対象：Bitgetで暗号資産を保有・取引している人と、ネットワークの境界にセキュリティ機器を置いている組織の担当者。本記事はBitgetの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 最終的な流出額
- 影響を受けた製品と提供元
- 提供元の修正の有無
- 詳しい原因の報告書
- 凍結・回収された資産
- 保護基金の水準
Bitgetは9月25日、追跡が進むと数字が変わる可能性があること、脆弱性は特定して対処済みであることを述べています。10月30日時点で、同社の詳しい事後報告書は確認できませんでした。
Bitgetの利用者が今日やること
Bitgetを開く入口を確認する
公式アプリか、自分で登録したブックマークから開いてください。大きな盗難のあとは、取引所を装った偽のページや連絡が増えます。Bitgetの発表は、更新を同社のお知らせのページと公式チャンネルに載せるとしており、「Is Bitget safe?」のページは、公式の更新は確認済みのチャンネルだけで出すとしているので、送られてきたリンクではなく、そちらから確かめます。
回収・補償を名乗る連絡は偽物として扱う
Bitgetの「Is Bitget safe?」のページは、資産の回収を口実にする場合も含め、利用者に送金やパスワード・秘密鍵・シードフレーズ・認証コードの共有を求めることはないとしています。「コインを取り戻す」「ウォレットを確認する」「補償金を払う」と持ちかける連絡は、よくある詐欺の型です（フィッシングとは）。
同社の回収報奨金プログラムは、凍結や回収に直接つながった資格のある相手に、凍結・回収額の5%を支払う仕組みです。盗まれた資産を追跡する人向けで、利用者が受け取るものではなく、資格の判断は同社が行います。
2段階認証を有効にし、ほかで使っていないパスワードにする
2段階認証は、ログインにパスワードのほかにもう1つのコードを求める仕組みです。SMSより認証アプリのほうが望ましいです（多要素認証ガイド）。使い回さないパスワードはパスワードマネージャーがあると続けられます。
自分の残高と履歴を確認し、どれだけ預けるかを決める
Bitgetは残高に影響はないとしています。アプリで自分の残高を確かめられます。取引所に置く量は、どの取引所でも自分で決めるものです。取引しない分は自分で管理するウォレットに置く選択もあります。これは一般的な考え方で、この件を理由に資産を動かすことを勧めるものではありません。
「出金が止まっているので支払いが必要」という連絡は無視する
出金は事件の間は止まり、段階的に再開されました。いまになって「手数料」「解除料」「本人確認の支払い」を求める連絡は、取引所からのものではありません。
何が起きたのか（Bitgetの発表と、調査結果を伝える報道より）
以下は、Bitgetの9月24日・25日の発表と、同社の公開ページ「Is Bitget safe?」（10月30日に確認）による事実です。調査結果を伝える報道から取った項目はそう示します。
2026年8月31日
この事件に関係する最も早い不審な活動。調査担当者によるログ分析を、BleepingComputerが伝えたもの。9月24日（UTC）
UTCの18時31分、Bitgetの「Is Bitget safe?」のページによれば、攻撃者が一部のホット／ウォームウォレットから最初の不正送金を実行。19時5分、Bitgetの発表によれば、同社の照合システムが不正な送金を検知。セキュリティの確認が終わるまでの予防的な措置として出金を一時停止し、入金と取引は継続。推定の影響額は約3.516億ドル。9月25日
約3.875億ドルが攻撃者の管理するアドレスへ送られたと確認。最初の見積もりにZcashとTRONの資産が加わった。脆弱性は特定して対処済みと述べ、回収報奨金プログラムを開始。9月28日〜30日
ビットコインの出金が再開。Bitgetの予定は、ETHが9月29日、USDTが9月30日、その他のトークン・法定通貨・P2Pが10月2日から（BleepingComputer）。9月30日、保護基金が3億ドルを上回る水準に戻ったとBitgetが述べた（Yellowの報道）。10月2日
Bitgetのページによれば、すべての暗号資産・法定通貨・P2Pの出金が全面再開。
- 盗まれたもの
- ホット／ウォームウォレットの一部から約3.875億ドル相当。Bitgetは、XRP、ETH、USDT、ZEC、USDC、USDT0、XAUt、BNB、AVAX、TRXが、イーサリアムなどのEVMネットワーク、XRP Ledger、Zcash、TRONにわたると挙げている
- 盗まれていないもの
- コールドウォレットには触れられていない。顧客のアカウント残高に影響はないと同社は説明
- 補償
- 損失はユーザー保護基金の対象内。同社は9月24日時点で基金を4.64億ドル超と述べ、現在のページでは3.14億ドル以上としている
- 公表された原因
- ゼロデイ脆弱性を含む、第三者のセキュリティ製品に関わる不正な活動。同社は、脆弱性は特定して対処済みで、これ以上の不正送金はできないとしている
- 調査
- インシデント対応の専門会社とブロックチェーンのセキュリティ会社が協力（Bitgetの説明）。一部の資産は業界の協力先と連携して凍結
- 連絡先
- 同社のお知らせのページと公式チャンネル。公式の更新は確認済みのチャンネルだけで出すとしている
第三者のセキュリティ製品のゼロデイ（Bitget）
↓→
報道：セキュリティ機器への侵入
ウォレット処理を扱う環境
↓→
報道：機器からそこへ移動
出金の承認の手順
↓→
最高経営責任者の発言（報道）：偽のデータで起動
ホット／ウォームウォレット
↓→
約3.875億ドルが送金、コールドウォレットは無事（Bitget）
分かっていること・分かっていないこと
2026年10月30日時点の状況です。Bitgetが続報を出したら、状態の欄を更新します。
| 項目 | Bitgetの説明 | 状態 |
|---|---|---|
| 攻撃者の管理するアドレスへの送金額 | 約3.875億ドル（最初の見積もりは3.516億ドル）。追跡が進むと変わる可能性 | 確定（Bitget）、変わる可能性あり |
| 顧客のアカウント残高 | 影響なし | 影響なし（Bitget） |
| コールドウォレット | 触れられていない | 影響なし（Bitget） |
| 損失の補償 | ユーザー保護基金の対象内 | 同社の説明、第三者の監査はなし |
| 保護基金の規模 | 9月24日時点で4.64億ドル超、現在のページは3.14億ドル以上で、事件前の水準を上回るまで補充したとしている | 同社の説明。2つの数字は合わず、第三者による確認はなし |
| 侵入口 | 第三者のセキュリティ製品のゼロデイ脆弱性 | 確定（Bitget）、製品と提供元は非公表 |
| 提供元の修正 | 記載なし | 公表なし |
| 出金 | 9月24日に停止、段階的に再開、10月2日に全面再開 | 確定（Bitgetのページ） |
| 顧客の個人情報 | 発表では影響項目に挙がっていない | 記載なし |
| 詳しい原因の報告書 | 10月30日時点で未公表 | 調査中 |
| 凍結・回収された資産 | 一部は協力先と連携して凍結、合計は未公表 | 調査中 |
読み方：「補償される」は同社の説明で、基金の数字は合っていない
補償についての説明と保護基金の数字は、Bitget自身のもので、第三者による確認はありません。同社は基金を事件前の水準を上回るまで補充したとしていますが、現在は3.14億ドル以上、9月24日時点は4.64億ドル超と、数字が合いません。当サイトは両方を同社の言い方のまま示し、補正していません。年表の2つの時刻は別の出来事で、最初の不正送金（UTC18時31分）とその検知（19時5分）です。数字が重要な場合は、Bitgetの最新のページで確かめてください。
取引所自身のウォレットからの窃取は、利用者に何を意味するか
一般に、取引所のウォレットからの窃取は、顧客データの流出とは別のものです。利用者の残高は取引所の中の記録なので、利用者が損をするかどうかは、取引所が損失を補うかどうかで決まります。Bitgetは補うと説明しています。顧客の個人情報は影響項目に挙がっていないため、よくある二次被害は、パスワードの悪用ではなく、このニュースを使った詐欺の連絡です。
大きな窃取の後は、偽の「補償」サイト、サポートを装う連絡、「資金が凍結された」という主張が出回りがちです。今回それが起きたとは言っていません。上の手順は、そうした詐欺への備えです。
セキュリティ担当者向け：公表された事実から言えること
Bitgetは、侵入口は第三者のセキュリティ製品のゼロデイだったと述べています。調査結果を伝える報道は、セキュリティ機器への侵入のあと、ウォレット処理を扱う環境へ移動したと伝えています。製品名と提供元は公表されておらず、詳しい原因も出ていないため、公表された事実で言える範囲にとどめます。
ネットワークを守る製品そのものが入口になりえます。セキュリティ機器は、インターネットに面したサーバーと同じに扱います。機器の一覧を持ち、管理画面がインターネットから届く機器がないか確かめ、提供元の修正が出たらすぐ当て、機器上の不審なファイルや外向きの通信を見張ります。関連記事はVPN・境界機器の守り方と2026年10月に悪用された境界機器の脆弱性です。
お金の動きを承認する仕組みには、それ自身の確認が必要です。報道によれば、Bitgetの最高経営責任者は、承認の手順を起動するためにデータが偽装されたと述べています。隣のシステムから偽のデータを入れられない確認、たとえば高額の出金に独立した承認を挟む、といった仕組みは、1つのシステムが侵害されたときの被害を限ります。Bitget自身の管理体制の評価は、当サイトでは行いません。
出典（公開情報）
本記事の事実は、以下の公開情報にもとづきます。公表されていない手口や、誰の仕業かについての推測はしません。
- Bitget「9月24日のホットウォレットの件についてのセキュリティのお知らせ」（2026年9月24日、英語）— bitget.com
- Bitget「Security Latest Incident Update: Fund Tracing and Recovery Bounty Program」（2026年9月25日、英語）— bitget.com
- Bitget「Is Bitget safe?」事件のまとめページ（2026年10月30日に確認、英語）— bitget.com
- BleepingComputer「Bitget hacked via zero-day in third-party security products」（2026年9月30日、英語）— bleepingcomputer.com
- BleepingComputer「Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist」（2026年9月28日、英語）— bleepingcomputer.com
- Yellow「Bitget Restores Protection Fund Above $300M As Withdrawals Resume」（2026年10月1日、英語）— yellow.com
更新履歴
2026-10-30：初版。Bitgetの9月24日・25日の発表、10月30日に確認した事件のまとめページ、調査結果を伝える報道にもとづく。詳しい原因の報告書、最終的な金額、提供元の修正が出たら更新します。
次に読む
- 境界機器が入口になる例：2026年10月に悪用された境界機器の脆弱性 / VPN・境界機器の守り方
- アカウントの守り：多要素認証ガイド / パスワードマネージャーガイド
- 詐欺：フィッシングとは
- 2026年のほかの事件：2026年の情報漏えい・サイバー攻撃