ワンクリックで2,000億円蒸発：バイビット15億ドル強奪と北朝鮮ラザルスを阻止した72時間

14時13分(UTC):改ざんされた1件の取引と14億6,000万ドル

2025年2月21日、Bybitの財務チームにとっていつもの金曜日のはずだった。イーサリアムのコールドウォレットからの定例送金。だが14時13分(UTC)、その1件の取引が改ざんされた。署名者たちは通常の取引を承認したつもりだったが、実際に実行された操作はウォレットを空にした。Bybitが後に公表したインシデント調査で確定した最終的な損失額は14億6,000万ドル。内訳は401,347ETH、90,375stETH、15,000cmETH、8,000mETHである。^[1]

盗まれた資産が単一の送金でひとまとめに運ばれたわけではない点が重要だ。ネイティブのイーサと液体ステーキング系トークンは、最初のブロックから39の受け取りアドレスに分散配置された。指紋を散らし、チェーンアナリストを最初の1分から振り切るために設計された構造である。^[1]

事件直後の数時間は何ひとつ確定していなかった。Bybitのインフラなのか、Safeのマルチシグ基盤なのか、それとも別の何かなのか。憶測だけが飛び交った。後に確定した事実は、これが業界史上最大の盗難であり、それまでのあらゆる取引所ハックを一瞬で過去のものにしたという点だ。^{[1], [5]}

破られたのは契約ではなく人間:Safe開発者へのフィッシング

最初の数日を覆った疑問は単純だった。正当な権限を持つ署名者たちが承認したのなら、何が彼らを騙したのか。2月28日、Safeのエコシステム財団声明が確定した答えを出した。調査では、標的型のソーシャルエンジニアリング、つまりフィッシングによりSafe開発者の端末が侵害され、そのアクセスを使ってBybit取引用のSafe Walletフロントエンドが改変されていた。^[3]

同じく重要なのは、Safeが排除したものだ。スマートコントラクトとソースコードには脆弱性が存在しなかった。マルチシグ契約は指示された通りに忠実に実行した。欺瞞は提示層、つまり署名者が信頼して読んでいるインターフェイスにだけ存在した。^[3]

この区別が初期の恐怖と最終的な事実を分ける。当初の報道は、数千の依存プロトコルを危険にさらすSafe全体の脆弱性を想起させた。調査は範囲を劇的に狭めた。1台の開発用端末、1つの改変フロントエンド、1人の標的。想像された脅威ではなく、確認された脅威モデルこそが業界が守るべきものだ。^[3]

約3時間後のライブ配信:出金は止まらない

およそ17時15分(UTC)、改ざん取引から約3時間後、BybitのBen Zhou最高経営責任者は解散状を待つ聴衆に向けてライブ配信を始めた。彼はBybitは支払能力を維持しており、顧客資産は引き続き1対1で裏付けられていると説明し、取引所の生存はリアルタイムで見守れるものだと訴えた。^{[1], [4]}

ユーザーは見守り、そして試した。Bybitはパニックの中でも出金を閉じなかった。後に公表された数字は驚異的だ。約40億ドルの出金、35万件超の出金リクエスト、その99.994%が10時間以内に完了した。より弱い取引所を破綻させてきたストレステストである。^[1]

凍結の話は地味だった。Tetherが盗難に関連して凍結したのはわずか約18万1,000USDT。Bybitは後に、提携先全体で凍結額が計4,289万ドルに達したと報告した。この大きな合計をTether単独の実績と混同してはならない。^[1]

72時間で埋め直された金庫

事件から72時間以内に、Bybitはブリッジローン、大口預入、店頭購入を通じてユーザー残高を裏付ける準備資産を再調達し、出金を開いたままにした。盗難資産を回収したのではなく、緊急調達と資産取得で貸借対照表の穴を埋めたのである。^{[1], [4]}

その後のプルーフオブリザーブ(準備証明)では、主要資産の裏付けが100%を超えていることが示された。口約束ではなく検証可能な余裕である。取引所がランを生き残れるかという初期の不確実性は、監査され公表された安全域に置き換えられた。^[1]

結果を支えたのは幸運ではなく危機管理だ。継続的な情報発信、正直な数字、開いた決済レール、迅速な資本再構築。72時間での立て直しを可能にしたBybitの規模そのものが、どの保管者がラザルス級の一撃に耐えられるかを示す教訓でもある。^{[1], [4]}

TraderTraitor:帰属、資金洗浄、そして長い影

2月26日、FBIはこの盗難を北朝鮮の国家支援型サイバー攻撃者、TraderTraitor指定、いわゆるラザルス・グループの係累に帰属させ、損失を約15億ドルと表現した。当局は資金洗浄の手口も記録している。スワップやクロスチェーンブリッジを通じた急速な換金と、追跡を困難にする小分け移送だ。^[2]

CSISのアナリストたちはこの事件を記録であり警告でもあると位置づけた。暗号資産取引所が今や国家行為者の戦略的標的であること、そして国家安全保障級の運用セキュリティが重大な保管事業者の基盤装備になったことの証明である。^[5]

最も深いのは技術的教訓だ。暗号学的プリミティブは破られず、契約も壊されなかった。信頼されたインターフェイスを通じて人間が騙された。だから防御は検証可能なトランザクションプレビュー、隔離された署名環境、フロントエンドの完全性へと移らなければならない。盗難が実際に起きたのはまさにその層だからだ。^{[3], [5]}

ユーザーにとって、この事件は古い格言を書き換えた。「鍵を持たざればコインも持たず」は、セルフカストディが信頼を消すと前提する。Bybitは、機関のコールドウォレット署名者ですらソフトウェアの層を通じて自分自身への武器にされ得ることを示した。信頼は透明性、準備資産、速度で守られた。最弱点はブロックチェーンでは決してなかった、という不愉快な認識とともに。^{[1], [3]}