著者：Biteye

「2014年から2026年まで：世界のCEX盗難事件を全総括」

2011年にMt.Goxが初めて深刻な攻撃を受けてから、その後BinanceやBybitなど大手取引所が相次いで盗難に遭うまで、取引所のセキュリティ問題が本当に消えたことはない。

ホットウォレット、秘密鍵、マルチシグシステム、従業員のパソコン、さらにはウォレットサービス事業者やサードパーティのセキュリティ機器までもが、攻撃者の突破口となってきた。

被害額は上がり続け、攻撃手法もますます複雑になっている。初期の攻撃者は主に取引所自身の技術的な脆弱性を探していたが、その後はフィッシング、マルウェア、秘密鍵の窃取が一般的な手段となり、近年では攻撃がマルチシグのフロントエンド、内部の従業員、ソフトウェアサプライチェーンにまで及んでいる。

本記事は、これまでに公開されたCEXの盗難事件を発生時期の順に整理し、各事件の被害額と具体的な原因を重点的に紹介する。

TL;DR：

• 2014～2026年に30件超の中央集権型取引所の重大盗難事件が発生し、事件当時のコイン価格で計算した累計損失は約113億～114億ドルに上る。

• 攻撃手法は高度化を続けている。初期のホットウォレット秘密鍵の窃取から、従業員へのフィッシング、マルチシグ画面の改ざん、サプライチェーン攻撃へと発展した。

• 被害額はますます大きくなり、攻撃経路はより隠蔽されている。取引所が守るべき対象はもはやウォレットだけではなく、従業員、権限システム、サードパーティサービスも含まれる。

• うち15件は当局またはセキュリティ機関により北朝鮮ハッカーとの関連が認定または疑われ、金額は約101億ドルで、全体金額のほぼ9割を占める。

2014年

Mt.Gox｜4.5億～4.8億ドル

2014年2月、Mt.Goxは約85万BTCの失踪を発表した。当時の価格で約4.5億～4.8億ドルに相当し、後にプラットフォームは約20万BTCを回収した。

調査によると、攻撃者は2011年からすでにサーバーとウォレットの秘密鍵の権限を取得していた可能性があり、継続的にプラットフォームの資産を送金していた。長期間にわたる窃取に内部管理の混乱が重なり、最終的にMt.Goxは破綻した。

2015年

Bitstamp｜約500万ドル

2015年1月、攻撃者はソーシャルエンジニアリングでBitstampの従業員に接近し、システム管理者にマルウェアを含むファイルを送りつけた。管理者がファイルを実行するとパソコンが制御下に置かれ、ホットウォレットの情報を保存したファイルも窃取された。

2016年

Bitfinex｜約7,100万ドル

Bitfinexは当時、BitGoと提携してマルチシグウォレットを管理していた。攻撃者は関連の認証情報とAPI権限を取得した後、出金上限を引き上げ、既存のマルチシグのセキュリティ機構を迂回して送金を完了した。

2018年

Coincheck｜約5.3億ドル

Coincheckは5.23億枚のXEMを、マルチシグによる保護のないホットウォレットに集中保管していた。従業員のパソコンがマルウェアに感染した後、攻撃者がウォレットの制御権を取得し、資産を送金した。

Bithumb｜約3,150万ドル

Bithumbのホットウォレットが侵害され、約350億ウォン相当の資産が送金された。具体的な攻撃経路は公開されていない。

Zaif｜約6,000万ドル

Zaifのホットウォレットが侵害され、ビットコイン、ビットコインキャッシュ、MonaCoinなどの資産が送金された。

2019年

Cryptopia｜約1,600万ドル

Cryptopiaの複数のホットウォレットが攻撃を受けた。事件発生後も資金の流出が続いたことは、攻撃者が関連する秘密鍵をすでに掌握しており、取引所がその制御を適時に遮断できなかったことを示している。

Binance｜約4,070万ドル

攻撃者は長期間のフィッシングとマルウェアによってユーザーのAPIキーおよび二段階認証の情報を収集し、その後集中的に出金を実行して、Binanceのホットウォレットから7,000BTCを送金した。

Upbit｜約4,900万ドル

Upbitのイーサリアムのホットウォレットから342,000ETHが送金された。公開資料では、攻撃者がウォレット権限を取得した具体的な過程は明らかにされていない。

2020年

KuCoin｜約2.8億ドル

KuCoinの複数のホットウォレットの秘密鍵が漏洩し、攻撃者はこれによってウォレットを制御し、ビットコイン、イーサリアムおよび大量のERC-20トークンを送金した。

2021年

Liquid｜約9,700万ドル

Liquidのウォームウォレットが侵害され、ビットコイン、イーサリアムその他のトークンが送金された。ウォームウォレットは常時オンラインではないものの、ネットワークシステムとの接続を保っているため、依然として権限が奪われるリスクが存在する。

BitMart｜約1.96億ドル

BitMartのイーサリアムおよびバイナンススマートチェーン上のホットウォレットの秘密鍵が盗まれた。攻撃者はトークンを一括で送金し、分散型取引プラットフォームを通じて資産を交換した。

2022年

Crypto.com｜約3,380万ドル

攻撃者はCrypto.comの二段階認証プロセスを迂回し、483のユーザーアカウントからビットコイン、イーサリアムその他の資産を送金した。

2023年

CoinEx｜約5,400万～7,000万ドル

CoinExのホットウォレットの秘密鍵が漏洩し、攻撃者は制御権を取得した後、複数チェーン上のウォレットから資産を集中的に送金した。

Poloniex｜約1.14億～1.3億ドル

Poloniexのホットウォレットが攻撃を受け、大量のトークンが迅速に送金・交換された。攻撃者は秘密鍵またはそれに相当する権限をすでに取得していた可能性が高い。

HTXとHecoクロスチェーンブリッジ｜合計約1.13億ドル

HTXのホットウォレットとHecoクロスチェーンブリッジで相次いで不正な送金が発生し、両事件はいずれも秘密鍵または高権限アカウントの失陥を指し示している。Hecoは中央集権型取引所ではないが、HTXと密接な関係にあるため合算して集計した。

2024年

DMM Bitcoin｜約3.08億ドル

攻撃者は採用面接を名目にウォレットサービス事業者の従業員に接触し、悪意のあるスクリプトを実行するよう誘導、その後送金リクエストを改ざんして4,502.9BTCを攻撃者のアドレスに送金した。

BtcTurk｜約5,500万ドル

BtcTurkの複数のホットウォレットが盗難に遭った。具体的な侵入方法は公開されていないが、攻撃者がホットウォレットの制御権を取得していたことは明らかだ。

WazirX｜約2.3億ドル

WazirXのマルチシグ担当者が画面で見た取引内容と、オンチェーンで実際に実行された内容は一致していなかった。攻撃者はこの「見たものと署名したものが異なる」差異を利用し、署名者に悪意のある取引の承認を誘導、その後ウォレットコントラクトをアップグレードして資産を送金した。

Indodax｜約2,200万ドル

Indodaxの複数のホットウォレットが攻撃を受け、具体的な侵入方法は公開されていない。攻撃者がウォレットの送金権限を取得したことだけが確認できる。

BingX｜約4,300万～5,200万ドル

BingXの複数チェーン上のホットウォレットで異常な資金流出が発生した。公開資料では攻撃の入口は明らかにされておらず、攻撃者が秘密鍵またはウォレットシステムを制御した可能性がある。

2025年

Phemex｜約7,000万～8,500万ドル

Phemexの複数チェーン上のホットウォレットから集中的に資産が送金された。プラットフォームは最初の侵入経路を公開していないが、攻撃者が複数のウォレットの制御権を取得していたことは明らかだ。

Bybit｜約15億ドル

攻撃者はSafeウォレットのフロントエンドに侵入し、マルチシグ担当者が目にする取引内容を改ざんした。署名者は正常な送金を承認したつもりが、実際に署名したのはウォレットの制御権を変更する悪意のある取引であり、約40万ETHがその後送金された。

Nobitex｜約9,000万ドル

攻撃者はNobitexの資産を誰も制御できない特殊なアドレスに送金し、事実上資金を焼却した。今回の攻撃の主な目的は利益ではなく、政治的な破壊だった。

BigONE｜約2,700万ドル

BigONEはサプライチェーン攻撃を受けた。攻撃者は取引所のサーバー環境に侵入して実行ロジックを改ざんし、システムがその指示に従って資産を移すようにした。

CoinDCX｜約4,420万ドル

CoinDCXのエンジニア1名が偽のアルバイトに誘い込まれ、業務用のパソコンにマルウェアをインストールしてしまった。攻撃者は制御下に置いた端末から取引所のシステムに侵入し、内部の運用アカウントから資産を送金した。

BtcTurk｜約4,800万～5,400万ドル

BtcTurkで再びホットウォレットの不正送金が発生した。具体的な侵入方法は公開されていないが、たとえ大部分の資産をコールドウォレットに保管していても、オンラインウォレットと権限システムが依然として突破口になり得ることをこの事件は示している。

Upbit｜約3,040万ドル

Upbitの管理者アカウントが盗用され、攻撃者は高権限アカウントを利用して、Solanaのホットウォレットから不正な出金を実行した。

2026年：セキュリティ機器と署名権限の失陥が続く

Bitget｜約3.875億ドル

攻撃者はサードパーティ製セキュリティ機器のゼロデイ脆弱性を利用してウォレットサーバーに侵入し、その後取引を偽造して資産を送金した。今回の攻撃の突破口はBitget自身のシステムではなく、外部のセキュリティ製品だった。

Binance｜約63億ドル相当の資産が影響

BinanceのDevOpsエンジニア1名のパソコンが侵害され、攻撃者は内部サービスコンテナに侵入して、不正な出金取引を送信した。事件は約63億ドル相当の資産に関わり、現時点でそのうち約30億ドルが凍結されており、最終的な損失はまだ集計中である。

最後に：AI時代こそ、資産の安全に注意を

CEXの盗難はより頻繁になり、金額もますます大きくなっている。

2024年から2025年にかけて計12件の重大事件が発生し、2014年から2022年までの9年間の合計に近い。2025年から2026年の盗難および影響金額は、全体統計の7割以上を占めている。

取引所がカストディする資産が増えていることに加え、AIもハッカーの攻撃効率を高めている。AIは攻撃者が従業員情報を迅速に収集し、フィッシングメール、偽の求人資料、マルウェアを大量に生成するのを助けることができる。

したがって、どの取引所を利用するにせよ、メールやダイレクトメッセージ内のリンクを安易にクリックせず、可能な限りPasskey、ハードウェアキー、出金先アドレスのホワイトリストを有効にし、使わなくなったAPI権限を定期的に削除してほしい。安全に小事はない。