Mt. GoxからBitfinex、BybitからBitgetへと、取引所への攻撃経路は次々と高度化してきました。2019年にセキュリティを突破されたバイナンスは、再び同じ問題に直面しています。損失を負担するのは誰なのか。
過去10年以上にわたる取引所の盗難事件を時系列で並べると、明らかな変化が見えてきます。
損失額はますます大きくなっていますが、攻撃者がコールドウォレットを直接破るケースは減っています。実際に狙われるのは、ホットウォレット、秘密鍵、署名プロセス、内部デバイス、そして取引所とサードパーティサービスの接続であることが多いのです。
——
ホットウォレットから秘密鍵へ：初期の攻撃経路
2014年2月、Mt. Goxでは約85万BTCが消失したと報告されました。当時の価格に換算すると約4億5,000万ドルです。資産は一度に移されたのではなく、長期間にわたって流出し続けました。ホットウォレットの管理不全と秘密鍵の保護不足が、当時最大のビットコイン取引所だった同社を最終的に破綻へと導きました。
2016年8月、Bitfinexから119,756 BTCが盗まれました。当時の価格で約7,200万ドル相当です。攻撃者は取引所のマルチシグによる保管・承認プロセスを突破し、許可されていない送金を実行しました。一部の資産は後に回収されましたが、ユーザーは損失の分担と長期にわたる補償手続きを経験しました。
2018年1月、日本の取引所Coincheckから約5億2,300万ドル相当のNEMが盗まれました。大量の資産がインターネットに接続されたホットウォレットに保管されていたうえ、マルチシグも導入されていませんでした。秘密鍵が漏えいした後、資産は一度に送金され、最終的にCoincheckは会社資金でユーザーに補償しました。
この時期に共通していた点は明らかです。
資産は取引所に保管されていたものの、鍵、ウォレット、承認プロセスは本当の意味で分離されていませんでした。
2019年5月、バイナンス自身も大規模な攻撃を受けました。ハッカーはバイナンスのホットウォレットから7,000 BTCを送金し、当時の価値は約4,000万ドルでした。バイナンスによると、攻撃者はフィッシングやウイルスなどを使って、ユーザーのAPIキーや二段階認証情報などを入手し、出金を一斉に実行しました。
この事件の損失は最終的にSAFU基金が負担し、ユーザーに直接的な損失はありませんでした。バイナンスはセキュリティ点検を終えて業務を再開し、「プラットフォームが費用を負担し、ユーザーに損失を負わせない」というセキュリティ事故への対応モデルを確立しました。
——
鍵の窃取から、手続きへの攻撃へ
その後、攻撃者は単一のウォレットを狙うのではなく、取引所の運用手続きや権限システムを攻撃するようになりました。
2020年9月、KuCoinのホットウォレットの秘密鍵が漏えいし、約2億8,000万ドルの損失が発生しました。プロジェクト関係者、取引所、セキュリティ機関が共同で資金を追跡し、約84%の資産が回収されました。残りは保険と会社資金で補填されました。
2021年12月、BitMartはホットウォレットへの攻撃を受け、損失額は約1億5,000万〜1億9,600万ドルと推定されました。公開情報によると、事件はホットウォレットの秘密鍵漏えいに関連しており、BitMartはその後、会社資金と保険で影響を受けたユーザーに補償すると約束しました。
2023年には、CoinExから約7,000万ドル相当の資産が送金されました。一般にはホットウォレットの秘密鍵漏えいが原因と考えられています。同年、Poloniexから約1億2,500万ドル相当の資産が盗まれ、攻撃者は複数のチェーン上の資産を移動させましたが、プラットフォームは最終的な攻撃経路をすべて公表しませんでした。
攻撃手法は変化しています。
「秘密鍵を手に入れる」→「権限を回避する」→「取引を偽造する」。
——
サードパーティ製ソフトウェアも攻撃の入り口に
2024年に起きた2つの事件は、すでに現在の攻撃手法に近いものでした。
5月、日本の取引所DMM Bitcoinから約4,502.9 BTCが盗まれました。当時の価格で約3億500万ドル相当です。公式発表では最初の侵入方法は詳しく明らかにされませんでしたが、その後、米連邦捜査局（FBI）は北朝鮮に関係するTraderTraitorグループによるものと断定しました。
7月、WazirXから約2億3,500万ドル相当の資産が盗まれました。攻撃者は、マルチシグウォレットの取引画面と署名データの間にある差異を利用し、関係者を誘導して悪意ある取引を承認させたとみられます。その後、WazirXとカストディサービス提供会社Liminalの間で責任の所在をめぐる争いが起きました。
2025年2月、Bybitから約14億6,000万〜15億ドル相当の資産が盗まれ、それまでで最大規模の取引所盗難事件となりました。
Bybitの事件が示したのは、次のことです。
マルチシグだからといって、絶対に安全とは限りません。
攻撃者はコールドウォレットの秘密鍵を単純に解読したのではありません。署名プロセスにおける取引表示とデータの差異を利用し、署名者を誘導して悪意ある取引を承認させました。米連邦捜査局（FBI）は後に、北朝鮮に関係するTraderTraitorグループによるものと断定しました。
コールドウォレットは直接侵害されていませんが、取引は承認されてしまいました。これにより、セキュリティ上の問題は「資産をどこに保管するか」から、「誰が取引を承認し、その人には何が表示されていたのか」へと移りました。
——
Bitget：バイナンスの事件に先立つ警告
2026年9月24日18:31 UTC、攻撃者はBitgetの一部のホットウォレットとウォームウォレットから、許可されていない送金を実行しました。19:05 UTC、Bitgetの資金照合システムが異常を検知し、全プラットフォームで直ちに出金を停止しました。
Bitgetは当初、損失額を約3億5,160万ドルと推定していました。ZcashやTRONなどのチェーン上の取引を再分類した結果、損失額は後に約3億8,750万ドルに修正され、最終的に公式ページで確認された金額は約3億8,800万ドルとなりました。
Bitgetが公表した攻撃の原因は次のとおりです。攻撃者は、サードパーティ製セキュリティ製品のゼロデイ脆弱性を利用して内部ネットワークへのアクセス認証情報を盗み、偽造した出金指示でリスク管理システムを回避し、ウォレットシステムに直接送金コマンドを書き込みました。
今回の事件ではコールドウォレットは関与しておらず、公式発表によると秘密鍵も侵害されていません。Bitgetのユーザー残高に影響はなく、損失はユーザー保護基金が負担しました。出金サービスは10月2日までに段階的に再開しました。
Bitgetの事件が残した教訓は明らかです。
本当に危険なのは、ウォレットそのものではなく、その背後にあるソフトウェア、デバイス、権限かもしれません。
——
バイナンス：再び突破されたセキュリティ境界
2026年10月30日未明、公開されているオンチェーン情報から復元された内容によると、「Binance 14」と表示されたバイナンスのホットウォレットで異常な承認が発生しました。数分後、ウォレット内の複数の資産が一括で送金され、その後、複数のホットウォレットから異なるチェーン上で連続して資産が移動しました。
同日午前、バイナンスは入金と出金を一時停止し、ユーザー資金は安全であり、損失はすべて会社が負担すると発表しました。
バイナンスが公表した初期調査によると、事件にはDevOpsエンジニアのノートパソコンが侵害されたことが関与している可能性があります。攻撃者はこれを足掛かりにサービスコンテナへ侵入し、許可されていない出金取引を実行しました。
バイナンスは、現時点でウォレットの秘密鍵が漏えいした証拠は確認されていないとしています。しかし、その後の調査でほかの侵入経路も見つかったため、従業員のPCは初期の手掛かりにすぎず、最終的な原因ではありません。
金額については、Chainalysisが盗難資産を約59億ドル、TRM Labsが60億ドル超と推定しています。バイナンスが現時点で公式に示している金額は次のとおりです。
今回の事件による影響総額は約63億ドルです。
バイナンスによると、約30億ドル相当の資産はすでに凍結または保護されています。また、今回の事件を補填するため、63億4,000万ドルを超える会社資金を確保しており、そのうち約50億ドルは影響を受けたトークンに対応する形で割り当てられています。
この資金は補償準備金であり、新たな盗難額ではありません。また、凍結された30億ドルと単純に合算することもできません。
CZの発言は、主に次の3点に焦点を当てています。
ユーザー資金は安全であり、事件は実際にハッキングによるものとみられる。
バイナンスではFTXのような破綻は起きていない。これは、会社の貸借対照表で吸収可能な単発のセキュリティ事故に近い。
資産の回復作業はすでに始まっており、バイナンスは取引手数料や市場取引を通じて、影響を受けたトークンを段階的に補充できる。
2026年10月30日夜時点で、約63億ドル相当の資産が影響を受け、約30億ドル相当がすでに凍結または保護されています。バイナンスは損失を補填するため、63億4,000万ドルを超える会社資金を準備していますが、最終的な純損失額、実際の回収額、攻撃経路の全容はまだ確認されていません。
したがって、今回の事件を単純に「バイナンスが最終的に63億ドルを失った」と解釈することはできません。
2019年、バイナンスはSAFU基金を使って約4,000万ドルの損失に対処しました。今回は事件の規模が63億ドル級に拡大し、攻撃経路もユーザーAPIやホットウォレットから、社内デバイス、サードパーティ製ソフトウェア、バックエンドの権限にまで広がっています。
Mt. GoxからBitget、そしてバイナンスへ。取引所のセキュリティは、もはやコールドウォレットとホットウォレットの違いだけでは語れません。
この事件で本当に問われているのは、バイナンスに賠償する資金があるかどうかだけではありません。
取引所のセキュリティ境界が何度も突破されるとき、最終的に損失を負担するのはプラットフォームなのか、それともユーザーなのか。