Unicorn Private Research
JA

取引所へのハッキングと暗号資産の盗難：Mt. GoxからBitgetまでの大型事件と教訓

2014年のMt. Goxから、2025年のBybitの15億ドル、2026年9月のBitgetの3億8,750万ドルまで、大型の盗難には共通のパターンがある。日付、金額、出典、そして保管に関する教訓をまとめる。

数年ごとに、一件の盗難が暗号資産業界の記録を塗り替えてきた。金額は市場とともに膨らんだが、弱点は思ったほど変わっていない。取引所が日々の出金に使うオンラインウォレット、取引を承認できる人や委託先、そしてブロックチェーン間でトークンを移すブリッジである。

Mt. Gox、2014年。Fortuneが2018年1月26日に振り返ったところでは、当時世界最大のビットコイン取引所だった東京のMt. Goxは、2014年2月に顧客と自社の約85万ビットコイン、当時約4億5,000万ドル相当が消失したと発表し、取引を停止して破産手続きを申し立てた。うち約20万ビットコインは後に古いウォレットから見つかった。顧客は破産手続きを通じて何年も弁済を待つことになった。

コインチェック、2018年。Dark Readingによると、2018年1月26日、日本の取引所コインチェックは、ウォレットから5億2,300万NEM、580億円、約5億3,000万ドル相当が送金されたと発表した。トークンはオフラインではなくオンラインのウォレットで保管されていた。Gulf Newsによると、同社は2日後、被害を受けた約26万人の顧客に自己資金で約463億円を返金すると発表した。

Ronin、2022年。2022年3月、攻撃者はゲーム「Axie Infinity」向けのRoninブリッジから、約6億2,000万ドル相当のイーサとUSDCを奪った。出金を承認できるだけのバリデーター鍵を掌握していた。BleepingComputerによると、2022年4月14日、米連邦捜査局（FBI）はこの盗難を北朝鮮のLazarusとAPT38によるものと断定した。

DMM Bitcoin、2024年。2024年5月末、日本の取引所DMM Bitcoinは4,502.9ビットコイン、当時約3億800万ドル相当を失った。The Recordによると、2024年12月23日、FBI、米国防総省サイバー犯罪センター、日本の警察庁は、北朝鮮のグループTraderTraitorによる犯行と特定した。ウォレットソフトウェア提供会社の従業員が偽のリクルーターに接触された後、正規の取引要求が改ざんされたという。DMM Bitcoinはその後廃業し、口座をSBI VCトレードに移管した。

Bybit、2025年。2025年2月21日ごろ、ドバイに本拠を置く取引所Bybitは、主にイーサからなる約15億ドル相当の仮想資産を失った。記録上最大の盗難だ。FBIは2025年2月26日の公共広報で、北朝鮮がTraderTraitorの名で関与したとし、犯人が複数のブロックチェーン上の数千のアドレスを使って資産をビットコインなどに換えていると指摘した。

Bitget、2026年。2026年9月24日、Bitgetはホットウォレットとウォームウォレットからの不正な送金を検知し、出金を停止した。損失は当初3億5,160万ドルと見積もられ、ブロックチェーン上の追跡を経て3億8,750万ドルに引き上げられた。BleepingComputerが2026年9月28日に報じたところでは、同社は攻撃者がウォレット基盤のバックエンドシステムに侵入し、取引データを偽装して自社の承認プロセスを作動させたと説明した。利用者の残高は影響を受けておらず、損失は同社のProtection Fundで補填するとし、攻撃は北朝鮮のハッカーによるものだとした。

全体の数字。Chainalysisの2025年12月18日の報告によると、2025年1月から12月初めまでに盗まれた額は34億ドルを超え、うち少なくとも20億2,000万ドル、約60%が北朝鮮によるものとされた。上位3件のハッキングがサービス事業者の損失の69%を占めた。CryptoSlateが2026年10月2日に報じたところでは、CertiKは2026年9月までに658件、総損失約26億8,000万ドルを数え、うち約4億2,040万ドルが凍結または返還された。9月は約7億6,650万ドルで年内最悪の月となった。Ellipticは2026年の盗難のうち10億ドル超を北朝鮮によるとみられる作戦に関連づけている。

事件が教えること。第一に、損失は集中している。少数の大型侵害が金額の大半を占める。第二に、標的はコードから人とプロセスへ移った。偽のリクルーター、侵害された委託先、偽装された承認画面である。第三に、取引所の資産の保管方法は規模と同じくらい重要だ。Bitgetではオフラインのコールドストレージにあった資金は無事だったが、コインチェックのトークンはオンラインのウォレットにあった。第四に、被害の回復はコインチェックやBitgetのように運営会社の自己資本に頼るか、Mt. Goxのように長い破産手続きに委ねられる。欧州のMiCAなどの規則は、顧客資産の分別と保管方針を義務づけているが、オペレーショナルリスクをなくすものではない。

なぜ重要か：暗号資産を持つ人にとっての問いは、どのトークンを持つかだけではない。誰が鍵を管理しているのか、どれだけの額をどのくらいの期間取引所に置くのか、そしてプラットフォームが侵害されたら何が起きるのか、である。

Unicorn Private の会員制クラブで、IPO前企業へのクラブディールを扱うUnicorn Clubは、ERC-20上のBTC、ETH、USDT、USDCを受け付けている。支払いはブロックチェーン上で確認され、会員は自己管理型ウォレットまたは取引所の口座から送金できる。ガイド「暗号資産でIPO前企業に投資する方法」で手順を説明している。本記事は一般的な情報であり、個別の助言ではない。投資には元本を失うリスクがある。

出典

その他のニュース

このページの他言語版

Unicorn Watch コミュニティの IPO 予測

ニュースレター

ユニコーンとプレIPO企業に関する調査をメールでお届けします。迷惑メールはなし、いつでも解除できます。

Substack で登録