From 2014 to 2026: A Complete Review of Global CEX Hacks

2011年にMt.Goxが初めて深刻な攻撃を受けてから、その後BinanceやBybitなどの大手取引所が相次いでハッキングされるまで、取引所のセキュリティ問題は決して消え去ることはなかった。

ホットウォレット、秘密鍵、マルチシグシステム、従業員のパソコン、さらにはウォレットサービスプロバイダーやサードパーティのセキュリティ機器までもが、攻撃者の突破口となってきた。

盗難額は増え続け、攻撃手法もますます複雑化している。初期の攻撃者は主に取引所自身の技術的脆弱性を狙っていたが、その後はフィッシング、マルウェア、秘密鍵の窃取が一般的な手段となっていった。近年では、攻撃はマルチシグのフロントエンド、内部従業員、ソフトウェアサプライチェーンにまで及んでいる。

本記事では、これまでに公開されたCEXのハッキング事件を時系列で整理し、各事件の盗難額と具体的な原因を重点的に紹介する。

TL;DR

- 2014年～2026年に30件以上の中央集権型取引所の重大ハッキング事件が発生し、発生時の価格で計算すると累計損失は約113億～114億ドルに達する。

- 攻撃手法は絶えず高度化している。初期のホットウォレットの秘密鍵窃取から、従業員へのフィッシング、マルチシグ画面の改ざん、サプライチェーン攻撃へと発展した。

- 盗難額はますます大きくなり、攻撃経路はますます隠蔽されている。取引所が警戒すべきはウォレットだけでなく、従業員、権限システム、サードパーティサービスも含まれる。

- うち15件は当局またはセキュリティ機関により北朝鮮のハッカーに関連すると帰属・疑われており、関連金額は約101億ドルで、全金額のほぼ9割を占める。

2014年

Mt.Gox｜4.5億～4.8億ドル

2014年2月、Mt.Goxは約85万BTCの消失を発表した。当時の価格で計算すると約4.5億～4.8億ドルに相当し、その後プラットフォームは約20万枚を回収した。

調査によると、攻撃者は2011年からすでにサーバーとウォレットの秘密鍵へのアクセス権を取得していた可能性があり、継続的にプラットフォームの資産を送金していた。長期的な窃盗に内部管理の混乱が重なり、最終的にMt.Goxは破綻した。

2015年

Bitstamp｜約500万ドル

2015年1月、攻撃者はソーシャルエンジニアリングでBitstampの従業員に接近し、システム管理者にマルウェアを含むファイルを送信した。管理者がファイルを実行するとパソコンが制御され、ホットウォレット情報が保存されたファイルも窃取された。

2016年

Bitfinex｜約7,100万ドル

Bitfinexは当時BitGoと提携してマルチシグウォレットを管理していた。攻撃者は関連する認証情報とAPI権限を取得した後、出金限度額を引き上げ、既存のマルチシグセキュリティ機構を迂回して送金を完了した。

2018年

Coincheck｜約5.3億ドル

Coincheckは5.23億枚のXEMをマルチシグ保護のないホットウォレットに集中保管していた。従業員のパソコンがマルウェアに感染した後、攻撃者がウォレットの制御権を取得し資産を送金した。

Bithumb｜約3,150万ドル

Bithumbのホットウォレットが侵害され、約350億ウォン相当の資産が送金された。具体的な攻撃経路は公開されていない。

Zaif｜約6,000万ドル

Zaifのホットウォレットが侵害され、ビットコイン、ビットコインキャッシュ、MonaCoinなどの資産が送金された。

2019年

Cryptopia｜約1,600万ドル

Cryptopiaの複数のホットウォレットが攻撃された。事件発生後も資金の流出が続いたことは、攻撃者が関連する秘密鍵をすでに掌握しており、取引所がその制御を適時に遮断できなかったことを示している。

Binance｜約4,070万ドル

攻撃者は長期的なフィッシングとマルウェアによってユーザーのAPIキーと二要素認証情報を収集し、その後集中的に出金を実行してBinanceのホットウォレットから7,000枚のBTCを送金した。

Upbit｜約4,900万ドル

Upbitのイーサリアムホットウォレットから342,000枚のETHが送金された。公開資料では攻撃者がウォレット権限を取得した具体的な過程は開示されていない。

2020年

KuCoin｜約2.8億ドル

KuCoinの複数のホットウォレットの秘密鍵が漏洩し、攻撃者がこれによってウォレットを制御し、ビットコイン、イーサリアムおよび大量のERC-20トークンを送金した。

2021年

Liquid｜約9,700万ドル

Liquidのウォームウォレットが侵害され、ビットコイン、イーサリアムなどのトークンが送金された。ウォームウォレットは常時オンラインではないものの、ネットワークシステムと接続を保っているため、依然として権限失陥のリスクが存在する。

BitMart｜約1.96億ドル

BitMartのイーサリアムとBinance Smart Chain上のホットウォレットの秘密鍵が盗まれた。攻撃者はトークンを一括で送金し、分散型取引プラットフォームを通じて資産を交換した。

2022年

Crypto.com｜約3,380万ドル

攻撃者はCrypto.comの二要素認証フローを迂回し、483のユーザーアカウントからビットコイン、イーサリアムなどの資産を送金した。

2023年

CoinEx｜約5,400万～7,000万ドル

CoinExのホットウォレットの秘密鍵が漏洩し、攻撃者が制御権を取得した後、複数のチェーン上のウォレットから資産を集中して送金した。

Poloniex｜約1.14億～1.3億ドル

Poloniexのホットウォレットが攻撃され、大量のトークンが迅速に送金・交換された。攻撃者は秘密鍵または同等の権限をすでに取得していた可能性が高い。

HTXとHecoクロスチェーンブリッジ｜合計約1.13億ドル

HTXのホットウォレットとHecoクロスチェーンブリッジで相次いで異常送金が発生し、両事件とも秘密鍵または高権限アカウントの失陥を示している。Hecoは中央集権型取引所ではないが、HTXと密接な関係にあるため合算して集計した。

2024年

DMM Bitcoin｜約3.08億ドル

攻撃者は採用を名目にウォレットサービスプロバイダーの従業員に接触し、悪意のあるスクリプトを実行させ、その後送金リクエストを改ざんして4,502.9枚のBTCを攻撃者のアドレスに送金した。

BtcTurk｜約5,500万ドル

BtcTurkの複数のホットウォレットが盗まれた。具体的な侵入方法は公開されていないが、攻撃者がホットウォレットの制御権を取得していたことは明らかである。

WazirX｜約2.3億ドル

WazirXのマルチシグ担当者が画面で見た取引内容と、オンチェーンで実際に実行された内容が一致していなかった。攻撃者はこの「見たものと署名したものが異なる」差異を利用して署名者に悪意のある取引を承認させ、その後ウォレットコントラクトをアップグレードして資産を送金した。

Indodax｜約2,200万ドル

Indodaxの複数のホットウォレットが攻撃された。具体的な侵入方法は公開されておらず、攻撃者がウォレットの送金権限を取得したことのみ確認されている。

BingX｜約4,300万～5,200万ドル

BingXの複数のチェーン上のホットウォレットで異常な資金流出が発生した。公開資料では攻撃の入口は開示されておらず、攻撃者が秘密鍵またはウォレットシステムを制御した可能性がある。

2025年

Phemex｜約7,000万～8,500万ドル

Phemexの複数のチェーン上のホットウォレットから資産が集中的に送金された。プラットフォームは最初の侵入経路を公開していないが、攻撃者が複数のウォレットの制御権を取得していたことは明らかである。

Bybit｜約15億ドル

攻撃者はSafeウォレットのフロントエンドに侵入し、マルチシグ担当者が見る取引内容を改ざんした。署名者は正常な送金を承認したと思っていたが、実際に署名したのはウォレットの制御権を変更する悪意のある取引であり、約40万枚のETHがその後送金された。

Nobitex｜約9,000万ドル

攻撃者はNobitexの資産を誰も制御できない特殊なアドレスに送金し、事実上資金を焼却した。この攻撃の主な目的は利益ではなく、政治的破壊であった。

BigONE｜約2,700万ドル

BigONEはサプライチェーン攻撃を受けた。攻撃者は取引所のサーバー環境に侵入し実行ロジックを改ざんし、システムに自身の指示に従って資産を移転させた。

CoinDCX｜約4,420万ドル

CoinDCXのエンジニアが虚偽の副業に誘惑され、業務用パソコンにマルウェアをインストールしてしまった。攻撃者は制御された端末から取引所システムに侵入し、内部運用アカウントから資産を送金した。

BtcTurk｜約4,800万～5,400万ドル

BtcTurkで再びホットウォレットの異常送金が発生した。具体的な侵入方法は公開されていないが、この事件は大部分の資産をコールドウォレットに保管していても、オンラインウォレットや権限システムが依然として突破口となり得ることを示している。

Upbit｜約3,040万ドル

Upbitの管理者アカウントが盗用され、攻撃者は高権限アカウントを利用してSolanaホットウォレットから未承認の出金を実行した。

2026年：セキュリティ機器と署名権限の失陥が続く

Bitget｜約3.875億ドル

攻撃者はサードパーティ製セキュリティ機器のゼロデイ脆弱性を利用してウォレットサーバーに侵入し、その後取引を偽造して資産を送金した。今回の攻撃の突破口はBitget自身のシステムではなく、外部のセキュリティ製品であった。

Binance｜約63億ドル相当の資産が影響

BinanceのDevOpsエンジニアのパソコンが侵害され、攻撃者が内部サービスコンテナに侵入し、未承認の出金取引を送信した。事件は約63億ドル相当の資産に関わり、現時点でそのうち約30億ドルが凍結されており、最終的な損失はまだ集計中である。

最後に：AI時代、資産セキュリティに一層の注意を

CEXのハッキングはますます頻繁になり、金額も大きくなっている。

2024年から2025年に合計12件の重大事件が発生し、2014年から2022年までの9年間の合計に近い。2025年から2026年の盗難および影響額は、全統計の7割以上を占めている。

取引所が管理する資産が増えていることに加え、AIもハッカーの攻撃効率を高めている。AIは攻撃者が従業員情報を迅速に収集し、フィッシングメール、虚偽の採用資料、マルウェアを大量に生成するのを支援できる。

したがって、どの取引所を利用する場合でも、メールやダイレクトメッセージ内のリンクを安易にクリックせず、可能な限りPasskey、ハードウェアキー、出金先アドレスのホワイトリストを有効にし、使用していないAPI権限を定期的に削除することを心がけてほしい。セキュリティに小事はない。