2026年9月、大手暗号資産取引所Bitgetにおいて、ホット／ウォームウォレット関連のバックエンドシステムが悪用されたとみられる大規模な不正送金事案が発生しました。報道によれば流出額は最終的に約3億8,750万ドル(約580億円 *以下本記事では1 ドル＝約 150 円換算)規模に修正されており、2026 年に報じられた暗号資産取引所関連の不正送金事案の中でも、最大級の規模の一つとされています。本稿では、公開されている報道情報をもとに、今回の事案の経緯、過去の国内外CEXにおける類似事例、そして2025年以降の金融庁(FSA)による規制強化の方向性を整理します。
*CEX は、運営会社がユーザー資産の管理や売買処理を担う中央集権型暗号資産取引所を指します。

本稿は特定の取引所・企業に対する評価や投資判断を目的とするものではなく、公開報道情報を基にした事実整理を目的としています。数値や経緯は今後の続報により更新される可能性がある点にご留意ください。

Bitget不正送金事案の経緯(2026年9月)

検知と初動対応

報道によれば、2026年9月24日18時31分(UTC)頃、Bitgetのセキュリティシステムが複数のホットウォレットからの異常な送金を検知し、緊急対応プロトコルを起動したとされています。検知からほどなく、取引所全体で出金機能が一時停止された一方、預入・現物取引については継続されたと報じられています。

被害規模の推移

被害額については、当初「約3億5,160万ドル」との発表がなされたのち、Zcash(ZEC)やTron(TRX)など一部資産の集計漏れを反映する形で「約3億8,750万ドル」に上方修正されたと報じられています。流出したとされる資産にはXRP(約1億300万枚、約1億5,700万ドル相当)、ETH、USDT、USDC、BNB、AVAX、TRX、XAUtなどが含まれ、影響を受けたチェーンはEthereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BNB Chain、Base、Tron、Zcashなど複数に及ぶとされています。

攻撃手法とされる内容

報道によると、今回の手口の特徴は秘密鍵そのものの窃取ではなく、ウォレットインフラのバックエンドを何らかの形で侵害し、取引データを偽装することで、取引所内部の正規の承認・署名フローを不正にトリガーし、外部アドレスへ資金を移動させた点にあるとされています。また、侵害範囲はホット/ウォーム層の一部にとどまり、コールドストレージおよびユーザーの自己管理型ウォレットは影響を受けていないと報じられています。

事後対応

Bitget CEOのGracy Chen氏は、User Protection Fund、報道時点で約 4 億 6,400 万ドル超（5,500BTC 相当と報じられる）、による全額補償の方針を示したとされています。調査体制としてはMandiant(Google傘下)およびSlowMistが外部パートナーとして起用され、法執行機関とも連携しているとされます。また、資金の凍結・回収に協力したボランティアへの報奨金制度(Recovery Bounty Program、それぞれ5%相当)が設けられ、Bybitの「LazarusBounty」の枠組みが活用されていると報じられています。出金再開については、脆弱性の特定・修正の完了を前提に2026年9月28日8時(UTC)からの段階的再開が公表されています。

攻撃主体に関する見立て

Bitget CEOは、攻撃に使用されたIPアドレスのパターンが特定の北朝鮮関連グループが使用するとされるVPNと一致すること、およびオンチェーン分析の結果から「非常に可能性が高い」として北朝鮮ハッカー組織との関連を指摘したと報じられています。Ellipticなど複数のブロックチェーン分析企業も同様の見解を示しているとされますが、外部調査機関による確定的な結論は本稿執筆時点では継続中とされており、あくまで報道段階の見立てである点に留意が必要です。

過去の海外CEX大規模流出事例

CEXにおける大規模流出は、ホットウォレットへの資産集中や鍵管理体制の不備、内部システムの侵害などが共通要因として繰り返し指摘されており、なかでも北朝鮮関連(Lazarusなど)の関与が疑われる事案が目立つ傾向にあるとされています。

国内CEXの主要事例と規制強化の契機

日本国内では、暗号資産取引所の普及初期から大規模な流出事案が発生し、そのたびに資金決済法改正(交換業登録制の導入)やホットウォレット保有上限、分別管理、コールド/ウォーム分離の義務化など、規制枠組みの導入・強化が進められてきたとされています。

国内事案では、事件発生後の補償対応が比較的迅速に行われたケースが多く、保護基金や自己資金によるユーザー救済が一種の実務標準になりつつあると報じられています。

2025年以降のFSA規制強化の方向性

2025年以降、金融庁は暗号資産交換業者に対する監督姿勢を強めており、「顧客資産の分別管理」「ホットウォレット保有の上限」「コールドストレージの義務化」「インシデント報告の迅速化」を軸とした制度整備が進められていると報じられています。以下は報道等から整理した主な方向性であり、最終的な制度内容は金融庁の公式発表・パブリックコメント等でご確認ください。

• ホットウォレット上限の明確化:顧客資産の一定割合を超えるホットウォレット保有を原則制限し、例外を厳格な承認プロセスの対象とする方向性が報じられています
• 冷温分離の義務化:コールド/ウォーム/ホットの階層化と鍵管理の多層化、アクセス制御の文書化、定期的な外部監査の導入が求められる方向とされています
• 分別管理・信託保全の拡充:顧客資産の分別管理の徹底に加え、信託銀行等による保全スキームの適用範囲拡大が検討されているとされます
• インシデント報告の迅速化:不正送金等の検知から一定時間内(制度設計の方向性として、検知から 24 時間以内などの報告義務が検討されているとの報道があります）)の報告義務や、ユーザーへの説明・補償方針の速やかな開示が求められる方向とされています
• セキュリティ基準の底上げ:マルチシグ、HSM(ハードウェアセキュリティモジュール)、権限分離(Four-eyes principle)などの導入が事実上前提となりつつあるとされます

国内では2018年のCoincheck事案や2024年のDMM Bitcoin事案などを経て段階的に規制が強化されてきた経緯があり、2025年以降はBybit(2025年)など海外の大規模事案も踏まえ、国際的な水準との整合とユーザー保護の事前予防を重視する姿勢が強まっているとされています。実務面では、金融庁による立入検査の頻度増加や是正措置の早期化、JVCEA(日本暗号資産取引業協会)を通じた自主規制ルールの厳格化が進んでいると報じられています。

業界横断の協力体制

今回のBitget事案では、業界を横断した協力の動きも報じられています。Bybit CEOのBen Zhou氏は早期に全面支援を表明し、過去にBitgetから支援を受けた経緯に触れつつ、LazarusBountyプラットフォームをBitget関連資金の追跡に対応させたとされています。BinanceのChangpeng Zhao(CZ)氏も公開の場で協力の意向を示したと報じられ、Binanceのセキュリティチームが情報共有に協力しているとされます。また、Tether(USDT)やCircle(USDC)などステーブルコイン発行体が一部アドレスの凍結に協力したとも報じられています。

まとめ:不正流出資産の今後の行方と想定される影響

過去の北朝鮮関連(Lazarusなど)とされる大規模ハック事例では、盗まれた資産が単純に売却されるのではなく、追跡を困難にするための一連のプロセスを経て段階的に現金化される傾向が繰り返し報告されています。Bitget事案についても、資産凍結・追跡の取り組みが報じられている一方、こうした過去のパターンを踏まえた警戒が引き続き必要とされています。

報道等で指摘されている一般的なパターンとしては、盗まれた資産をEthereumやTronなど複数のチェーンに分散させたうえで、DEXでのスワップやミキサー(Tornado Cashなど過去に利用が報じられたサービス)を通じて資金の出所を追跡しにくくし、その後P2P取引所やOTCデスクを経由して段階的に法定通貨へ換金する、という流れが繰り返し報告されています。一方で、ステーブルコイン発行体によるアドレス凍結や、Elliptic・Chainalysis・SlowMistなどブロックチェーン分析企業によるオンチェーン追跡、業界横断のバウンティプログラムなどにより、資金の一部が凍結・回収されるケースも過去に報告されています。

こうした資金が実際に現金化・利用された場合の想定される影響としては、主に以下のような点が指摘されています。

いずれも過去の類似事案から推定される一般的な傾向であり、Bitget事案について確定的な結論が出ているものではない点にご留意ください。今後の続報や公式発表、ブロックチェーン分析企業のレポート等を通じて、資金の実際の流れが明らかになっていくものと考えられます。