編集 | 呉説ブロックチェーン、Grok など

暗号取引所 Bitget は 9 月 25 日未明、ホットウォレットの無断送金が発生したことを確認した。CEOの Gracy Chen は、北京時間 9 月 25 日 02:31 にセキュリティシステムが一部のホットウォレットで異常な出金が発生していることを検知したと述べた。現時点で影響を受けた資金は約 3.516 億ドルとされている。公式発表では、コールドウォレットは依然として安全であり、ユーザー口座の残高は書き換えられていない。損失は、4.64 億ドル超のユーザー保護基金でカバーできるとしている。プラットフォームは出金を停止したが、入金と取引は引き続き可能であり、9 月 26 日 05:30 までに根本原因の分析を含む完全な事故報告書を公開すると約束した。

公式発表が出る前に、オンチェーンのアナリストは、Bitget ラベルの付いたウォレットから新規アドレスへ、約1億7,800万〜1億9,000万ドル相当の資産が集中して送金されていることをすでに観察していました。現時点で両者の数字が併存しています。3億5,160万ドルは取引所内部の算定で、1億8,000万ドル前後は公開ラベル付きアドレスのオンチェーン集計です。

オンチェーン上の異常と、公式が検出した時刻はほぼ一致しています。Unchained は、確認できる流出期間を9月25日02:31〜04:55 と記録しています。その間に、新規に作成されたアドレスが、Bitget ホットウォレットのラベルが付いたアドレスから約1,967万 USDT0 を引き出し、Arbitrum 上で約6分のうちに UniswapX と 1inch Fusion を通じて約7,111枚のETHに換金されました。約定価格は最も高いケースで、相場価格より約5%高かったとされています。オンチェーン観測者の DCF GOD が、この交換取引を最初に指摘しました。ステーブルコインには発行者による凍結の可能性があり、ETH に換えた後はさらに傍受・阻止が難しくなります。

その後、複数の Bitget ラベル付きウォレットから ETH、USDT、USDC、AVAX、BNB、XAUT が同一の新規アドレス 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee に送金されました。Etherscan はそれを Bitget Exploiter 1 としてマークしました。資金はさらに他のアドレスへ分割され、またクロスチェーンの橋渡しも発生しています。Unchained も記録しており、約30分以内に同一アドレスが約3,475万 USDT、1,285万 USDC、3,000枚の XAUT を受け取り、その後約1時間で複数のラベル付きアドレスから約24,373枚の ETH を受け取ったとされています。04:55 にはさらに1件、Avalanche からの出金が残っていました。

04:24、Arkham Intelligence のアナリスト Emmett Gallic が投稿し、まず約1億7,800万ドルと報告しました。04:35 に約1億8,300万ドルへ更新し、3つのホットウォレットと1つのコールドウォレットのラベル付きアドレス、マルチチェーンの資金集約が関与していると述べました。ここでの「コールドウォレット」は、ブラウザとアナリストのラベルに由来するもので、公式の内部にあるホット／ウォーム／コールドの3段階分類と自動的に同一とは限りません。05:06、Bubblemaps が警報を出し、マルチチェーン合計で約1億8,000万ドルが同一アドレスに入金されたとしました。05:33 には約1億9,000万ドルへ更新。CryptoSlate はその統計を引用し、15件の送金で約1億9,200万ドルが関与し、7種類の資産が含まれ、そのうち ETH が約44.4%を占めるとしています。

05:30、Gracy Chen が X で完全なセキュリティ通知を公開し、公式サイトでも同時に公告を掲載しました。公式は、影響を受けた金額が約3億5,160万ドルであることを確認し、本件はホットウォレットとウォームウォレットの一部にのみ及び、コールドウォレットは完全に安全だと強調しました。ユーザーアカウントの残高は正確で、入金と取引は通常どおり。予防措置として出金は一時停止するとしています。Bitget は、検出後数分以内に緊急チームを起動し、異常アドレスを特定して報告するとともに、捜査当局およびオンチェーンのセキュリティ企業に通知したと述べています。公式は、調査が完了するまで攻撃経路について推測をしないことを明確にし、公式チャネルを通じて毎時間進捗を更新するとしています。

3億5,160万ドルが最終的に確定すれば、Bitget は取引所の窃盗史上でも金額が上位に入ることになりますが、それでも2025年2月の Bybit 盗難額よりは明らかに小さいです。

当時 Bybit のイーサリアムコールドウォレットが定例の振替中に盗まれ、約40万枚のETHが失われました。当時の価値は約14億〜15億ドルで、記録上最大規模の取引所による単発の窃盗でした。事後の調査では、Safe マルチシグのウォレットのフロントエンドに狙いを定めた悪意のあるスクリプトが仕込まれていたことが示されました。署名者は画面上では正常な送金だと認識していましたが、実際には実装コントラクトを差し替える取引に署名しており、その結果としてコールドウォレットの支配権が移ってしまったのです。米連邦捜査局などの機関は、その後、この攻撃を朝鮮の Lazarus 関連のグループに分類しました。Bybit は自社資金で穴埋めし、その後は通常運営を継続。ユーザーの資金への影響はありませんでした。

2025年2月に Bybit のコールドウォレットが盗まれた後、Bitget は最初に救援を申し出た取引所の1つでした。プラットフォームは自社資金を使って Bybit に 4万枚のETHを送金し、当時は約1億500万〜1億600万ドル相当で、出金の取り付け（出金殺到）の緩和を目的としていました。この借入は無担保・無利息で、固定の返済期限もありません。Bybit のCEO Ben Zhou は後のインタビューで、Bitget が最初に手を貸してくれた、契約すら結んでいないと述べています。Bitget は同時に関連アドレスをブラックリストに入れ、支援を継続できるとしています。約3日後、Lookonchain が Bybit が 4万枚のETHを返送したことを監視し、Gracy が投稿して回収済みだと確認しました。

歴史上、中央集権型取引所が盗まれた際の公開された事後検証で最も多い原因は、ホットウォレットの秘密鍵、または署名権限が取得されることです。Coincheck（2018年：約5.3億ドル）、KuCoin（2020年：約2.8億ドル）、Bitmart（2021年：約1.5億ドル）はいずれも、ネット接続されたホットウォレットの鍵が破られたことを示しています。もう一つは、マルチシグや署名画面が迂回されるケースです。Bitfinex（2016年）は当時のマルチシグの仕組みに関連していました。WazirX（2024年）はマルチシグの支配権が改ざんされる事案が発生。Bybit（2025年2月の盗難）などもこれに該当します。さらに、サプライチェーンや運用保守の段階で破綻が起きることもあります。たとえば、署名者の端末、ウォレット提供業者、あるいは内部の権限が悪用されるケースです。

発稿時点で、Bitget は1時間ごとに調査の進捗を追跡しているとしていますが、具体的な攻撃経路（たとえば秘密鍵の漏えいに関与しているか、インターフェースの脆弱性があるかなど）については、公式の完全な報告が待たれます。