Bybitのハッキング事件とは？原因とその影響を解説【2,200億円相当のイーサリアム流出】

2月21日午前、不正ハッカーからの攻撃によりBybitから約15億3,000万ドル（2,289億円）相当の仮想通貨が流出しました。その内訳は以下のとおりです。

イーサリアムのほか、「Lido（リド）」のステーキング版ETHであるstETHなど、DeFi（分散型金融）プロトコルのステーキング版ETHが流出しています。

ハッキング被害の発生後、オンチェーン分析・監視をしているXアカウントらがすぐに資金流出の可能性を指摘したことで、このニュースはまたたく間に拡散されました。

その30分後にはBybit CEOのBen Zhou（ベン・チョウ）氏が、自身のXアカウントでハッキング被害を認め、「ハッカーは私たちが署名した特定のETHコールドウォレットを制御し、コールドウォレット内のすべてのETHを未確認のアドレスに転送した」とポスト。また、「その他のウォレットはすべて無事」であることに加えて、「Bybitはこのハッキングによる損失を回復しなくても十分な支払い能力があり、顧客資産はすべて1対1で確保されているため、損失を補填できる」と表明し、顧客の不安をいち早く取り除くことに努めました。

この時点ですでに、ハッキングの手口の一部が明らかになっていました。攻撃者は、コールドウォレットのマルチシグ署名者に表示される取引内容を偽装し、正規のホットウォレットへの送金に見せかけて承認させました。これにより、コールドウォレットの資産が攻撃者のアドレスへ送信されてしまいました。

事件当日の午後には、流出した仮想通貨が、複数のアドレスに分散して送金され始めました。そして、夜には、Bybitがセキュリティ企業らと協力して調査を開始したと発表。また、他の取引所関係者や仮想通貨業界関係者も、次々と協力姿勢を表明しました。

なお、翌日にはBybitのサービスは完全復旧し、正常に稼働していることが発表されています。

Bybitは事件後、繰り返し「顧客資産は安全であること」を強調しました。事件当日にベン・チョウ氏がライブ配信を行い、「すでにバートナー企業からのブリッジローンにより被害額の80％を確保済みである」と発表するなど、混乱の収束に努めています。

しかし事件発覚後、Bybitユーザーには不安が広がり、一時的に出金リクエストが急増。銀行の取り付け騒ぎのような状況になりました。

これに対して、ベン・チョウ氏は「ハッキング発生から10時間経った時点で、合計35万件以上の出金リクエストが寄せられたものの、99.994％の出金処理が問題なく完了している」とポスト。その後、事件から12時間経過後にすべての出金処理が完了したことが、Bybit公式アカウントから発表されました。

これ以降もBybitからの出金に関するトラブルは発生せず、ユーザーの不安も徐々に収まっていきました。

ハッキング事件の発生後から、Bybit及びセキュリティ企業らによって、原因の調査が行われています。

その結果、ハッキングはマルチシグウォレット「Safe Wallet（セーフウォレット、正確な表記は『Safe{Wallet}』）」のAWS（アマゾンウェブサービス）のインフラが、攻撃者により不正にアクセスされたものであると判明しました。同時に、Bybit内部には攻撃や侵害を受けた形跡がないことも明らかになっています。

つまり、BybitがサードパーティーのSafe Walletを利用してコールドウォレットを操作する過程で、攻撃が仕掛けられたのです。

事件の発生直後からハッキング事件の原因ではないかといわれていたSafe Walletは、27日に公式声明を発表。「Safe Walletの開発者マシン（developer machine）を侵害して攻撃が行われ、Bybitが運営するアカウントに影響を及ぼした」と説明しています。

ただし、セキュリティがどのように侵害されたのか、具体的な手法については依然として不明なままです。バイナンスの元CEO・チャンポン・ジャオ（CZ）氏も自身のXで、「『開発者マシンの侵害』とは何を意味するのか？マシンはどのようにハッキングされたのか？」と疑問を投げかけています。

その後、Safeは3月5日に改めて公式声明を発表。「この攻撃では、開発者のラップトップが侵害され、AWSセッショントークンが乗っ取られて多要素認証コントロールがバイパスされました。この開発者は、職務を遂行するために高いアクセス権を持つ数少ない人員の1人でした」と説明しました。

この声明でも、どのように開発者のマシンが侵害されたのかは明らかになっていませんが、いずれにしてもBybitのハッキング被害は、Safe Walletへの侵害が根本的な原因であるということになります。

一方、攻撃者がBybitの資産を盗んだ手法については、ある程度明らかになっています。

攻撃者はSafe Walletのクラウドストレージを侵害し、悪意あるJavascript（※プログラミング言語の一種）コードを挿入しました。そして、Bybitのマルチシグ署名者が署名する際の表示UIを改ざんしたとみられています。これにより、不正な資金移動を、あたかも正規の取引であるかのように見せかけていたと考えられます。

さらに攻撃者は証拠隠滅のため、ハッキング後にクラウドストレージ上の悪意あるコードを書き換える操作をしたことが判明しています。このような一連の手口から、犯人は非常に巧妙で高い技術力を持っていると指摘されています。

Bybitハッキング事件の犯人は、ラザルスというグループであるといわれています。

北朝鮮系の犯罪グループであるとされるラザルスは、これまでも多くのハッキング事件に関与してきたと見られています。

サイバーセキュリティ会社「Recorded Future（レコーデッド・フューチャー）」のレポートによれば、ラザルスは2023年時点で、過去6年間に30億ドル（約4479億円）相当の仮想通貨を盗んだとされています。2018年に580億円相当の仮想通貨が流出した「コインチェック事件」や、2024年に480億円相当の被害があったDMMビットコインのハッキング事件も、ラザルスが関与していると分析されています。

2025年3月には、ラザルスは合計で13,518 BTCを保有していると報じられました。これにより、北朝鮮はアメリカとイギリスに次いで、世界で3番目に多くのビットコイン保有国になったともいわれています。

事件後、Bybitは「ラザルスとの戦争（war against Lazarus）」を宣言し、ラザルス関連のウォレットを通報してもらうための特設サイト「LazarusBounty（ラザルスバウンティー）」を立ち上げました。

ベン・チョウ氏はこのサイトについて「ラザルスのマネーロンダリング活動に関する完全な透明性を集約して示す、業界初の報奨金サイト」であるとして、ラザルスに関連するウォレットアドレスの情報提供を求めました。そして、資産凍結につながる可能性がある情報を提出したユーザーに対して、報酬として凍結資産の5％を提供すると公表しました。

実際に3月19日時点で約220万ドルが報奨金として支払われていて、ハッキングされた資産のうち3.2％が凍結されています。

これまで、ハッキング事件が起きた際に、有志の開発者やセキュリティ企業が資産の追跡を行うケースはありました。しかし、ラザルスバウンティーのように一つの事件とその犯人をターゲットに、これほど大々的な報奨金サイトが設立されたのは初めてのことです。

ベン・チョウ氏が「将来的には、ラザルスの他の被害者にもこのウェブサイトをオープンにする予定です」と明かしていることから、今後も、他の被害事例への資産追跡に活用されると期待できるでしょう。

事件発覚後、イーサリアム価格は約4％下落しました。盗まれたイーサリアムが市場に放出されて価格が落ちるのではないか、という不安が広がったためです。

その後、SNS上で「Bybitが資金を投じてイーサリアムを買い支えるのではないか」という憶測が広まり、価格は数日で下落前の水準まで回復していますが、24日に再び下落。以降は3月に入ってからも続落しています。

また、事件発覚後にはビットコイン価格も下落し、仮想通貨相場は全面安となりました。その後も価格下落は続き、3月時点では市場にやや悲観的なムードが漂っています。

ただし、仮想通貨相場の続落はBybitのハッキング事件だけが要因とは限りません。昨年後半以降、仮想通貨市場はトランプ大統領の当選などを契機に盛り上がりを見せていたものの、25年に入ってからは米国経済の先行きが不安視されたことなどから、勢いに陰りを見せていたからです。

そのタイミングでハッキング事件が起こってしまったため、投資家に悲観ムードが広まったのだと考えられるでしょう。

事件の被害額は大きかったことから、仮想通貨業界では「イーサリアムのブロックチェーンをロールバックして救済する」という案も出ました。

主な提案者は海外取引所「BitMEX（ビットメックス）」の創業者、アーサー・ヘイズ氏。自身のXアカウントで、イーサリアムの共同創業者であるヴィタリック・ブテリン氏に「Bybitを助けるためにチェーンをロールバックすることを提唱しますか？」と問いかけました。

しかし、この提案にはイーサリアムコミュニティが強烈な拒絶反応を示しています。

その理由は、今回のハッキングはイーサリアムのチェーン自体に問題があったわけではなく、犯人のトランザクションも形式上は正しく処理されたものだからです。また、ブロックチェーンに刻まれたトランザクションを恣意的に巻き戻して変更することは、分散思想に反しているという声も上がりました。

結果、この提案はイーサリアムコミュニティにおいて正式に提案されることはなく、実質的に却下されています。

なお、アーサー・ヘイズ氏の投稿は、そういった反応があることを承知した上での冗談や皮肉だったのかもしれません。

いずれにしてもこの事件を通じて、どれほど大規模なハッキング被害があろうと、イーサリアム自身の問題やぜい弱性に起因するものでない限り、ロールバックなどの対応は行われないことが示されたといえるでしょう。