海外の暗号資産交換所Bitgetは、2026年9月24日（UTC）にホット・ウォーム・ウォレットの一部から約3億5,160万ドルの不正送金があったと公表し、出金を停止した。同社は、4億6,400万ドル超を持つ利用者保護基金で全額を補填できるとしているが、攻撃経路は明らかにしていない。国内の交換業者や、暗号資産の保管や電子決済手段の取扱いを検討する金融機関にとっては、ホットウォレットの運用設計と事故時の対応が論点となる。約束された事故報告書の内容と出金再開の時期が焦点だ。
何が起きたか
Bitgetのグレイシー・チェンCEOはXで、UTC9月24日18時31分に一部のホットウォレットからの不正送金を検知したと公表した。影響額は約3億5,160万ドル（約559億円、1ドル＝159.04円（9月24日NY終値）で換算）と見積もっている。同社はウォレットを3層で構成しており、侵害はホット層とウォーム層の一部にとどまり、コールドウォレットは安全だと説明した。出金はセキュリティ確認が終わるまで全利用者について停止し、入金と取引は通常どおり続けている。損失は、現在4億6,400万ドル（約738億円）を超える資産を持つ利用者保護基金ですべて補填できるとしている。攻撃経路については調査が終わるまで推測しないとし、原因と是正策を含む報告書を24時間以内に公表すると表明した。報道によれば、攻撃者は凍結機能のあるステーブルコインをETHに交換しながら、複数のチェーンに資金を移したとされる。
なぜ重要か
損失を受けたのはウォレットの一部だが、出金は全利用者について止まった。資産が保全されていても、引き出せない期間が生じうることが目に見える形で現れた。日本の制度は、交換業者に利用者の暗号資産の大半をコールドウォレットなどで管理させ、ホットウォレットで管理する分には同じ種類・数量の暗号資産を別に保有させることで、こうした事態に備えている。それでも近年の大型流出の多くは、署名の手続や運用端末といったオフチェーン側の侵害から始まっているとされる。保管比率の規制だけでは足りず、署名の承認手順や、検知から送金停止までの時間といった運用設計が問われる。また、凍結を避けるためにステーブルコインを即座に交換する手口は、発行体の凍結能力を事故対応の前提に置くことの限界も示している。
注視点
予告された報告書で攻撃経路が特定されるか、出金がいつ再開されるか、保護基金の資産構成が開示されるかが焦点である。国内では10月1日から、金融庁のサイバー事案報告の共通様式が暗号資産交換業者にも適用される。
進捗段階
実装トラック：対象外（インシデント） 規制トラック：対象外
用語解説
-
ホットウォレット：インターネットに接続した状態で秘密鍵を管理するウォレット。出金に即座に応じられる反面、外部から攻撃を受けやすい。交換業者は、出金に必要な分だけをここに置くのが一般的である。
- 英：hot wallet ／ 用例：Exchanges keep only a small share of customer assets in hot wallets. （交換所は、顧客資産のごく一部だけをホットウォレットに置いている）
-
コールドウォレット：インターネットから切り離した環境で秘密鍵を管理するウォレット。送金には手間がかかるが、外部からの攻撃を受けにくい。日本の制度では、利用者の暗号資産の大半をこの方法などで管理することが求められている。
- 英：cold wallet ／ 用例：Bitget said its cold wallets were not affected by the breach. （Bitgetは、コールドウォレットは侵害の影響を受けていないと説明した）
-
利用者保護基金：交換所が流出などの損失に備えて自ら積み立てる基金。保険や法定の補償制度とは異なり、規模や資産構成は交換所の開示に頼るほかない。伝統的な金融の預金保険や投資者保護基金とは、第三者による保証がない点で性格が異なる。
- 英：user protection fund ／ 用例：Bitget says its user protection fund can cover the full loss. （Bitgetは、利用者保護基金で損失の全額を補填できるとしている）
-
凍結機能：ステーブルコインの発行体が、特定のアドレスにあるトークンの移転を止められる機能。不正に得た資金の移動を封じる手段になる。ただし、凍結される前に別の暗号資産に交換されてしまえば効果は及ばない。
- 英：freeze function ／ 用例：Attackers swapped stablecoins into ETH before issuers could use the freeze function. （攻撃者は、発行体が凍結機能を使う前にステーブルコインをETHに交換した）
出典
- Bloomberg「Bitget Says $351 Million Affected in Breach, Halts Withdrawals」（2026年9月24日）: https://www.bloomberg.com/news/articles/2026-09-24/bitget-says-351-million-affected-in-breach-halts-withdrawals
- Forbes「Bitget Hack Of $351.6 Million Triggers A Withdrawal Freeze」（2026年9月24日）: https://www.forbes.com/sites/boazsobrado/2026/09/24/bitget-hack-of-3516-million-triggers-a-withdrawal-freeze/
- TheStreet「Bitget CEO confirms $351.6M hack, withdrawals paused」（2026年9月25日）: https://www.thestreet.com/crypto/markets/bitget-ceo-confirms-351-6m-hack-withdrawals-paused
- BSC News「Bitget confirms a $351M security breach」（2026年9月25日）: https://bsc.news/news/bitget-351m-hot-wallet-breach
- 金融庁「『主要行等向けの総合的な監督指針』等の一部改正（案）に対するパブリックコメントの結果等の公表」（2026年9月18日）: https://www.fsa.go.jp/news/r8/sonota/20260918/20260918.html
- フィスコ「9月24日のNY為替概況」（2026年9月25日、株探掲載）: https://kabutan.jp/news/marketnews/?b=n202609250042
本記事は公開情報に基づく解説であり、投資助言を目的としたものではありません。