Bitget Wallet vs 取引所：送金の署名者は誰か

Bitget WalletとBitget取引所は、2つの異なるカストディモデルを持つ別々の製品です。2026年9月24日にBitgetが公表した攻撃は、取引所のシステムを襲いました。Bitget Walletで暗号資産を保有している人は、別の仕組みがアクセスを決定しているため、自動的に影響を受けたわけではありません。その仕組みこそ、ほとんどのユーザーが調べたことのない重要な点です。キーレス版のウォレットでは、3つのキーシェアのうち1つがBitgetのサーバー上にあり、そのシェアがなければ署名は成立しません。

このテキストでは、この2つを切り離して解説します。まず取引所の状況、次にウォレットの技術、その後にドイツにおける保管、監督法、および税金への影響について説明します。

Bitget WalletとBitget取引所：2つの製品、2つのカストディモデル

名前が共通しているため誤解を招きやすいですが、取引所は中央集権的な取引所です。資金を入金すると、残高は運営者が保持するデータベースに記録され、コインが実際に存在するアドレスの秘密鍵は会社によって管理されます。これは第三者による保管、専門用語でカストディアル（寄託型）と呼ばれます。ユーザーは取引所に対して請求権を持つだけで、コインを直接コントロールしているわけではありません。

ウォレットは仕組みが異なります。デバイス上で鍵を生成・保持するアプリであり、そのためセルフカストディ（自己管理型）と呼ばわれます。ウォレットの製品ページでは、これを製品の特性として掲げ、暗号化とセルフカストディによる残高の保護を挙げています。また、130以上のブロックチェーン上のトークンへのアクセスと、3億ドルの保護基金も宣伝されています。

しかし、保護基金はプロバイダーによる約束であり、セルフカストディの特性ではありません。真正のセルフカストディであれば、自分以外に鍵に触れる者はいないため、被害が発生した際の基金は必要ありません。広告で基金が強調されればされるほど、実際に誰が共同で署名しているのかを注意深く見る必要があります。これについては後述します。

3億8,750万ドル：2026年9月24日の取引所への攻撃

2026年9月24日、Bitgetは攻撃者が不正な送金を通じて取引所のホットウォレットおよびウォームウォレットから残高を流出させたことを公表し、一時的に出金を停止しました。引用された金額は調査の過程で増加しました。初期の報告では3億5,160万ドルとされていましたが、後の報告では3億8,750万ドルとされています。両方の数字は同じ事件に関する発表によるものであり、決定的な監査が存在しない限り、この範囲がより誠実な記述と言えます。

原因についてBitgetは、未知の脆弱性、いわゆるゼロデイを含む、サードパーティのセキュリティ製品に関連する悪意のある活動を特定したと説明しました。セキュリティ企業のSlowMistは、最も早い不審な活動を2026年8月31日と特定しています。Mandiantは、攻撃者がサードパーティのセキュリティアプライアンスへのアクセス権を取得し、そこから取引所のウォレット環境に侵入したと述べています。約110万ドルがCircle、Tether、およびNEAR Intentsを通じて凍結または回収されました。