Last Updated on 2026年7月28日 by oba3
タイ証券取引委員会が、暗号資産交換所ビットカブ（Bitkub）と元取締役2人について、2021年に発生したサイバー攻撃後の当局向け報告に虚偽があった疑いで刑事告発した。攻撃では16種類の暗号資産、約17億バーツ相当が流出したとされるが、同社がその影響を日次の財務報告へ適切に反映しなかったと当局は主張している。現段階で有罪が確定したわけではない。今回の焦点は約5000万ドルという被害規模だけではなく、事故を把握した経営陣が、顧客と規制当局へいつ、どの情報を伝えたのかという開示の時間差にある。
何が起きたのか？
タイ証券取引委員会は2026年7月23日、ビットカブ・オンライン（Bitkub Online）と、現在は元取締役となっているサコルコーン・サカビー氏、タウィーサップ・ラワン氏について、経済犯罪取締部門へ刑事告発したと発表した。
当局によると、ビットカブは2021年5月にサイバー攻撃を受け、16種類の暗号資産、合計約17億バーツ相当を失った。米ドル換算額は為替によって変わるが、報道では約4800万ドルから5100万ドル規模として伝えられている。
問題とされたのは、流出そのものに加え、攻撃後に提出された日次純資本報告である。タイ証券取引委員会は、2021年5月10日から10月30日までに提出された報告が、資産流出による影響を正しく示さず、事業者の財務状態について虚偽または誤解を招く内容を含んでいた疑いがあるとしている。
元取締役2人については、法人文書へ虚偽の記載を行い、第三者を欺いた疑いも指摘された。刑事告発は捜査と起訴判断を求める手続きであり、裁判所が違反を認定した段階ではない。今後は捜査当局が証拠を確認し、検察による起訴の可否が判断される。
ビットカブ側は、流出した資産について創業者らが補填し、顧客資産は維持されたとの立場を示している。また、当時すぐに公表しなかった理由について、利用者による出金集中や市場混乱を避ける目的があったと説明したと報じられている。ただし、経営側の補填によって顧客残高が守られたことと、規制当局へ正確な報告を行う義務を果たしたかどうかは別の論点である。
なぜ重要なのか？
暗号資産交換所で重大な攻撃が起きた場合、最初に求められるのは秘密鍵の停止、ウォレットの交換、出金経路の確認などの技術対応である。しかし、事故対応はシステムを復旧させれば終わるわけではない。顧客資産への影響、自己資本の減少、補填資金の出所、出金能力を当局や利用者へどの時点で開示するかも重要になる。
事業者が流出額を内部資金で補填できたとしても、その間に大きな資産不足が発生していたのであれば、交換所の財務状態や運営リスクは変化している。日次報告がその変化を反映しなければ、規制当局は追加資本の要求、営業制限、顧客資産保護などの措置を適切な時期に判断できない。
顧客側にも同じ問題がある。利用者は、資産が流出した事実、交換所が補填できるか、出金を継続できるかを知らなければ、自分の資金を残すか移すかを判断できない。混乱を避けるための非公表であっても、利用者の判断材料を長期間奪えば、事故収束後に大きな信頼問題へ変わる。
市場構造への影響
今回の告発が違反認定へ進めば、タイの暗号資産交換所には、重大事故を発見してから当局へ報告するまでの期限や、顧客向け通知に含める情報をより明確に定める圧力が強まる可能性がある。単に事故の有無を届けるだけでなく、対象資産、推定流出額、顧客残高への影響、補填計画、出金制限の有無を段階的に更新する制度が焦点となる。
重要なのは、最終的な損失額だけを開示する方式ではない。攻撃直後には全容が分からないことが多いため、最初の検知時刻、暫定的な影響、調査後の確定額を分けて報告する必要がある。情報が更新されるたびに訂正履歴を残せば、当局と顧客は事業者が何をいつ把握していたのかを確認しやすくなる。
また、経営陣が事故情報の公表を単独で判断できる体制も見直される可能性がある。サイバーセキュリティー部門、財務部門、法令順守部門、取締役会が同じ情報を共有し、一定額以上の流出では自動的に当局報告へ進む仕組みが求められる。
交換所が非公開を選びやすい背景には、出金集中による資金不足への懸念がある。しかし、非公開によって利用者の信頼を一時的に維持できても、後から長期間の報告遅延が判明すれば、交換所全体への出金や取引縮小を招く場合がある。短期的な混乱回避と長期的な市場信頼は、必ずしも一致しない。
資金・規制・流動性との関係
交換所への攻撃では、オンチェーン上の流出額と顧客に対する債務を分けて確認する必要がある。事業者が自己資金で補填すれば、利用者の画面上の残高は維持できる。一方、交換所の自己資本や運転資金は減少し、その後の出金処理や事業継続へ影響する可能性がある。
補填を創業者や関連会社が行った場合は、資金の法的な性質も重要になる。資本注入なのか、交換所への貸付なのか、将来返済が必要な債務なのかによって、財務状態は異なる。顧客資産が全額存在しているという説明だけでは、交換所全体の支払い能力を判断できない。
当局向けの日次報告は、こうした変化を早期に把握するための仕組みである。重大な資産流出が報告へ反映されなければ、規制当局は必要な自己資本や流動性が維持されていると誤認する恐れがある。今回の争点は広報上の発表が遅れたかだけではなく、監督の基礎となる財務情報が正確だったかにある。
今後は、タイ当局が事故報告の期限、重要性の判断基準、取締役の承認手続き、顧客通知の内容を具体化するかが注目される。重大事故を報告しなかった場合に、法人だけでなく取締役個人へどこまで責任を問うかも、経営判断へ影響する。
一方、すべての異常を即時に公表すればよいわけではない。攻撃経路や停止前の脆弱性を詳しく公開すると、追加攻撃を招く場合がある。初期段階では被害の存在と顧客への影響を伝え、技術情報は安全確保後に開示するなど、透明性とセキュリティーを両立する手順が必要になる。
初心者向け補足
暗号資産交換所がハッキングを受けても、利用者の口座画面から同じ金額が直ちに消えるとは限らない。交換所が自社資金で不足分を補えば、顧客残高を維持できる場合がある。ただし、その補填によって会社の資金がどれだけ減ったかは別に確認する必要がある。
事故報告には、当局向けと顧客向けがある。当局向け報告は、財務状態や安全管理を監督するために提出される。顧客向け開示は、利用者が出金や取引継続を判断するための情報となる。どちらか一方だけを行えば十分とは限らない。
刑事告発は、有罪判決と同じではない。規制当局が違反の疑いを捜査機関へ伝え、法的措置を求めた段階である。今後の捜査や裁判によって、報告内容が虚偽だったか、経営陣に故意があったかが判断される。
Web3Timesの視点
ビットカブの事例を約5000万ドルのハッキングとしてだけ読むと、交換所監督にとって重要な問題を見落とす。攻撃は2021年5月に起きたとされる一方、当局が問題視する報告は同年10月まで続いていた。見るべきなのは流出時点だけではなく、経営陣が被害を把握し、補填を決め、財務報告へ反映し、顧客へ説明するまでの時間軸である。
顧客資産が最終的に補填されていたとしても、途中の資産不足や経営判断が開示されなければ、利用者と当局は交換所の安全性を独立して評価できない。事故後に残高を一致させることと、事故発生時から正確に報告することは別の責任である。
今後確認すべきなのは、被害額の再計算だけではない。ビットカブが攻撃を最初に認識した時刻、取締役会へ報告した日、補填資金を投入した日、日次報告を修正したか、顧客へ通知した時期を並べる必要がある。この時系列が明らかになれば、単なる報告ミスだったのか、意図的な情報抑制だったのかを判断しやすくなる。
交換所の安全性は、攻撃を一度も受けないことだけでは測れない。重大事故が起きた際に、資産を止め、損失を把握し、当局へ報告し、顧客へ説明し、経営責任を検証できるかが重要になる。今回の刑事告発は、サイバー防御の強さに加え、事故情報を時間どおりに開示する能力そのものが取引所インフラの一部であることを示している。
