仮想通貨取引所BitgetのCEO、グレイシー・チェン氏によると、ハッキングが確認され、同社のウォレットから3億5000万ドル以上の仮想資産が流出したということです。

チェン氏は、オフラインで保管されている同社のコールドウォレットは「完全に安全」であり、今回の攻撃の影響を受けたのは、取引所が日常的な取引のためにインターネットに接続しているホットウォレットのみだと述べました。

「ユーザーの資金は安全です。今回の損失額は全額、現在4億6400万ドル以上を保有するBitgetのユーザー保護基金の対象となります」とChen氏はXに投稿しました。

BubblemapsやArkhamのアナリストを含むオンチェーン調査員は、木曜日の夜遅くに発生した異常な動きを、世界最大級の中央集権型取引プラットフォームであるBitgetが「ハッキングされた可能性がある」と最初に指摘しました。約1時間以内に、取引所に属するとラベル付けされたウォレットから約1億8300万ドル相当の資産が、新たに作成されたアドレスに移動されました。

最初の兆候はホットウォレットから現れました。ホットウォレットとは、取引所が日常的な出金処理を迅速に行うために使用するインターネット接続された準備金であり、安全のためにオフラインで保管されるコールドウォレットとは対照的です。新たに作成された「0xe410」で始まるアドレスが、1,967万ドル相当のUSDT0（米ドルにペッグされたステーブルコインであるテザーのクロスチェーン版）をわずか6分で7,111ETHに交換しました。USDTとは異なり、ETHは分散型であり、押収は困難です。

報道によると、今回の購入はUniswapXと1inch Fusionという、トレーダーが仲介業者を介さずにブロックチェーン上で直接トークンを交換できるサービスを通じて行われました。注文を出した人物は、市場価格より約5%高い価格を支払いました。これは、価格よりもスピードが重視される場合に発生するプレミアム価格です。ハッカーが迅速に行動しようとする典型的な兆候と言えるでしょう。

その後、さらに移籍が続きました。

匿名のオンチェーン研究者DCF GOD氏によると、Bitgetのものとタグ付けされた追加のウォレットが、ETH、AVAX、BNB、USDC、USDT、および物理的な金に裏付けられたトークンであるXAUTを同じアドレスに送信したとのことです。DCF GOD氏は、X上で最初にこのアクティビティを指摘しました。

取引所が公開しているウォレットからの資金流出は、最初の不審な取引から約6分後に停止し、その後少なくとも20分間は静止状態が続きました。これは、取引所が調査中に資金の引き出しを凍結するパターンと一致します。

Bitgetの担当者は、 Decryptからのコメント要請にすぐには応じませんでした。

Bitgetのような取引所に資金を預けるということは、銀行の窓口に現金を預けるのと大差なく、その会社が管理するウォレットで資金を安全に保管してくれると信頼しているということです。違いは、その保管庫が破られた場合に顧客の損失を補償してくれる政府の預金保険制度がないことです。まさにそれが、「自分の鍵がなければ、自分のコインではない」という仮想通貨の格言が生まれた理由なのです。

信頼が試されるのは今回が初めてではありません。2023年、Bitgetはハッキング、盗難、その他同様の損失を補償するために特別に構築された3億ドルの保護基金を宣伝していました。その後、この保護基金は拡大したようで、同社のCEOは本日、4億6400万ドル以上を保有しており、顧客の損失を補償すると明言しました。

こうした被害を受けた取引所は他にも多数存在します。競合取引所のBybitは、 2025年2月に攻撃者が署名画面を偽装して通常のコールドウォレット送金を乗っ取ったことで14億ドルを失いました。これは過去最大の仮想通貨窃盗事件となりました。昨年、業界全体では、ハッカーが取引所やプロトコルから合計27億2000万ドルを盗み出しました。

編集者注：この記事は掲載後に更新され、BitgetのCEOであるグレイシー・チェン氏がハッキング事件を認めたコメントが追加されました。