仮想通貨のハッキング事件の歴史｜コインチェック・Zaif・DMM Bitcoinの年表と、利用者が今やること

01この記事でわかること（3行まとめ）

• 国内の大きな事件は3つ。2018年のコインチェック（NEM 5億2,300万XEM）、2018年のZaif（計約70億円相当）、2024年のDMM Bitcoin（4,502.9BTC、約482億円相当）です。
• 3件とも、利用者の資産は会社側が補う形で戻されました。ただし、日本円で返された例、一部を日本円に換えた例、別の会社へ口座ごと移された例と、やり方はさまざまです。
• 利用者ができることは「入口を固める」ことです。二段階認証、出金先の固定、公式の窓口だけで確かめる習慣、補償をうたう連絡に反応しないことが基本です。

02取引所のハッキングでは何が盗まれるのか

暗号資産は、銀行預金のように紙の通帳や現金があるわけではありません。ブロックチェーンという共通の記録に「どのアドレスに、いくらあるか」が書かれていて、そのアドレスから送り出すには「秘密鍵」という長い暗号の情報が必要です。秘密鍵を持っている人が、そのアドレスの暗号資産を動かせます。

取引所は、たくさんの利用者の暗号資産をまとめて預かり、その秘密鍵を管理しています。攻撃者が狙うのは、この秘密鍵そのもの、または秘密鍵を使って送金を指示できるシステムや担当者のパソコンです。いったん送られてしまうと、銀行の振込のように「組み戻し」で取り消すことはできません。これが、取引所のハッキングが大きな被害になりやすい理由です。

秘密鍵の置き場所には大きく2つあります。インターネットにつながった状態で管理する「ホットウォレット」と、ネットから切り離して管理する「コールドウォレット」です。ホットウォレットはすぐに出金できて便利ですが、外から狙われやすくなります。日本の法律では、利用者の暗号資産の大部分をコールドウォレットなどで管理するよう決まっています（詳しくは後の節で説明します）。

一方で、利用者一人ひとりのアカウントが乗っ取られる被害もあります。こちらは取引所全体の事件ではなく、パスワードの使い回しや偽サイト（フィッシング）が入口になることが多い被害です。この記事の後半で、両方への備えをまとめます。

03年表：暗号資産交換業者の主なハッキング事件

公的機関または会社自身の発表で、日付と量（額）を確かめられたものだけを並べました。金額の円換算は、発表した機関や会社が示したものです。

1. 2018年1月26日

   会社コインチェック（日本）発表されている内容NEMが不正に外部へ送信され、顧客の預かり資産5億2,300万XEMが流出出典関東財務局

2. 2018年9月14日

   会社テックビューロ（Zaif、日本）発表されている内容暗号資産が不正に外部へ送信され、顧客の預かり資産が流出。BTC・MONA・BCHの計約70億円相当出典近畿財務局、Zaif

3. 2024年5月31日

   会社DMM Bitcoin（日本）発表されている内容顧客の預かり資産4,502.9BTCが不正に外部へ送信。約482億円相当出典関東財務局、警察庁ほか

4. 2025年2月21日ごろ

   会社Bybit（海外）発表されている内容約15億米ドル相当の暗号資産が盗まれ、FBIは北朝鮮によるものと発表出典FBI

5. 2026年10月29〜30日

   会社Binance（海外）発表されている内容不正な出金で推定約63億米ドルの影響（発表時点の推定）出典Binance

このほかにも国内外で流出の事件はありますが、この記事では、一次資料で数字を確かめられたものに絞っています。

042018年 コインチェック：NEM 5億2,300万XEMの流出

関東財務局によると、2018年1月26日（金曜）、コインチェックが保有していたNEM（通貨の単位はXEM）が不正に外部へ送信され、顧客からの預かり資産5億2,300万XEMが流出しました。

関東財務局は資金決済法にもとづいて報告を求め、原因の究明や顧客への対応、再発防止策が十分ではないとして、1月29日に業務改善命令を出しました。2月2日には立入検査を始め、3月8日に2回目の業務改善命令を出しています。2回目の命令では、取り扱う暗号資産のリスクを適切に評価していなかったこと、事業の拡大に合わせた内部管理や内部監査の体制を整えていなかったこと、取締役会が顧客保護とリスク管理を経営の最重要課題と位置づけていなかったことなどが指摘されています。

利用者の資産はどうなったか

コインチェックの公式FAQによると、補償は日本円で行われ、2018年3月12日に完了しました。対象は、日本時間2018年1月26日23時59分59秒の時点でNEMを持っていた利用者です。金額は「1XEMあたり88.549円×その時点の保有数」で計算され、利用者のアカウントに日本円で入りました。

暗号資産そのものではなく日本円で戻ったため、税金の扱いも生じました。同社のFAQは、補償額が取得価額を上回る部分は原則として雑所得になり、下回る部分は雑所得の中で損失として通算できる、と案内しています。こうした補償を受けたときは、税務署や税理士に確かめてください。

052018年 Zaif：BTC・MONA・BCHの計約70億円相当

近畿財務局によると、2018年9月14日（金曜）、テックビューロが運営する取引所Zaifで、同社が保有していた暗号資産が不正に外部へ送信され、顧客からの預かり資産が流出しました。近畿財務局は9月18日に報告を求め、9月25日に業務改善命令を出しています。同社にはこの年の3月8日と6月22日にも業務改善命令が出ており、3回目でした。

事業を引き継いだ会社（現在のZaif）の公式のお知らせでは、外部からの不正アクセスにより、BTC 2,723.4、MONA 5,911,859.3、BCH 40,360.0、計約70億円相当が流出したとしています。

利用者の資産はどうなったか

同じお知らせによると、約50億円の金融支援を条件に、Zaifの事業はテックビューロからフィスコ仮想通貨取引所へ譲り渡されることになりました。同社の事業報告によると、事業の譲渡は2018年11月22日に行われ、利用者が譲渡を承認する手続き（引継ぎ手続き）は2019年4月22日13時で終わっています。

補償は、流出した分に相当する暗号資産を調達して行う方針でした。ただしMONAは市場で集めるのが難しかったため、流出した総額の約6割をMONAそのもので返し、残りの約4割は1MONAあたり144.548円で日本円に換えて補償すると決めた、と同社は書いています。同じ取引所の事件でも、通貨によって戻り方が違ったわけです。

062024年 DMM Bitcoin：4,502.9BTCの流出

関東財務局によると、2024年5月31日、DMM Bitcoinが管理していたBTC（ビットコイン）が不正に外部へ送信され、顧客からの預かり資産4,502.9BTCが流出しました。警察庁などは、これを約482億円相当としています。

関東財務局は2024年9月26日に業務改善命令を出しました。命令では、外部のウォレットを導入するときに暗号資産を移す際の流出リスクを議論していなかったこと、署名の作業を一人で行っていて互いにチェックする仕組みがなかったこと、秘密鍵を一括で管理していたこと、預かり資産が増える中で複数のウォレットに分けて管理することを検討していなかったこと、流出時の原因調査に必要なログの保存期間などを検討していなかったこと、などが指摘されています。命令の時点で、関東財務局は「未だ具体の手口の究明に至っていない」と書いています。

利用者の資産はどうなったか

SBI VCトレードの2024年12月25日の発表によると、DMM Bitcoinの利用者の口座と預かり資産は、2025年3月8日にSBI VCトレードへ移される予定とされました。対象は2025年3月4日の時点でDMM Bitcoinに口座を持っていたすべての利用者で、移される資産は日本円と現物の暗号資産です。利用者があらかじめ口座を作る必要はないとされました。一方、レバレッジ取引の決済されていないポジションは移管の対象外とされています。

流出したBTCの埋め合わせについてDMM Bitcoin自身が出した発表は、同社のサイトがすでに閉じているため、今回は確かめられませんでした。この記事では書きません。

07海外の大きな事件：Bybit（2025年）とBinance（2026年）

米国FBIは2025年2月26日の公共向けのお知らせで、暗号資産取引所Bybitから2025年2月21日ごろに約15億米ドル相当の暗号資産が盗まれ、北朝鮮が関与したと発表しました。FBIはこの攻撃者を「TraderTraitor」と呼び、取引所やブロックチェーン分析の会社などに、盗まれた資産の洗浄に使われているアドレスとの取引を止めるよう求めています。

2026年10月30日には、Binanceが不正な出金で推定約63億米ドルの影響が出たと発表しました。数字は発表時点の推定です。担当者のノートPCが侵害された可能性があるとし、損失はSAFU基金（利用者保護のための積立金）と会社の資金で補うとしています。日本でサービスを提供するBinance Japanは、日本の利用者の暗号資産は日本の法令に従ってコールドウォレットで管理しており、影響は確認されていないとしています。経緯と今やることはBinanceハッキングのニュースにまとめています。

08北朝鮮の関与：公的機関が発表したもの

「北朝鮮のハッカーが関わった」という話はよく出ますが、ここでは公的機関が発表したものだけを書きます。

• DMM Bitcoin（2024年）：警察庁、米国FBI、米国国防省サイバー犯罪センター（DC3）は2024年12月24日、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」が、DMM Bitcoinから約482億円相当の暗号資産を盗んだことを特定したと公表しました。同じ日に、警察庁・内閣サイバーセキュリティセンター・金融庁が連名で注意喚起を出しています。
• Bybit（2025年）：FBIが2025年2月26日に、北朝鮮（TraderTraitor）によるものと発表しました。
• Binance（2026年）：民間の分析会社の見方は出ていますが、この記事の時点で公的機関の発表は確かめられていません。そのため、ここでは関与を書きません。

警察庁などの注意喚起は、TraderTraitorは北朝鮮当局の下部組織とされる「Lazarus Group（ラザルスグループ）」の一部とされている、と説明しています。手口の例として、企業の幹部などになりすましてSNSで取引所の社員に近づき、「プログラムの不具合を直してほしい」などと持ちかけて不正なプログラムを実行させ、パソコンから認証情報を盗んで暗号資産を管理するシステムに入る、という流れを挙げています。狙われるのは取引所だけでなく、個人が管理する暗号資産も考えられる、としています。

09利用者の資産はどう扱われたか：3つの事件を比べる

この3件では、会社やグループの資金、または事業の譲り受け先の支援で、利用者の資産が戻されました。ただし、これは法律で必ず全額が保証されるという意味ではありません。金融庁の利用者向けページも、暗号資産は法定通貨ではなく、価格が変わることがあると注意しています。取引所自身も、たとえばSBI VCトレードは注意点として、会社が倒産した場合には「預託された金銭及び暗号資産を返還することができない可能性」があると書いています。

10交換業者の決まり：分別管理とコールドウォレット

こうした事件を受けて、日本の法律は取引所に細かい決まりを設けています。いずれもe-Gov法令検索で確かめた、資金決済法と「暗号資産交換業者に関する内閣府令」の内容です。

• お金は信託する：利用者から預かった日本円は、会社のお金と分けて管理し、信託会社などに信託しなければなりません（資金決済法第63条の11第1項）。
• 暗号資産も分けて管理する：利用者の暗号資産は会社自身の暗号資産と分け、どの利用者の分かすぐに分かる状態で管理します（同条第2項、内閣府令第27条第1項）。
• ネットにつながる場所は5%まで：オンラインで管理してよいのは、利用者の利便のために必要な最小限で、円に換算して利用者の暗号資産全体の100分の5を超えない分だけです（内閣府令第27条第2項）。
• 残りはネットから切り離して管理：それ以外は、秘密鍵などを「常時インターネットに接続していない」機器や記録媒体に記録して管理するか、それと同じくらい安全な方法で管理します（内閣府令第27条第3項）。これがいわゆるコールドウォレットです。
• オンラインの分と同じ量を自前で用意：オンラインで管理する利用者の暗号資産と同じ種類・同じ数量の暗号資産を、会社自身の資産として持ち、ネットから切り離して管理します。これを「履行保証暗号資産」と呼びます（資金決済法第63条の11の2、内閣府令第29条）。ホットウォレットの分が盗まれても、返すための備えがある、という考え方です。
• 毎年、外部の監査を受ける：分けて管理できているかについて、毎年1回以上、公認会計士または監査法人の監査を受けます（内閣府令第28条）。

なお、DMM Bitcoinの事件が示すように、コールドウォレットで管理していても、送金の手順や担当者のパソコンが狙われれば流出は起こりえます。決まりがあるから絶対に安全、というわけではありません。

11金融庁が業界に求めたこと（2024年の自主点検）

DMM Bitcoinの業務改善命令と同じ2024年9月26日、金融庁は日本暗号資産取引業協会（現在の日本暗号資産等取引業協会、JVCEA）に、流出リスクへの対応について注意喚起し、会員の取引所に自主点検を求めました。金融庁の文書が特に点検するよう求めたのは次の点です。

• コールドウォレットの秘密鍵を外から切り離して管理するだけでなく、複数の担当者が関わって互いにチェックする手順にしているか
• すぐ出庫する分と長く保管する分を別のコールドウォレットで管理すること、コールドウォレットからの出庫先をホワイトリスト（あらかじめ決めた送り先の一覧）にすることなどを検討しているか
• 外部のウォレットを使うことに伴うリスクを分析し、問題が起きたときの対応を理解しているか
• 不正が起きたときに原因を調べられるよう、取引ログなどを十分に保存し、すぐに検証できるか

JVCEAは、暗号資産交換業などの自主規制団体です。利用者向けに、詐欺の手口や相談先をまとめたページも公開しています。

12利用者がやること：口座を守る基本の対策

1. 二段階認証を入れる：パスワードに加えて、認証アプリやパスキーで本人確認をする設定です（二段階認証の用語ページ）。Binance Japanも2026年10月19日のお知らせで、特にパスキーの設定を勧めています。
2. 出金先を固定する：「出金アドレスのホワイトリスト」などの機能があれば使い、登録したアドレス以外へ出金できないようにします。乗っ取られても、すぐには別のアドレスへ送られにくくなります。
3. パスワードを使い回さない：取引所のパスワードは、ほかのサービスと必ず別にします。パスワード管理アプリを使うと続けやすくなります。
4. ログイン通知と端末の管理を確かめる：知らない端末からのログインがないか、通知が届く設定になっているかを見ます。
5. 公式アプリかブックマークから開く：メールやSMS、SNSのリンクから取引所のログイン画面を開かないようにします。偽サイトの見分け方はフィッシングの用語ページにあります。
6. 使わない資産を置きっぱなしにしない：取引所に預ける量を、自分が使う分に絞ることも一つの考え方です。自分で管理する場合は、秘密鍵やリカバリーフレーズ（復元用の言葉）を誰にも教えず、紙などで安全に保管します。

設定の名前や場所は取引所ごとに違い、変わることもあります。各社の公式ヘルプで確かめてください。自分のアカウントがすでに乗っ取られていないか不安なときは、ハッキングされたか確認する方法も参考になります。

13補償・返金をうたう連絡への注意

大きな事件の直後には、「補償の手続きはこちら」「流出した資産を取り戻せます」といった連絡が出回りやすくなります。次のような連絡には反応しないでください。

• パスワードや認証コードを聞いてくる：Binance Japanは、電話やメッセージでパスワードや認証コードの入力を求めることは一切ない、としています。
• 補償のために暗号資産を送らせる、外部のサイトでログインさせる：これまでの3件の補償は、いずれも取引所の口座の中や、移管先の会社の正式な手続きで行われました。
• 金融庁や協会を名乗る：金融庁は、当庁から直接本人確認をしたり、現金などの支払いを求めたりすることはない、と注意しています。
• 秘密鍵やリカバリーフレーズを求める：JVCEAは、秘密鍵・シードフレーズ・二段階認証のコードは絶対に共有しないよう呼びかけています。
• 「今すぐ」「今日だけ」と急がせる：JVCEAは、急かされたら一晩置き、家族などに相談するよう勧めています。

本当の補償の案内かどうかは、取引所の公式サイト・公式アプリのお知らせで確かめます。詐欺メールや電話への備えは詐欺メール・迷惑電話の悩み別ページにまとめています。

14取引所を選ぶときの確認

• 登録業者か：日本で暗号資産と日本円を交換するサービスには、暗号資産交換業の登録が必要です。金融庁の「暗号資産交換業者登録一覧」や「金融事業者一括検索」で確かめます。
• 無登録の警告を受けていないか：金融庁は、無登録で営業した国内・海外の業者に出した警告の一覧を公開しています。
• 管理の方法を説明しているか：コールドウォレットでの管理や分別管理について、利用者向けの説明があるかを見ます。
• 守りの機能があるか：二段階認証（パスキー対応か）、出金先のホワイトリスト、ログイン通知などが使えるかを確かめます。

15困ったときの相談先

• 取引所の公式サポート：自分の口座のことは、公式サイトや公式アプリから問い合わせます。
• 金融庁 金融サービス利用者相談室：0570-016-811（IP電話からは03-5251-6811）。平日10時〜17時。
• 消費者ホットライン：188。暗号資産の不審な勧誘の相談に、近くの消費生活相談窓口を案内してくれます。
• 警察：詐欺と思われるトラブルは、最寄りの警察署へ。急がない相談は警察相談専用電話 #9110 です。
• 日本暗号資産等取引業協会（JVCEA）：03-3222-1061。そのほかの暗号資産に関する相談の窓口として、金融庁が案内しています。

アカウントの乗っ取り全般の対処は乗っ取り・不正ログインの悩み別ページ、被害にあったときの場面別の手順は被害にあったらにあります。

16よくある質問