こんにちは。
CryptoNeo（@CryptoNeo）です。
2025年2月21日ごろ、暗号資産取引所Bybitから約15億ドルの暗号資産が盗まれました。FBIは2月26日、北朝鮮による窃盗と公表し、TraderTraitorと呼ぶ活動として追跡しています。
事件で狙われたのは、秘密鍵を通常インターネットから切り離して管理するコールドウォレットの送金でした。安全性が高いとされる保管方法でも、なぜ巨額の資金が流出してしまったのでしょうか。
今回は、BybitとSafeの公表資料をもとに、事件の経緯と署名画面が悪用された仕組み、被害への対応を振り返ります。個人でウォレットを使うときに、何を確かめて署名すればよいのかも考えていきましょう。
本文は2026年11月3日までに確認した公式発表と技術分析に基づきます。
Bybitハッキング事件で何が起きた？
FBIによると、2025年2月21日ごろ、Bybitから約15億ドルの暗号資産が盗まれました。
FBIは2月26日に北朝鮮による窃盗と公表し、TraderTraitorとして追跡する活動に位置付けています。
公表資料で使われる名称の範囲は、Lazarus・TraderTraitorの解説で確認できます。
TraderTraitor・Lazarusの関係
【出典】FBI・North Korea Responsible for $1.5 Billion Bybit Hack
コールドウォレットは、秘密鍵を通常インターネットから切り離して保管する方式です。
それでも資金を動かすときには、取引を作り、内容を確認し、署名する工程があります。
この事件では、その確認に使う環境が狙われました。鍵をどこに置くかに加え、何を見て承認するかが重要だったのです。
秘密鍵を通常インターネットから切り離して管理する方式です。
オンラインで常時使う鍵の露出を抑える考え方です。送金時は、取引の作成と確認、署名をそれぞれ行います。
Safe関連の侵害は、署名の確認にどう影響した？
Bybitの2月26日発表は、Safe開発者の認証情報が侵害され、Safeのインフラへのアクセスを通じて、署名者が悪意ある取引を承認するよう誘導されたと説明しています。
同発表は、調査時点でBybit自身のインフラ侵害を示す兆候はなかったとしています。
【出典】Bybit公式・Safe Wallet事件の調査発表
CertiKの技術分析も、表示上は正当な取引に見える一方、署名へ渡される内容が変えられた点を説明しています。
署名者が画面を確認しても、その画面と実行内容が一致していなければ、意図した送金を承認したことにはなりません。
問題は秘密鍵の暗号方式そのものではなく、確認から署名へ進む途中の工程にありました。
【出典】CertiK・Bybit Incident Technical Analysis
| 工程 | 利用者が通常期待すること | この事件から考える論点 |
|---|---|---|
| 取引を作成する | 指定した相手・資産・金額になる | 作成環境や配信されたコードは信頼できるか |
| 画面を確認する | 表示と署名対象が一致する | 同じ侵害された画面だけに確認を依存していないか |
| 署名する | 意図した処理だけを承認する | 送金以外の権限変更などが含まれていないか |
| 実行後に確認する | 残高と権限が想定どおりになる | 異常検知・停止・連絡の手順があるか |
Bybitは事件後にどう対応した？
Bybitは、VerichainsとSygnia Labsを含む外部調査を依頼したと説明しています。
また、事件当日にSafeで管理していたアドレスから資金の大部分を移し、代替ウォレットの検討とセキュリティ見直しを進めると公表しました。
3月3日に公開された同社の時系列記事では、出金対応を継続し、2月24日までに外部からの資金調達などでETHの不足を埋めたと説明しています。
これは、利用者が資金へアクセスできる状態と資産の裏付けを確保するための対応です。
ここで資金の手当てと盗難資産の回収を分けると、会社の対応を理解しやすくなります。
外部からETHを調達して顧客資産を裏付けることと、攻撃者から盗まれたコインを取り戻すことは、別の出来事だからです。
筆者は、事件後の評価には被害額だけでなく、影響の説明、外部調査の公開、管理手順の変更、利用者が実際に資金を動かせるかを見る必要があると考えています。
これらを順に確認すれば、損失への対応と、同じ侵害を防ぐための変更を分けて判断できます。
Bybitの日本居住者向けサービス終了に伴う出金・資金移動は、この2025年の事件対応と分けて読む必要があります。
現在の案内は、日本居住者向けサービス終了と既存ユーザーの出金、Bybitからの資金移動ガイドで整理しています。
Binance事件の補填・出金対応
別の事件の対応も比較したい方は、Binanceの補填・凍結・出金案内を分けた時系列をご覧ください。
記事が見つかりませんでした。
個人のウォレット利用に生かせる対策は？
大口の機関送金と個人のウォレット操作では環境が違いますが、表示だけを信じて署名しないという教訓は共通します。
何の操作のために、どの相手へ、どんな権限を与えるかを自分の言葉で説明できないときは、承認を保留しましょう。
普段使わないアプリや拡張機能を、報酬やサポートの案内だけで追加するのも避けます。
ハードウェアウォレットを使う場合は、端末に表示される内容を確認し、意味を理解できない署名を習慣的に許可しないことが基本です。
内容を確認できない場合は、その場で承認せず、何の権限を与える操作なのかを調べましょう。
ウォレットを取引サービスへ接続するときも、接続する目的、署名する内容、入金する資金を順に確認します。
保管用の資産と日常の接続に使う資金を分けておけば、一度の操作で影響を受ける範囲を抑えやすくなります。
まとめ：鍵の保管と、署名する内容の確認を両方守る
Bybit事件では、送金前に見る画面と実際に署名する内容の一致が問われました。
コールドウォレットや複数署名でも、何を承認するかの確認は残ります。次に接続するときは、相手と操作の目的を確かめ、内容が分からない署名は止めるようにしましょう。
具体的なサービスで接続と入金を確かめたい方には、PopDEXの監査・資金管理の解説と接続手順があります。
ウォレットに保管している状態から、何が変わるかを確認する参考にしてください。
PopDEXの監査と資金管理の範囲
別のサービスを選ぶときも、鍵の保管、接続、入金後の資金管理を分けて確認することが大切です。
PopDEXについては次の記事で整理しています。
PopDEXに接続する際の画面と操作を確認したい方は、ウォレット接続・入金の手順を参照してください。
Bybit事件についてよくある質問
- コールドウォレットの秘密鍵が解読されたのですか？
-
本記事で参照した公式発表と技術分析は、Safe関連の侵害と悪意ある署名への誘導を説明しています。
秘密鍵の暗号方式が解読されたと理解する事件ではありません。 - Safeを使うと必ず危険ですか？
-
ひとつの事件だけで、すべての利用形態や現在の実装の安全性を決めることはできません。
対象の版、運用環境、調査後の変更を分けて確認します。 - 複数人で署名すれば防げますか？
-
複数の署名は単独の鍵に依存する状態を減らしますが、全員が同じ誤った情報を見て判断すると限界があります。
確認方法の独立性も重要です。 - 事件を見て個人が最初に変えることは？
-
意味の分からない署名を止め、保管用と日常接続用の資金を分けて考えることです。
復元情報を誰かへ渡す必要はありません。
本記事は情報提供を目的としており、特定の暗号資産や金融商品の売買を勧めるものではありません。
暗号資産・先物取引には価格変動、清算、システム障害などによる損失の可能性があります。
利用地域・提供条件を確認し、ご自身の判断と責任でご利用ください。
