暗号資産取引所Bitgetは、9月24日のセキュリティ侵害で約3億8,750万ドルの被害を説明し、9月28日にBTC出金を再開しました。利用者には資産別の再開日程、保護基金による補填方針、被害資金の移動状況が判断材料になります。
- Bitgetは9月28日8:00 UTCにBTC出金を再開
- ETHは9月29日、USDTは9月30日に出金再開予定
- 約4億6,400万ドル基金で損失補填の方針
- THORChainで75.2 BTC交換、遮断要請に対立
BitgetのBTC出金再開と資産別スケジュール
暗号資産取引所Bitgetは、2026年9月24日に発生したセキュリティ侵害を受けて停止していた出金について、BTCの出金を9月28日8:00 UTCに再開しました。今回の侵害では、ホットウォレットとウォームウォレット（オンラインに近い状態で出金処理に使われる保管領域）の一部が影響を受け、同社は被害額を約3億8,750万ドルと説明しています。
再開は資産ごとに段階的に進める予定です。ETHの出金は9月29日にEthereum、BNB Smart Chain、Arbitrum、Base、Optimismで再開され、USDTの出金は9月30日にEthereum、BNB Smart Chain、Solana、Tronで再開される予定です。その他の資産、法定通貨、P2P取引（利用者同士で売買する取引）の出金は10月2日に再開予定とされています。
Gracy Chen CEOは、機関投資家、VIP顧客、従業員を優先する扱いはないと説明しています。Bitgetは、取引と入金は継続しており、対象資産の出金が解除されるまで利用者側の追加操作は不要だと案内しています。
第三者製品の脆弱性と秘密鍵非侵害の説明
Chen CEOは、今回の攻撃がサードパーティ製セキュリティ製品の脆弱性を悪用したものだと説明しています。同氏によると、攻撃者は高権限の内部認証情報を取得し、不正な出金命令を発行しました。一方で、Bitgetの秘密鍵は侵害されておらず、コールドウォレット（ネットワークから切り離して保管する資産管理領域）も影響を受けていないとしています。
同CEOは9月25日のX投稿で、攻撃者がウォレット基盤内の重要なバックエンドシステムを侵害し、取引データを偽装して承認プロセスを通過させたとも説明しています。Bitgetは、該当する欠陥を修正し、内部アクセスの制限、出金時の独立確認、異常な動きの監視強化などを進めたとしています。
攻撃後の見積もりは、当初の約3億5,160万ドルから約3億8,750万ドルへ修正されました。修正は、ZcashとTron上の追加送金を反映したものです。北朝鮮系ハッカー集団との関連については、Chen CEOが初期調査の指標に基づく可能性として言及しましたが、MandiantとSlowMistによる調査は継続中で、確定情報としては示されていません。
保護基金による補填方針と回収額の未公表
Bitgetは、約4億6,400万ドル規模のUser Protection Fund（利用者保護のための基金）で今回の損失を全額補填する方針を示しています。また、盗まれた資金の凍結や回収に任意で協力した場合、対象額の5%を報奨金として支払うとしています。
回収状況については、Chen CEOが一部資産の凍結に業界関係者の協力があったと説明しています。ただし、凍結または回収された総額はまだ公表されていません。同氏は、金額を検証した後に公表するとしています。
THORChain経由の資金移動と遮断要請の対立
被害資金の一部は、THORChain（異なるブロックチェーン間で資産を交換できる仕組み）を通じてETHからBTCへ交換されています。9月28日には、攻撃者に関連するとされるウォレットから約2,390 ETH、金額にして約630万ドル相当が75.2 BTCへ交換され、成功したスワップは27件確認されています。
Bitgetは、公開済みの攻撃者アドレスに対してサービスを提供しないようTHORChainに求めました。これに対しTHORChainは、緊急停止はプロトコル全体を守るための仕組みであり、特定の資金や個別スワップを選んで凍結するものではないと説明しています。THORChainは、誰でも利用できる設計であり、設計上検閲しないとも表明しています。
この対応には反論も出ています。OKXのStar Xu CEOは、THORChainのバリデータ（ブロックチェーンの取引を承認する参加者）が金庫内の資産を共同管理していると指摘しました。GoPlus Securityは、THORChain経由で約101.5 BTC、約850万ドル相当がすでに流出し、さらに2,763万XRP、約4,300万ドル相当がBTCへ交換されつつあると推計しています。これらの数値は推計であり、確定した回収不能額としては扱えません。
Bitget側では出金再開と補填方針が示された一方、被害資金の移動は続いています。現時点で確認できる焦点は、Bitgetが凍結・回収額を検証後にどこまで公表できるか、またTHORChain側が個別アドレス遮断に応じない設計上の立場を維持するかです。
