitgetは今週中に正式な調査報告書を公表する見通しだ。

攻撃者の素性についてBitgetは、先週に引き続き北朝鮮のハッカー集団による犯行を疑っているとしているが、具体的なグループ名の言及は正式レポートの公開まで控える姿勢を示している。ブロックチェーン分析企業のTRM Labsは、今回の不正流出資金の送金先と、北朝鮮のサイバー犯罪グループ「TraderTraitor（トレーダートレイター）」が過去の資金洗浄で使用したウォレットとの間に重複が見られると指摘しているものの、確定的な特定には至っていないと報告している。

Bitgetはイーサリアム（EVM互換ネットワークを含む）、XRP、Zcash、TRONなど、盗難資金が送られた主要なアドレスリストとリアルタイムの追跡ダッシュボードを公開しており、他の取引所やカストディ事業者、インフラ事業者に対して対象アドレスの監視と情報提供を呼びかけている。