本記事にはアフィリエイト広告（PR）を含む場合があります。
Amazonのアソシエイトとして、btc-analyze.comは適格販売により収入を得ています。本ページにはアフィリエイト広告を含みます。事件経緯、制度、各社の対応状況は変わり得るため、記載内容は2026年8月17日に金融庁、警察庁、FBI、各社公式資料で確認したものです。
暗号資産取引所の「ハッキング」は、すべて同じ原因ではありません。社員端末から秘密鍵を盗まれたCoincheck、委託先へのソーシャルエンジニアリングから正規取引を改変されたDMM Bitcoin、コールドウォレットの署名画面が欺かれたと説明するBybitでは、破られた箇所が異なります。
先に結論
- 金融庁の登録業者であることは最低限の確認項目だが、損失が起きない保証ではない
- 「コールドウォレット」でも、署名端末・表示・委託先・運用手順が破られれば流出し得る
- 利用者は、公式URL、使い回さないパスワード、取引所が提供する最も強い多要素認証、出庫制限を組み合わせる
- 長期保有分の自己管理は取引所リスクを減らす一方、シード紛失・誤送付・相続不能の責任を自分で負う
3件の流出事件を同じ項目で比較
金額は各事件発生時の公表値であり、暗号資産の種類、換算時点、回収・補償状況が違うため、単純な大小比較には使えません。「侵入口」と「送付が成立した経路」を見るための表です。
| 事件 | 公表された流出 | 主な攻撃経路 | 持ち帰る教訓 |
|---|---|---|---|
| Coincheck 2018年1月 |
5億2,300万XEM、約580億円相当 | 社員端末へのマルウェア感染、遠隔操作、通信の盗聴等により秘密鍵を窃取。NEMをホットウォレットで管理 | オンライン端末と鍵の分離、端末防御、保管残高の制限が必要 |
| DMM Bitcoin 2024年5月 |
4,502.9 BTC。FBIは事件時約3億800万ドルと評価 | 委託先Ginco社員を標的にしたソーシャルエンジニアリング。悪意あるコードと盗んだセッション情報を使い、正規の取引要求を改変 | 委託先、開発端末、セッション、取引内容の再照合まで管理範囲に含める |
| Bybit 2025年2月 |
FBI発表で約15億ドル | 同社説明ではEthereumコールドウォレットの署名処理で表示と実際の取引内容が食い違い、不正なスマートコントラクト処理を承認 | コールド保管だけでなく、署名画面・送信内容・依存サービスの独立検証が必要 |
CoincheckとDMM Bitcoinは日本当局の資料、DMM BitcoinとBybitの攻撃主体・手口は日米捜査当局の発表を軸にしています。Bybitの詳しい署名経緯は同社公表に基づくため、捜査当局が確認した攻撃主体・金額と区別して読みます。
必要書類がそろっているかは 口座開設の準備チェック で確認できます。
送金手数料の年間コストは 送金手数料の年間コスト計算 で確認できます（1回の手数料と回数から3年分まで表示）。
購入までの流れは ビットコインの買い方4手順 にまとめています（必要書類の判定ツール付き）。
VPNは秘密鍵やシードフレーズを守るものではありません。守れるのは通信経路のほうで、カフェや空港の公衆Wi-Fiで取引所にログインするとき、同じ回線にいる第三者や接続元のネットワーク管理者に通信内容を見られるのを防ぐ用途です。ハードウェアウォレットとは守る対象が違うので、どちらかで代替はできません。30日間の返金保証があるため、実際の速度を試してから判断できます。
通信経路を保護する方法を見る →PR・NordVPN（Nord Security）。料金・返金条件・対応機能は変更されることがあるため、最新の内容は公式サイトでご確認ください。
日本円の入出金に対応した国内の登録業者なら、購入から送金まで一つの口座で完結します。口座開設と維持の費用はかからず、取扱銘柄や手数料体系は公式サイトで確認できます。
口座開設の手順を見る（無料） →PR・GMOコイン（GMOコイン株式会社）。手数料や取扱銘柄は変更されることがあるため、最新の内容は公式サイトでご確認ください。暗号資産は価格変動が大きく、投資判断はご自身の責任でお願いします。
Coincheck事件：社員端末とホットウォレット
金融庁によると、Coincheckは2018年1月26日、顧客から預かった5億2,300万XEM、約580億円相当を流出させました。金融庁の検討会資料は、外部から送られたマルウェアに社員端末が感染し、遠隔操作や通信の盗聴等を通じてNEMの秘密鍵を窃取されたと整理しています。
当時、流出したNEMはインターネットへ接続されたホットウォレットに保管されていました。被害者は約26万人とされ、金融庁は報告徴求、立入検査、業務改善命令を実施しました。この事件から読み取れるのは、「秘密鍵を暗号化したか」だけでは足りず、鍵を扱う端末、オンライン保管する残高、送付権限、異常検知を一体で管理する必要があることです。
DMM Bitcoin事件：委託先を経由した取引改変
関東財務局は、DMM Bitcoinから2024年5月31日に4,502.9 BTCの顧客預かり資産が不正流出したと公表しました。立入検査では、流出リスクへの対応、システムリスク管理、暗号資産管理、経営管理に重大な問題が認められ、同年9月に業務改善命令が出ています。
警察庁とFBIの共同発表によると、北朝鮮のサイバー攻撃グループTraderTraitorは、2024年3月、暗号資産ウォレット会社Gincoの社員へLinkedInを通じて接触しました。採用前テストを装った悪意あるPythonスクリプトを実行させ、セッション情報を悪用します。5月にはGincoの正規取引要求を改変し、4,502.9 BTCを攻撃側ウォレットへ送ったとされています。
これは、利用者がフィッシングURLを踏んだ事件ではありません。取引所だけを強固にしても、委託先の開発端末、認証セッション、取引生成、送付前の照合に弱点があれば被害につながる例です。DMM Bitcoinの口座・預かり資産は2025年3月8日にSBI VCトレードへ移管されており、DMM Bitcoinを現在申し込める取引所として扱うこともできません。
Bybit事件：コールドウォレットの署名工程
FBIは、北朝鮮が2025年2月21日にBybitから約15億ドル相当の暗号資産を盗んだと発表しました。Bybitの公表では、対象は1つのEthereumコールドウォレットで、401,347 ETHに加えて複数のステーキング関連トークンが流出し、事件時の合計評価額は約14.6億ドルでした。
同社の説明では、署名者が見た画面は意図したウォレット移動を示していましたが、実際にはウォレットのスマートコントラクトロジックを変更する処理が署名されました。つまり、オフラインに近い保管であっても、署名に使う表示、取引データ、外部の署名基盤、送信前後の検証が同じ信頼経路に依存すると破られ得ます。
ここから「コールドウォレットは無意味」と結論づけるのも不正確です。オンラインに置く鍵と残高を減らす効果はあります。ただし、保管方式は防御の一層であり、複数人承認、別経路での取引内容確認、許可先制限、異常時停止を代替しません。
FTX破綻や利用者フィッシングとは分けて考える
FTXの破綻は、外部攻撃者が秘密鍵を盗んだ事件と同じ分類ではありません。米司法省が立証した中心は、顧客資金の不正流用と投資家・貸し手への詐欺です。経営、資産分別、ガバナンス、財務の問題は、サイバー侵入対策だけでは防げません。
また、偽サイトで利用者自身のID・パスワード・認証コードを奪い、その人の口座から出庫する「アカウント乗っ取り」も、取引所の保管ウォレット全体が侵害された事件とは別です。原因を分けると、必要な対策も見えます。
| リスク | 主な管理者 | 利用者が確認できること |
|---|---|---|
| 取引所の鍵・署名基盤の侵害 | 取引所と委託先 | 登録・行政処分、保管方針、補償方針、預ける残高 |
| 経営・資産分別・財務の問題 | 取引所の経営陣と監督機関 | 登録・開示・行政処分、資産を一社へ集中させない |
| 利用者アカウントの乗っ取り | 取引所と利用者 | 公式URL、固有パスワード、多要素認証、出庫制限、通知 |
| 自己管理ウォレットの紛失・漏えい | 利用者 | 復元テスト、シード保管、送付テスト、相続手順 |
登録・コールド保管・残高証明の読み方
金融庁の登録を最初に確認する
日本居住者向けに暗号資産交換業を行う事業者は、原則として金融庁・財務局の登録が必要です。名称が似た無登録業者もあるため、広告やアプリ名ではなく、金融庁の暗号資産交換業者登録一覧で法人名とURLを照合します。過去の行政処分も確認対象です。
ただし金融庁自身が、登録は事業者の信用性を保証するものではなく、暗号資産取引にリスクがないことを示すものでもないと明記しています。登録は入口であり、利益や資産保全の保証ではありません。
コールド保管は必要だが十分ではない
金融庁は2019年の制度整備で、顧客の暗号資産は原則としてコールドウォレット等で管理し、ホットウォレットで管理する場合は必要最小限としたうえで、同種・同量の暗号資産を弁済原資として保持する枠組みを説明しています。
この制度はオンライン流出時の影響を抑えるための重要な仕組みです。一方、DMM BitcoinとBybitの事例は、委託先や署名工程を含む運用全体を確認しなければ、保管ラベルだけでは安全性を判断できないことを示します。
Proof of Reservesだけで健全性は証明できない
残高証明（Proof of Reserves）は、対象時点・対象アドレスの資産や、一定範囲の顧客残高との対応を検証する材料になります。しかし、簿外債務、借入、担保設定、関連会社取引、秘密鍵管理、将来の支払能力、利用者の法的請求権をすべて示すものではありません。監査対象、負債の扱い、検証時点、第三者の独立性を読まずに「100%安全」と解釈しないでください。
国内サービスを同じ条件で確認する： 登録番号、取引方法、BTC送付、日本円出金の公式条件は国内暗号資産取引所5社の比較にまとめています。安全性の順位付けではなく、申込前に確認できる事実を並べたページです。
利用者が設定する防御チェックリスト
取引所側の侵害を利用者だけで防ぐことはできません。それでも、アカウント乗っ取りの確率と、侵害時の損失範囲は小さくできます。
- 公式URLをブックマークする：検索広告、DM、メール内リンクからログインせず、金融庁一覧と照合したドメインを保存する
- メールを分ける：取引所専用のメールアドレスを使い、メール側にも固有パスワードと多要素認証を設定する
- パスワードを使い回さない：パスワードマネージャーで長いランダム値を生成し、サイトごとに分ける
- 最も強い認証方式を選ぶ：取引所がFIDO/WebAuthn、パスキー、セキュリティキーを提供するなら優先する。未対応なら認証アプリを使い、SMSだけに依存しない
- 復旧コードをオフライン保管する：ログイン端末と同じクラウドメモだけに置かず、紛失時の本人確認手順も公式ページで確認する
- 出庫先を制限する：提供されている場合はアドレス帳・出庫先ホワイトリスト・新規アドレスの待機時間を有効にする
- API権限を絞る：使わないAPIキーは削除する。必要なキーも出庫権限を外し、対応サービスではIP制限を設定する
- 通知と履歴を確認する：ログイン、認証変更、API作成、出庫の通知を有効にし、定期的にセッションと履歴を点検する
- 資産を一か所へ集中させない：取引に必要な残高と長期保有分を分ける。ただし自己管理は復元できることを少額で確認してから行う
NISTは、WebAuthn/FIDO2をフィッシング耐性のある認証方式として扱い、手入力するワンタイムパスワードはフィッシング耐性がないと説明しています。CISAも、利用できるならFIDO方式を優先し、未対応でも何らかの多要素認証を使うよう案内しています。実際には取引所ごとに対応方式が違うため、提供される中で最も強い方式を選びます。
不正ログインや出庫に気づいた直後の手順
- 証拠を残す：通知メールのヘッダー、画面、URL、日時、金額、通貨、宛先、txid、ログイン履歴、サポート番号を保存する
- 公式窓口へ停止を依頼する：ブックマークまたは金融庁一覧から公式サイトを開き、口座凍結、出庫停止、API無効化を依頼する
- 汚染していない端末から認証を変える：先にメール、その後に取引所のパスワードを変更し、全セッションとAPIキーを失効させる
- 残存資産を勝手に動かさない：公式サポートの指示、出庫先の安全性、端末状態を確認してから判断する
- 公的窓口へ相談する：警察のサイバー事案相談、金融庁の相談窓口、日本暗号資産等取引業協会、消費者ホットラインなどへ記録を添えて相談する
「資金を取り戻す」「追跡費用を先に払えば返還する」というDMや検索広告は二次被害につながります。秘密鍵、シードフレーズ、認証コードを渡さず、遠隔操作アプリを入れないでください。取引所や警察を名乗る相手でも、連絡先を公式サイトから取り直して確認します。
自己管理ウォレットへ移せば安全か
自己管理ウォレットへ移すと、取引所の保管ウォレットや出庫停止への依存は減ります。一方で、シードフレーズの漏えい、バックアップ紛失、誤ったネットワークへの送付、偽ウォレット、相続不能を取引所が救済してくれるとは限りません。
長期保有分を移すなら、正規の入手経路、初期化、受取アドレス、対応ネットワークを確認し、最初は少額を送ります。その後、別の安全な手順で復元できることを確かめ、残高を増やします。ハードウェアウォレットも、画面に表示された宛先・金額・処理内容を自分で照合しなければ、Bybit事件から読み取れる署名時のリスクを解消できません。
自己管理を始める前に： 管理主体、シードの扱い、復元確認、少額送付の手順はビットコインウォレットの比較・安全手順で確認できます。シードフレーズをWebフォームやサポートへ入力しないでください。
秘密鍵と署名の仕組みを技術から確認する本
ウォレット、秘密鍵、トランザクション、スクリプト、ハードウェア署名、マルチシグまで技術的に確認したい人には、Andreas M. Antonopoulos、David A. Harding著『マスタリング・ビットコイン 第3版』があります。オライリー・ジャパンの書誌では2025年12月26日発売、416ページ、ISBN 978-4-8144-0144-4です。
第13章では、物理的なビットコインの保存、ハードウェア署名デバイス、リスク分散、マルチシグ、アクセス復旧などを扱います。本書は技術書であり、特定取引所の安全性を保証するものでも、事件後の資金回収マニュアルでもありません。
書名・ISBNを確認して探す
『マスタリング・ビットコイン 第3版』／ISBN 9784814401444。版、販売元、価格、在庫、配送条件はAmazonの商品ページで確認してください。
PR・Amazonアソシエイト。リンク先は検索結果です。購入前に書名、著者、ISBNが一致するかをご確認ください。
まとめ
Coincheckは社員端末とホットウォレット、DMM Bitcoinは委託先を起点とする正規取引の改変、Bybitはコールドウォレットの署名工程が問題になりました。「登録済み」「コールド保管」「残高証明」という一語だけでは、これらの経路をすべて評価できません。
利用者は、金融庁の登録一覧と行政処分を確認し、取引所が提供する最も強い多要素認証、固有パスワード、出庫先制限、通知を設定します。預ける残高を必要範囲に抑え、自己管理を選ぶ場合も、復元と少額送付を実際に確認してから移してください。
- 金融庁「コインチェック株式会社に対する行政処分について」（流出数量、発生日）
- 金融庁「仮想通貨交換業等に関する研究会」資料（Coincheckの攻撃経路、ホットウォレット、被害者数）
- 関東財務局「株式会社DMM Bitcoinに対する行政処分について」（4,502.9 BTC、管理上の問題）
- 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（Ginco社員への攻撃、取引改変）
- FBI・警察庁共同発表（DMM Bitcoin事件の攻撃主体、事件時評価額、手口）
- SBI VCトレード「DMM Bitcoinのお客様口座・預かり資産の移管」（2025年3月8日の移管）
- FBI「North Korea Responsible for $1.5 Billion Bybit Hack」（事件日、攻撃主体、概算額）
- Bybit「Security Incident Timeline」（対象ウォレット、資産内訳、同社説明の署名経緯）
- 米司法省「Samuel Bankman-Fried Sentenced to 25 Years」（FTX事件で認定された詐欺・顧客資金流用）
- 金融庁「暗号資産の利用者のみなさまへ」（登録一覧、注意喚起、相談窓口）
- 金融庁「暗号資産に関する相談事例等及びアドバイス等」（登録が信用性や無リスクを保証しない旨）
- 金融庁「暗号資産に関する制度整備」（コールドウォレット原則、ホットウォレットの弁済原資）
- NIST SP 800-63B「Authenticators」（WebAuthn/FIDO2とフィッシング耐性）
- CISA「More than a Password」（多要素認証、FIDOの優先）
- オライリー・ジャパン『マスタリング・ビットコイン 第3版』書誌（著者、発売日、ISBN、収録内容）
【免責事項】本記事は公開された事件資料と一般的なセキュリティ対策の情報提供です。特定の取引所、ウォレット、暗号資産、書籍への申込み・購入・投資を勧めるものではありません。安全性、補償、回収可能性を保証しません。事件に遭った場合は、各事業者と公的機関の最新案内に従ってください。
よくある質問（FAQ）
金融庁の登録業者なら安全ですか？
登録は最低限の確認項目ですが、安全や補償の保証ではありません。金融庁も、登録が事業者の信用性や取引の無リスクを保証するものではないと案内しています。登録一覧、行政処分、保管・認証・出庫の条件を併せて確認してください。
コールドウォレットなら流出しませんか？
流出リスクは下げられますが、ゼロにはなりません。署名端末、表示、取引データ、委託先、複数人承認の運用が破られる可能性があります。Bybit事件では、同社がコールドウォレットの署名処理で意図と異なる内容を承認したと説明しています。
取引所ではどの認証方式を選べばよいですか？
取引所が提供している中で、フィッシング耐性のあるFIDO/WebAuthn、パスキー、セキュリティキーを優先します。未対応なら認証アプリを使い、SMSだけに依存しません。メール側にも別の固有パスワードと多要素認証を設定してください。
不正出庫に気づいたら最初に何をしますか？
通知、日時、金額、宛先、txid、ログイン履歴を保存し、公式窓口へ口座・出庫・APIの停止を依頼します。汚染していない端末からメールと取引所の認証を変更し、警察や金融庁等へ相談します。回収をうたうDMへ費用や秘密情報を渡さないでください。
自己管理ウォレットの方が安全ですか？
取引所の保管・出庫停止リスクを減らせますが、シード紛失、漏えい、誤送付、復元不能の責任を自分で負います。少額送付と復元を実際に確認し、バックアップと相続手順を整えられる範囲で使ってください。
