Bitgetの安全性は？2026年の3億8,800万ドル流出と日本撤退で何が変わったか

Bitgetは2026年も安全なのか？

条件付きで「はい」です。Bitgetは3億8,800万ドルの流出をユーザー残高に触れずにProtection Fundで補填したとしていますが、基金は今やBitget自身が掲げる3億ドルの下限をわずかに上回るだけで、MiCAの認可はなく、2026年には3つの国から撤退しました。

トレーダーにとって安全性は3つの問いに集約されます。取引所は全員の残高を一度に払い戻せるか。何かが壊れたときに何が起きるか。自分の取引と関係のない理由で口座を失う可能性はあるか。Bitgetは1つ目の問いに自社公開の月次proof of reservesで答え、9月の流出は2つ目の問いに対する厳しい公開テストになりました。3つ目の答えは住んでいる国によって変わります。日本の読者にとっては、ここが一番重要な点です。

2026年9月のBitget流出事件では何が起きたのか？

攻撃者は、Bitgetが使う外部のセキュリティ製品から盗んだ認証情報で、Bitgetのウォレットサーバーに偽の出金指示を送り、ホットウォレットとウォームウォレットの12アドレスから3億8,800万ドルを引き出しました。

Bitget自身のタイムラインでは、最初の不正送金は9月24日18:31 UTCです。19:05 UTCに照合システムが差異を検知し、リスク管理がプラットフォーム全体の出金を止めました。それでも攻撃は止まりませんでした。SlowMistの調査は21:23 UTCまで流出を記録しており、Bitgetが出金と署名のサービスを停止したのは21:44 UTCです。Bitgetはインシデントページで攻撃者は一般的なウイルスやマルウェアを使っていないと書いていますが、Mandiantの状況報告はウォレットのジョブサーバー上のウェブシェルと悪意あるパッケージを記載しています。

被害額の見積もりは一度だけ増えました。Bitgetは当初3億5,160万ドルとし、9月25日に計算から漏れていたZcashとTRONの資産を加えて3億8,750万ドルに引き上げました。Bitgetによると、増えたのは集計がより完全になったためで、追加の盗難ではありません。最終確認額は3億8,800万ドルです。Bitgetはまた、調査で秘密鍵の流出は否定され、コールドウォレットは無事だったとしています。Bitget Walletは別のインフラで動いており、影響はありませんでした。

9月30日にMandiantとSlowMistの中間報告が公開されましたが、侵入がいつ始まったかで両者の見解は分かれています。Mandiantは特権アクセスを9月24日としています。SlowMistは、盗難の3週間以上前にあたる8月31日までさかのぼって、ログに悪意ある活動を見つけています。どちらの報告も攻撃者を特定しておらず、Bitgetのインシデントページも、確認された調査結果なしに犯人についての主張を事実と扱うべきではないとしています。Bitgetの正式なセキュリティ報告書は、2026年10月14日時点でまだ公開されていません。

流出後のproof of reservesとProtection Fund

流出の5日後に取得されたBitgetの最新proof of reservesは19コインで総準備率131%を示し、Protection FundはBitgetが約束した3億ドルの下限を再び上回りました。2026年10月14日時点での上回り幅は800万ドルです。

第47回proof of reservesは2026年9月29日のスナップショットに基づいています。BTCは142%、ETHは110%、USDCは154%、USDTは107%です。対象19コインで最も低いのはBNBの104%で、XRPはUSDTのすぐ下にあります。Bitgetは2022年12月から毎月この報告を出しており、2026年9月17日に対象を4資産から19資産に広げました。自分の残高がスナップショットに含まれているかは、Bitgetのオープンソースツール「MerkleValidator」で確認できます。ただしスナップショットはBitgetがその1日について報告した内容にすぎず、対象外の負債については何も示しません。公式ページに外部監査人の名前もありません。

Protection Fundは2022年に3億ドル相当のBTCで設立されました。流出前、Bitgetは基金が4億6,400万ドルを超えると説明していました。Bitgetはこの基金で3億8,800万ドルを補填し、9月30日に3億ドル超まで積み戻しました。現在の保有は3,705 BTCで、基金のページでは2026年10月14日時点で3億800万ドルと評価されています。ドル建ての額はBTC価格とともに動きます。Bitgetは、基金からいくら引き出し、積み戻しの資金をどこから出したのかを明らかにしていません。この基金は保険ではありません。プラットフォーム全体に及び、利用者に原因のない事態を対象とし、請求はBitgetが1件ずつ判断します。

Bitgetは規制を受けているのか、どこで使えるのか？

一部だけです。Bitgetのライセンスページには9つの国・地域が並びますが、EUのMiCA認可はなく、利用規約は米国、カナダ、フランス、ドイツ、日本など29の国と地域の居住者を対象外にしています。

ライセンスページには9件の記載があります。オーストラリアのAUSTRACがBitgetを登録し、南アフリカのFSCAが暗号資産サービスのライセンスと店頭デリバティブのライセンスを付与し、アルゼンチンのCNVとエルサルバドルの中央銀行・デジタル資産委員会が登録しています。モーリシャスは投資ディーラーのライセンスを、ジョージアはトビリシ自由区域での許可を出しました。ただし3件は見た目より範囲が狭く、スイスではマネーロンダリング対策を監督する業界団体の会員、メキシコでは同じ対策のための税務当局への登録、英国の項目は認可を受けた提携先を通じた金融広告だけを対象としています。

EUでは、Bitget EUが2026年7月2日にオーストリアのFMAへMiCA認可を申請したと発表しましたが、ESMAの認可事業者登録簿には2026年10月7日時点でBitgetの会社は1社も載っていません。ドイツとフランスからの新規登録は2026年1月16日に終わり、BitgetはAMFとの協議を経て3月31日にフランス居住者向けの全サービスを終了しました。日本では8月3日に新規登録を停止しています。11月1日からは決済のみが可能になり、残ったポジションは2026年12月31日に強制決済されますが、暗号資産の出金はその後も続けて利用できます。詳しい一覧はBitgetの利用制限国ガイドにあります。

規制当局は撤退の前からBitgetに警告していました。金融庁は2023年3月と2024年11月に、無登録で日本居住者に暗号資産交換業を行っていた業者としてBitgetを警告書発出先の一覧に掲載し、マレーシアの証券委員会は2024年に、カナダ・サスカチュワン州のFCAAは2025年7月に警告を出しています。利用規約はVPNで国の制限を回避することを禁じており、利用禁止国に住む人の口座をBitgetは閉鎖できます。

Bitgetの口座を守る方法

入金する前にBitgetの無料セキュリティ設定5つを有効にしてください。Protection Fundが補填するのはプラットフォームへの攻撃で、自分で渡してしまったログイン情報による被害ではありません。

まずはパスキーです。パスキーはBitgetの公式ドメインでしか機能しないため、偽のログインページでは反応しません。Bitgetのインシデントページは、流出をエサにした詐欺にも注意を促しています。Bitgetが資産回収の手助けを名目に送金や、パスワード、シードフレーズ、コードの共有を求めることはありません。偽のBitgetサイトも新しい話ではなく、2024年4月には香港のSFCが、bitget.comではない2つのドメインで運営されていた「Bitget Pro」を詐欺の疑いで警告リストに加えています。

どの設定よりも大事な習慣が1つあります。取引所には取引に使う証拠金だけを置き、残りは定期的に引き出すことです。9月の停止がその理由を示しました。暗号資産の入金と現物・先物の取引は続いていたのに、何日もの間プラットフォームから何も出せなかったのです。

Bitgetの手数料と、日本居住者への注意点

Bitgetの先物手数料はVIP 0でmaker 0.02%、taker 0.06%で、Trade Reclaim経由の30%キャッシュバックで実質0.014%と0.042%になりますが、日本居住者は2026年8月3日以降Bitgetで新しい口座を開けません。

月500万USDTのtaker取引なら、標準料率の手数料は3,000 USDTで、そのうち900 USDTがキャッシュバックとして戻ります。Trade Reclaimは資金を預からず、APIキーも不要で、必要なのはBitgetのUIDだけなので、この記事で取り上げたリスクを増やすことはありません。各VIPレベルの料率はBitgetの手数料ガイドにまとめています。日本以外にお住まいの方は、計算ツールで自分の取引量を入れて金額を確認でき、設定方法はBitgetのキャッシュバックページにあります。

制約もあります。キャッシュバックは支払った手数料の一部なので、上位のVIPレベルでBitgetの料率が下がれば、戻ってくるUSDTも一緒に減ります。

先物の標準ティア、2026年10月。キャッシュバックは手数料の30%で、USDTで支払われます。日本居住者は新規登録の対象外です。