大手取引所Bitgetから約3億8750万ドル流出、北朝鮮系グループの関与を示唆

何が起きたか

9月24日（協定世界時18時31分）、Bitgetのセキュリティシステムが、一部のホットウォレット（ネットにつながった状態で管理する財布）からの不正な送金を検知しました。約1時間で約1億8300万ドル分が流出し、同社が被害を公表した時点では約3億5160万ドル、翌25日には約3億8750万ドルに修正されました。

最も大きかったのはXRP約1億300万枚（約1億5700万ドル相当）で、ほかにもイーサリアムやステーブルコインなどが、少なくとも5つのブロックチェーンにまたがって送られました。

どうやって盗まれたのか

グレイシー・チェンCEOによると、攻撃者はユーザーの出金申請を偽造したわけでも、ウォレットの秘密鍵を盗んだわけでもありません。ウォレット基盤の内部システムに侵入し、取引データを偽装して、社内の承認の仕組みに「いつもの送金」と思わせて通させたといいます。金庫の番号を盗むのではなく、本物そっくりの伝票を通したようなイメージです。

チェン氏は、北朝鮮の特定グループが使うVPNと一致するIPアドレスを確認したと述べ、手口も過去の北朝鮮系の攻撃によく似ていると説明しました。ただし、犯人は確定しておらず、技術的な証拠は公開されていません。調査はMandiantとSlowMistが進めています。

凍結できたのはごく一部

ステーブルコイン発行元のCircleとTetherは、攻撃者のウォレットの1つを凍結しました。ただ、凍結できたのはUSDTとUSDCあわせて約31万8000ドル分です。盗まれた資産の多くはイーサリアム（6万3000ETH超）に替えられており、イーサリアムは発行元が凍結できる仕組みがありません。

利用者への影響と確認ポイント

Bitgetは、4億6400万ドル超を持つ「ユーザー保護基金」で全額を補うとしています。入金と取引は続けられ、出金だけが一時停止されました。

• 取引所に預けた資産は、取引所のセキュリティに左右される
• 補償の有無や、出金再開までの流れは公式発表で確認する
• 事件に便乗した「補償の手続き」をうたう偽メール・偽サイトに注意する

なお、2025年2月にはBybitが約14億ドルの被害を受け、FBIが北朝鮮の関与を認めています。取引所を狙う攻撃は続いており、預け先を分けるなど、自分でできる備えを考えておくことが大切です。

今回のように「秘密鍵は無事だったのに、承認の仕組みがだまされた」というケースは、技術的な守りだけでなく、社内の手続きや確認の流れまで含めて安全を考える必要があることを示しています。原因の詳しい報告は、システムの復旧後に公表される予定です。