Bitgetは $387.5 million を失い、2026年の史上最大の暗号資産ハッキングにおいて、秘密鍵は盗まれませんでした。攻撃者は取引所自身の認証レイヤーをスプーフィングしました — 2025年のBybitと同じ失敗の形です — そして、奪われた資産の0.1%未満しか凍結できません。これはトレーダーにとって何を意味するかです。
暗号通貨取引所のセキュリティがまた失敗 — そしてそれは鍵のせいではなかった
2026年9月24日、暗号資産取引所Bitgetから$387.5百万が1時間未満のうちに流出しました。秘密鍵が盗まれたわけでも、パスワードが解析されたわけでも、従業員が買収されたわけでもありません。攻撃者は取引所自体のバックエンドに侵入し、偽造の取引データを流し込み、プラットフォームの承認システムが資金を外部へ搬出するのを眺めました — システムは実際に出金要求を正規のものだと信じていたからです。これは2026年現在、最も大規模な暗号資産略奪事件であり、暗号資産取引所のセキュリティが実際にどのようにして機能不全に陥るのかを示す決定的な転換点となっています。
主なポイント
- Bitgetの$387.5 million breach on September 24, 2026は今年これまでのところ最大の暗号資産盗難事件であり、攻撃者は単一の秘密鍵にも触れなかった。
- 攻撃ベクトルは、取引所の認可レイヤーを偽装するもので、2025年2月のBybitによる15億ドルの盗難事件と類似しています。
- 北朝鮮の国家関連グループは、2025年に約20億ドルが盗まれた上に、2026年の暗号通貨窃盗額が10億ドルを超えた。
- ステーブルコイン発行者は略奪金のうち約$318,000しか凍結できず、残りのほとんどはXRPとETHに置かれており、どの発行者もそれを凍結することはできません。
- 10年間かけて鍵の保管を強化しても、これは防げませんでした。なぜなら、攻撃はスタックの上位層へと移行したからです。
なぜ暗号資産取引所のセキュリティは常に失敗するのか？
10年間、暗号通貨のセキュリティは「鍵を握るものがコインを握る」という一つのスローガンに支えられていました。業界は鍵の保管の強化に数十億ドルを費やしました——コールドストレージ、ハードウェアセキュリティモジュール（HSM）、マルチパーティ計算（MPC）、エアギャップされた金庫、11-of-15のマルチシグスキームなどです。そして、しばらくの間、それは機能しました。実際の鍵に対する攻撃は困難になり、稀になっていきました。
したがって、攻撃者は標的を変更した。
Bitgetの侵害は、業界全体の脅威モデルがすでに時代遅れになっていることを示す最も明確な証拠である。攻撃は鍵そのものではなく、ドアマン、つまり認可レイヤー、すなわち鍵が行動を起こす前に取引が本物かどうかを判断するソフトウェアと人間を対象としていた。このレイヤーを汚染すれば、鍵は目の前に置かれたものを喜んで署名する。
Bitgetのハッキングは実際にはどのように行われたのか？
Bitgetの最高経営責任者はこれを明確に説明した。攻撃者は同社のウォレットインフラストラクチャ内の重要なバックエンドシステムに侵入し、取引データを偽造して、取引所の承認プロセスをトリガーして資金を引き出した。署名キーは決して触れられなかった。信頼されていたのはデータの方だった。
これはキーの盗難ではありません。信頼の侵害です。そして、これは2025年2月のBybitの盗難事件と同じ構造を持っています。15億ドルが消えたのは、キーが盗まれたからではなく、攻撃者が人間の署名者が画面で目にするものを偽装し、彼らを通常業務だと思い込ませ、コールドウォレットへの送金を承認させたからです。
暗号通貨史上最大のハッキング事件のうち2件は、今や同じ骨格を共有している。攻撃者は暗号化を破ったわけではない。その上に位置する意思決定プロセスを破ったのだ。BitgetはMandiantとSlowMistを招いて調査を実施し、フォレンジックチームはTRM LabsやEllipticといったオンチェーンインテリジェンス企業と連携して資金の追跡を行っている。結論は急速に形-makingている。暗号通貨取引所が10年間かけて強化してきた境界線は、この種の攻撃者が標的とする場所ではなくなっている。
この変化で誰が勝ち、誰が損をするのか？
勝者は見分けやすい。フォレンジックおよびオンチェーンインテリジェンス企業——Mandiant、SlowMist、TRM Labs、Elliptic——は資金追跡で収益を上げており、ビジネスは好調だ。内部取引ワークフローを監視し、単なるキー管理だけでなく、認証層のセキュリティに特化した新興ニッチ分野には、このカテゴリを定義するケーススタディが存在する。取引所のリスクは暗号技術の問題ではなく運用上の問題だと長年主張してきた保険引受業者は、突然その先見性を証明されたかのように見える。
被害者はより明確ではない。広範なバックエンドインフラを持つ取引所が今や標的の第一候補となっている。内部のすべてのサービスが潜在的な侵入経路となり、複雑さが攻撃者の味方となる。まだ資金がコールドストレージにあるから安全だと信じている小口投資家は、10年前の前提に依存している。コールドストレージは鍵を保護するが、承認プロセスを保護するわけではない。
次に、凍結反射があります。CircleとTether、アドレスをブラックリストに登録できるステーブルコイン発行者は、手に入れた資金の約$318,000を凍結しました。これは総額の0.1％未満です。手に入れた資金はXRPが約102.93百万トークン、ETHが約31,890トークンで支配されており、中央発行者が凍結できないネイティブ資産です。業界のお気に入りの緊急ブレーキは、攻撃者が盗みたい資産に対して構造的に無効です。これはバグではありません。設計です。
これは以前にも起きたことですか？そして、今回は何が異なるのですか？
Bitgetは例外ではありません。それは10年にわたるエスカレーション・ラダーの最新段階です：
- 2014年、Mt. Gox: ホットウォレットの秘密鍵盗難、約85万BTC。
- 2016年、Bitfinex: マルチシグ鍵の盗難、約12万BTC。
- 2022年、Ronin: バリデーター鍵の侵害およびソーシャルエンジニアリング、約6億ドル。
- 2025年、Bybit: 偽装インターフェースによる署名者の欺瞞、約15億ドル。
- 2026、Bitget：認証レイヤー偽装、約$387.5 million。
各段階は攻撃者を暗号技術からさらに遠ざけ、それを取り巻く人間とソフトウェアの判断に近づける。数学自体が弱点だったわけではない。問題だったのはワークフローの方だった。
現在異なるのは攻撃者である。北朝鮮の国家ハッキング組織は、ラザルス、トレーダートレイト、ウォータープラムなど様々な名称で追跡されてきたが、これを産業化している。Chainalysisの推計によれば、北朝鮮関連の盗難額は2025年だけで20億ドルを超え、Bitgetによる略奪額は2026年の残りの月数を含めても10億ドルを超えている。これは機会主義的なスクリプト攻撃者ではない。資金力のある組織が収益プログラムを運営しており、標的企業に偽装されたIT請負業者を数ヶ月にわたって送り込む忍耐を持ち、取引所をファンドが市場を扱うかのように、体系的かつ利益追求のために扱っている。
今後1〜3年でどうなるのか？
不快な真実は、改善される前に悪化するという点である。3つの力が収束している。
第一はAIです。数十億ドルの詐欺を防ぐために信用を交換するのと同じクラスのモデルを逆方向に活用し、説得力のある取引データを生成し、承認の欠陥を自動で見つけ出し、かつて深い人間の専門知識を必要としていた攻撃をスケールさせることができます。自律型エージェントはすでに、テストシステムで昇格されたアクセスを得るためにソフトウェアの脆弱性を見つけ、それらを連鎖させることができることを実証しています。承認レイヤーは、決して眠らず、決してタイプミスもしない敵対者に直面しようとしています。
第二は自律性です。ウォレットがエージェント化し、ボットやAIアシスタントがユーザーに代わって取引に署名するようになると、人間の関与は消えます。機械が送金を承認する場合、偽造されたデータを捕捉する懐疑的な人間はもういません。問題は「誰が鍵を持っているか」ではなく、「誰、あるいは何が機械に承認を下すか」へと変わります。
第三は資産そのものです。より多くの価値が凍結可能なステーブルコインから離れ、ネイティブ資産へと移動するにつれて、凍結、ブラックリスト化、取り消しという回復手順の歯は失われます。ネイティブ資産に対するBitgetスタイルの攻撃に対する現実的な回復率は、実質的にゼロです。
1〜3年のうちに、新しいセキュリティカテゴリが主流になるでしょう：承認レイヤー自体に対する継続的かつ行動ベースの監視です。鍵が安全かどうかではなく、システムが知っているすべてのことを踏まえて、取引が妥当かどうかです。
これはトレーダーにとって何を意味するのか？
これらは価格予測ではありません。これはリスクマップであり、いくつかの戦略的な示唆があり、それらについて深く考える価値があります。
取引所におけるカウンターパーティリスクは、もはや破産の懸念だけではありません。それは反復的で洗練された国家主体による脅威です。取引所に問うべきは、コールドウォレットを持っているかどうかではありません。なぜなら誰もが持っているからです。重要なのは、署名前に引き出しをどのように検証しているかです。
ユーザー保護ファンドはバックストップであり、防御ではない。Bitgetの$464 millionファンドは損失をカバーし、そのカバーは実際のものです。しかし、カバーは予防ではない。侵害後に支払いを行うファンドは、それを防ぐシステムとは同じではない。
曝露の所在を把握する。XRPやETHのようなネイティブ資産は、凍結できないという理由で好まれる loot であり、これは盗まれたネイティブ資産の取引所による回復がゼロに丸められることを意味する。保有する資産が、取引所の種類に関係なく、負うリスクの性質を決定する。
自己保管は、個人が堅牢な機関よりも自身の運用セキュリティをより信頼する場合に限り、取引所の承認レイヤーを方程式から除外しますが、大多数の人にとって、このトレードオフは実際には変わっていません。変わっているのは誠実さです：どの保管モデルも安全ではなく、異なる脆弱性を持っています。
暗号通貨が自分自身に問うべき質問
10年間、業界は自分自身に安心できる物語を語り聞かせてきた。鍵を守れば安全だと。Bitgetの盗難事件は、その前のBybitの事件と同様、その物語への反論である。攻撃者はもはや鍵を気にしていない。彼らは、真の資産はそれらを使うための許可であることに気づいたのだ。
もし次世代の窃盗が秘密鍵を1つたりとも触れないとしたら、業界全体にとっての未解決の問いは、いったい何が守られているのか、そしてそれを止めるのは誰なのかということである。
FAQ
Bitgetは盗まれた秘密鍵を通じてハッキングされたのか？
いいえ。Bitgetのインシデント後の開示では、暗号鍵の盗難は否定されました。攻撃者はウォレット取引を処理するバックエンドシステムを侵害し、偽造された取引データを入力しました。その結果、取引所の承認プロセスは、それらが通常の処理であるかのように出金を承認しました。鍵自体は触れられませんでした。鍵が信頼していたデータが狙われたのです。
これはBybitのハッキングと同じですか？
構造的には、そうです。2025年2月のBybitによる$1.5 billionの侵害と、2026年9月のBitgetによる$387.5 millionの侵害は、いずれも鍵を迂回し、代わりに承認レイヤーを攻撃しました。Bybitでは署名者の画面でスプーフィングが行われ、Bitgetでは独自のバックエンド内部でスプーフィングが行われました。両方のケースで暗号技術自体は機能していましたが、意思決定プロセスが機能しませんでした。
CircleとTetherが凍結したのが約$318,000に過ぎなかったのはなぜですか？
ステーブルコインは被害額のわずかな部分を占めていたにすぎない。盗まれた資金の大部分は、中央発行機関がなくアドレスのブラックリスト化権限を持たないネイティブ資産であるXRPとETHだった。これは業界の「凍結・回復」プレイブックの構造的な限界を露呈している：それは誰かが管理する資産にしか機能しない。
Bitgetのハッキングの背後には誰がいたのか？
犯人の特定はまだ仮説の段階にある。Bitgetは北朝鮮国家支援グループを指し示しており、その手口やマネーロンダリングのパターンは、BybitおよびRoninのハッキング事件に関与したLazarusやTraderTraitorの活動と一致している。MandiantとSlowMistが forensic 調査を実施している。
顧客の資金はリスクに晒されていますか？
Bitgetは、$464 million以上を保有するユーザー保護基金が全損失を補填するのに十分であり、取引所は段階的に出金を再開していると述べています。ここから得られるより広範な教訓は、単一の取引所の支払能力に関するものではなく、業界全体の脅威モデルに関するものです。いかなるカストディ体制も完全に安全ではなく、それぞれ異なる形でリスクにさらされているに過ぎないのです。