Bitget不正流出「610億円」に上方修正｜BTC出金再開で復旧進む

この記事の要点

610億円被害、BTC出金再開へ

大手仮想通貨取引所Bitget（ビットゲット）のグレイシー・チェンCEOは2026年9月28日、不正流出事件をめぐるライブ配信で、停止していたビットコイン（BTC）の出金を再開したと明らかにしました。

Bitgetの公式発表によると、今回の不正流出で攻撃者のアドレスへ移された資産は約3億8,750万ドル（約610億円）に上り、当初見積もりの約3億5,160万ドル（約553億円）から上方修正されています。

流出の原因について、チェンCEOは第三者製品の脆弱性を悪用して社内の認証情報が盗まれ、不正出金につながったと説明しています。

一方、利用者への影響については、流出による損失を保護基金（Protection Fund）で全額補填するため、口座残高に影響はないと強調しました。

同氏は保護基金を1週間以内に自己資金で3億ドル（約472億円）超まで積み増す方針も示し、利用者向け支援策「Project Stand Together」の開始を発表しました。

チェンCEOが全額保護を表明

Bitget「560億円の不正流出」出金一時停止に｜CEOが全額保護を表明

今回の攻撃についてチェンCEOは、外部からシステムへ直接侵入されたのではなく、第三者製品の脆弱性が起点になったと説明しています。

攻撃者は入手した認証情報を悪用して不正な出金コマンドを送信し、Bitgetのリスク管理をすり抜けて資産を外部へ移したと明らかにしました。

一方、秘密鍵は侵害されておらず、コールドウォレットにも影響はなかったとチェンCEOは強調しています。

実際に流出被害が確認された資産は、イーサリアム（ETH）や複数のEVMネットワーク、XRPレジャー、ジーキャッシュ（ZEC）、トロン（TRX）にまたがっていたとBitgetは説明しています。

Bitgetは攻撃経路の特定後、影響を受けたシステムを隔離して脆弱性を修正し、事件の封じ込めを完了したと説明しました。

フォレンジック調査に必要な証拠を保全するため関連サーバーも分離し、社内の認証情報を失効・再発行したほか、機微なシステムへのアクセス権限も再編したとしています。

攻撃の起点となった第三者製品については、ベンダーに脆弱性の詳細を共有し、修正が完了するまで該当機能を無効化しました。

調査面では、Mandiant（マンディアント）とSlowMist（スローミスト）が独立したフォレンジック調査と流出資産の追跡を継続するとしています。

セキュリティ対策を進める中、Bitgetは出金機能の復旧にも着手し、ビットコインメインネットとBSCでの出金をすでに再開しています。

再開後の処理状況について、チェンCEOはライブ配信後の投稿で、9月28日18時時点（日本時間）までに9,585件、合計4,098.03 6BTCの出金を処理したと明らかにしました。

出金再開の対象は今後さらに広げる予定で、イーサリアムやテザー（USDT）などについても翌日以降に順次再開する計画を示しています。

Bybit報奨金プログラム

Bybitハッキング事件まとめ：報奨金プログラム、海外取引所・団体の被害支援対応、国内取引所の声明

出金機能の復旧を進める一方、Bitgetは流出資産の回収に向けたリカバリー・バウンティ・プログラムも開始し、資金の凍結に貢献した個人や組織には凍結額の5％、回収に成功した場合には回収額の5％を報奨として支払う方針です。

資産追跡ではすでに業界パートナーとの連携によって一部の資産が凍結されており、Bitgetは取引所やステーブルコイン発行体などに資金追跡情報を共有しています。

こうした回収活動には、Bybit（バイビット）が大規模ハッキング後に立ち上げた「LazarusBounty」も活用される見通しで、同プラットフォームでは業界企業との連携を通じて流出資産の凍結や回収が進められてきました。

BitgetではMandiant（マンディアント）とSlowMist（スローミスト）による資産追跡も続いており、すでに凍結された資産を含め、流出資産の回収作業が継続されています。

※価格は執筆時点でのレート換算（1ドル=157.44 円）