暗号資産取引所Bitgetで、大規模なセキュリティインシデントが発生しました。Bitgetの公式発表によると、2026年9月24日18時31分（UTC）、一部のホットウォレットから不正な資産移動を検知。
日本時間では、9月25日午前3時31分ごろにあたります。現時点で発表されている影響額は、約3億5,160万ドル。日本円にすると数百億円規模となる、大型のセキュリティ事件です。
Bitgetによると、影響は一部のホットウォレットおよびウォームウォレットに限定され、コールドウォレットは影響を受けていないとしています。また、Bitgetは4億6,400万ドルを超えるUser Protection Fundによって今回の損失額をカバーできると説明。
Bitgetだけではない。繰り返されてきた取引所ハッキング
暗号資産市場では、これまで何度も大規模な取引所ハッキングが発生してきました。
2011〜2014年｜Mt. Gox
世界最大級のBitcoin取引所だったMt. Goxでは、長期間にわたる不正アクセスによって大量のBTCが流出。米司法省の認定では約647,000 BTCが盗まれたとされ、2014年には取引停止から破綻へと発展しました。この事件では秘密鍵の管理だけではなく、会計、異常検知、内部管理など複数の問題が重なっていました。
2016年｜Bitfinex
約119,754 BTCが流出。Bitfinexではすでに「マルチシグ」が採用されていました。それでも大規模な不正送金を防げなかったことから、「マルチシグを導入すれば安全」というわけではないことを示した重要な事件です。
2018年｜Coincheck
日本で暗号資産セキュリティの重要性を広く知らしめた事件です。約5億2,300万XEM、当時約580億円相当が不正流出。NEMそのものがハッキングされたのではなく、大量のXEMをホットウォレットで管理していたことなど、取引所側の資産管理・リスク管理が大きな問題となりました。Coincheckはその後、対象となった利用者に約463億円を自己資金で補償しました。
2018年｜Zaif
ZaifではBTC、BCH、MONAが不正流出し、被害額は約67億円。こちらもホットウォレットへの不正アクセスでした。さらに事件以前から、システムや内部管理体制について当局から改善を求められていた点も重要です。
2019年｜Binance
Binanceからは7,000 BTC、当時約4,000万ドルが流出。攻撃者はフィッシングやウイルスなどを組み合わせ、APIキーや2FA情報などを取得していたと説明されています。BinanceはSAFUと呼ばれる基金を使って損失を負担しました。
2020年｜KuCoin
KuCoinでは約2億8,100万ドル相当の暗号資産が流出。ホットウォレットが侵害される一方、コールドウォレットは影響を受けませんでした。その後、オンチェーン追跡や他の取引所、トークン発行者などとの協力によって、多くの資産が回収・無効化されました。
2024年｜DMM Bitcoin
日本で発生した非常に重要な事件です。4,502.9 BTC、当時約482億円相当が流出しました。警察庁などの発表によると、攻撃者はウォレット関連事業者の従業員に対して、採用担当者を装って接触。採用試験を装った悪意あるプログラムを実行させて端末を侵害し、最終的にはDMM Bitcoinの正規取引リクエストを改ざんしたとされています。つまり攻撃は、「秘密鍵を直接盗む」だけではなく、「人や業務システムを侵害し、正規の仕組みを悪用する」方向へ進化しているのです。
2025年｜Bybit
Bybitでは約14〜15億ドル相当の暗号資産が流出。暗号資産業界でも史上最大級のハッキング事件となりました。特徴的だったのは、単純にホットウォレットから秘密鍵が盗まれた事件ではなかったこと。コールドウォレットから資産を移動する際の署名プロセスが狙われ、正規の署名者を欺いて不正な処理を承認させる、高度な攻撃だったとされています。FBIは、この事件を北朝鮮のTraderTraitorによる犯行と正式に帰属しました。
2026年9月｜Bitget
そして今回のBitgetです。影響額：約3億5,160万ドル。Bitgetによると、一部のホット／ウォームウォレットから不正な資産移動が発生しました。コールドウォレットについては影響を受けていないとしています。BitgetはUser Protection Fundで損失をカバーできるとしており、利用者の口座残高は保護されていると説明。一方、安全確認のため出金は一時停止されています。
ハッキングの方法は変化している
過去の事件を時系列で見ると、攻撃対象が変化していることが分かります。
Mt. Gox
→ 秘密鍵・ウォレット・内部管理
Coincheck・Zaif・KuCoin
→ ホットウォレット
Binance・DMM Bitcoin
→ 人・認証・API・セッション
Bitfinex・WazirX
→ マルチシグ・署名経路
Bybit
→ 署名UI・サプライチェーン
Bitget
→ 一部ホット／ウォームウォレットから不正送金。詳細な原因は調査中
かつては、「秘密鍵をどう守るか」がセキュリティの中心でした。しかし現在では、人、端末、外部サービス、API、署名画面、承認プロセスなど、「秘密鍵を利用するまでの仕組み全体」が攻撃対象になっています。
「コールドウォレットなら安全」でもない
Bybit事件が示した重要なポイントがあります。それは、コールドウォレットを使っているだけでは、すべての攻撃を防げないということです。
秘密鍵そのものが安全でも、署名するトランザクションの内容が改ざんされていれば、正規の鍵を使って不正な取引を承認してしまう可能性があります。
同様に、「マルチシグだから安全」「2段階認証があるから安全」「大手取引所だから安全」という一つの条件だけで、安全性を判断することは難しくなっています。
私たちユーザーは何に注意すべき？
今回のBitget事件を含め、過去の歴史から見えてくる最も重要なポイントは、「ハッキングされない取引所を当てる」のではなく、「どこかがハッキングされても致命的な損失にならない資産管理をする」という考え方です。
具体的には、
・取引所に必要以上の資産を集中させない
・取引用資産と長期保有資産を分ける
・自己管理する場合は秘密鍵やリカバリーフレーズを厳重に管理する
・パスキーやセキュリティキーなど、フィッシング耐性の高い認証を利用する
・出金先ホワイトリストを設定する
・暗号資産用のメールアドレスと固有のパスワードを利用する
・不要なAPIキーを削除し、必要以上の権限を与えない
・ログイン、API作成、出金などの通知を有効にする
・送金時にはアドレス、金額、ネットワークを確認する
・公式サイトや公式発表を確認し、SNS上の偽サポートに注意する
といった基本的な対策が重要になります。
ただし、今回のBitgetのように取引所側のウォレットそのものが侵害された場合、利用者個人の2FAだけで防ぐことはできません。
だからこそ、「自分のアカウントを守る対策」と「取引所自体に問題が起きた場合に備える対策」の両方が必要になります。
今回のBitget事件で改めて考えたいのは、「取引所に表示されている残高」と「いつでも自分で動かせる資産」は同じではないということです。Bitgetは今回、User Protection Fundによって約3億5,160万ドルの影響額をカバーできると説明しています。
一方で、安全確認のため出金は一時停止されました。これは、取引所を利用する以上、ハッキングリスクだけではなく、出金停止、事業者の財務状況、流動性、資産管理体制などの「取引所リスク」も存在することを示しています。
今回のBitgetについては、まだ発生直後です。そのため現段階では、「何が起きたか」と「なぜ起きたか」を分けて考えることが重要です。
分かっているのは、一部のホット／ウォームウォレットで不正送金が発生し、約3億5,160万ドルが影響を受けたこと。
一方、具体的な侵入経路や根本原因については、正式な調査結果を待つ必要があります。暗号資産市場が成長するほど、攻撃する側の手法も高度になっています。
だからこそ、「投資する知識」と同じくらい「資産を守る知識」が重要です。
ショート動画
Bitgetで約3.5億ドルの不正送金。あなたの暗号資産は大丈夫？
https://youtube.com/shorts/vobJ1itfXeg
