Bitgetは、3億8,750万ドル相当の暗号資産の窃取が、ゼロデイ脆弱性を利用した第三者のセキュリティ機器2台への侵入に起因すると明らかにした。攻撃者はウォレット環境へのアクセスを得て、承認されていない送金の実行に使われた悪意あるツールを展開した。
暗号資産取引プラットフォームのBitgetは、2026年9月25日に3億8,750万ドルを盗んだ攻撃者が、第三者に属する2台のセキュリティ機器のゼロデイ脆弱性を悪用し、同社のウォレット環境に侵入していたと発表した。これは、ブロックチェーンセキュリティ企業SlowMistと、Google Cloud傘下のサイバー防衛部門Mandiantが実施した、別々の2件の調査によるものだ。
調査結果によると、侵入はBitgetのウォレットから直接始まったのではなく、両調査でそれぞれProduct AおよびProduct Bと呼ばれた外部セキュリティ機器から始まった。最も古い悪意ある活動は8月31日に記録された。このとき攻撃者はProduct Aのノードの1つで稼働するサービスを悪用し、サービスアカウントの下で隠されたスクリプトを実行して、データベースのパスワードを含む環境変数を読み取り、データベースに接続した。
脆弱性からウォレット環境へ
Mandiantによると、攻撃者は9月24日に2台のセキュリティ機器上で、権限を昇格させた不正なアクセス権を取得した。その後、機器Bにウェブシェルを埋め込み、コマンド・アンド・コントロールサーバーとの接続を確立した。このアクセスを通じて、Bitgetの本番ウォレット・タスクサーバーへ横展開し、悪意あるパッケージを展開した。
調査では、ウォレット・タスクサーバー上のマルウェアと、資産窃取プロセスの開始に使われた専用のドレイナーも発見された。SlowMistによると、最初の不審な送金はUTC+8の02:31に発生し、最後の送金は05:23に終了した。この処理は約3時間にわたり、複数のブロックチェーンネットワークをまたいで実行された。
影響を受けた資産とネットワーク
Bitgetは、ホットウォレットおよびウォームウォレットから承認されていない送金が行われたことを検知した後、出金を停止した。影響を受けた資産にはETH、XRP、BNB、AVAX、USDT、USDC、その他のトークンが含まれ、送金先はEthereum、XRP Ledger、Arbitrum、Avalanche、Optimism、BSC、Baseの各ネットワークに及んだ。
最高経営責任者のGracy Chenは、攻撃者がウォレット基盤内の重要なバックエンドシステムに侵入し、それを利用して取引データを偽造した結果、承認メカニズムが作動し、侵害されたホットウォレットおよびウォームウォレットから資金が移動されたと述べた。
なぜこの侵入が重要なのか
この事件は、第三者のセキュリティ機器に依存していても、連鎖的な侵害のリスクがなくなるわけではないことを示している。機密システムを取り巻くセキュリティ層へのアクセスが、攻撃者にウォレットサーバー、さらに金融承認経路へと進む足掛かりを与えた。また、監視を資産ウォレット自体に限定するのではなく、信頼されたサービス、環境変数、横展開を監視する重要性も浮き彫りにしている。
Chenは、IPアドレスのパターンとオンチェーン取引の分析に基づき、攻撃を北朝鮮系の主体によるものとしたが、情報源は特定のグループ名を挙げていない。また、Bitgetも掲載企業も、脆弱性の詳細や影響を受けたセキュリティ製品の名称を明らかにしていない。Bitgetは、盗まれた資金の回収または凍結に協力した者に5%を提供する回収報奨金プログラムを発表した。