取引所に暗号資産を預けたままで安全？日本の分別管理と流出事件から考える

日本の登録取引所は、顧客の暗号資産の95%以上をオフラインで管理し、日本円は信託銀行などに信託するよう法律で義務づけられています。それでもマウントゴックス、コインチェック、DMM Bitcoinと、日本は大規模な流出や破綻を何度も経験してきました。このページでは、国内の制度で何が守られ、何が守られないのかを、過去の事件と公式資料から整理します。

取引所に暗号資産を預けたままにしても安全ですか？

登録業者に預けた暗号資産は、法律上は会社の資産と分けて管理され、95%以上をインターネットから切り離して保管することが義務づけられています。ただし、これは流出がゼロになるという保証ではありません。2024年5月には登録業者のDMM Bitcoinから約482億円相当が流出しており、長期で大きな金額を持つなら、一部を自分のウォレットに移す選択肢も検討する価値があります。

取引所に置いておく利点は、すぐに売買でき、秘密鍵やリカバリーフレーズを自分で管理する必要がないことです。反対に、取引所のシステム障害、サイバー攻撃、経営破綻、口座の凍結といったリスクは、利用者の側ではコントロールできません。どちらにもリスクがあるので、「すぐ使う分は取引所、長く持つ分は自分で管理」という分け方が現実的な落としどころです。自分で管理する方法はウォレットの選び方で解説しています。

日本の法律は取引所の顧客資産をどう守っていますか？

2020年5月1日に施行された改正資金決済法と内閣府令により、暗号資産交換業者は、預かった日本円を信託会社や信託銀行に信託し、預かった暗号資産の95%以上を常時インターネットに接続していない環境で管理しなければなりません。残りのホットウォレット分については、同じ種類・同じ数量の「履行保証暗号資産」を自社で保有し、分別管理することが求められています。

この仕組みの狙いは、ハッキングで盗まれる可能性のあるオンライン部分を小さくし、盗まれた場合でも会社の資産で同じ量を返せるようにすることです。bitFlyerは公式のセキュリティページで、交換や送付に必要な最小限だけをホットウォレットに置き、全資産の約100%をネットワークから隔離したコールドウォレットで管理していると説明しています。

日本で起きた主な流出事件では何が起きましたか？

日本の暗号資産市場は、大きな事件のたびに規制が強化されてきました。2014年のマウントゴックス破綻、2018年1月のコインチェックからの約580億円相当のNEM流出、そして2024年5月のDMM Bitcoinからの約482億円相当の流出が代表例です。どの事件も、顧客資産がオンラインの管理環境から抜き取られた点で共通しています。

コインチェックの事件では、NEMの秘密鍵がネットワークから切り離されたコールドウォレットで管理されていなかったことが問題視されました。DMM Bitcoinの事件では、警察庁、米国のFBIと国防総省サイバー犯罪センター（DC3）が共同で攻撃グループを特定し、金融庁と内閣サイバーセキュリティセンターが手口と対策を公表しています。攻撃は外部の委託先を経由しており、取引所本体の対策だけでは防げない経路があることを示しました。

海外では2022年11月にFTXが破綻し、世界中の利用者が影響を受けました。経緯と弁済の状況は英語の解説FTX collapse and repayments explainedにまとめています。

マウントゴックスの弁済はまだ続いていますか？

続いています。マウントゴックスの再生管財人は2026年10月16日、基本弁済、早期一時金弁済、中間弁済の弁済期限を、2026年10月31日から2027年10月31日（日本時間）に延長すると公表しました。期限の延長は2023年以降毎年行われており、破綻から10年以上たったいまも手続きは終わっていません。

管財人の公式サイトは、MTGOXの名称やロゴを無断で使うウェブサイトや、管財人を装うメールへの注意も呼びかけています。「弁済を受け取るには手数料が必要」「ウォレットを接続してください」といった連絡は、公式の手続きと関係のない詐欺の典型です。弁済に関する情報は、管財人の公式サイトで直接確認してください。

取引所がプルーフ・オブ・リザーブを公開していれば信用できますか？

プルーフ・オブ・リザーブ（準備金証明）は、取引所が顧客の残高以上の暗号資産を保有していることを、第三者の会計士がある時点で確認する手続きです。顧客は自分の残高が集計に含まれているかをマークルツリーで検証できます。ただし、負債の全体や借りてきた資産までは確認できないため、単独で安全性を証明するものではありません。

Kraken（海外）の説明によれば、会計士は顧客残高のスナップショットからマークルツリーを作り、1つのルートハッシュにまとめます。同時に、取引所が公開アドレスの秘密鍵を管理していることを署名で確認し、保有量が顧客残高以上かを照合します。Kraken自身も、秘密鍵の排他的な管理や、検査のために一時的に借りた資産までは見抜けないという限界を明記しています。

日本の登録業者の場合、まず確認すべきは法定の分別管理と信託の仕組みです。そのうえで、各社が公表している財務情報やセキュリティの説明、過去の行政処分の有無を見比べるのが堅実な確認方法です。

国内の取引所にはどのくらいの資産が預けられていますか？

日本暗号資産等取引業協会（JVCEA）の統計によると、2026年9月末の会員の利用者預託金残高は合計約3兆6,988億円で、そのうち暗号資産が約3兆4,669億円、金銭などが約2,319億円です。口座数は全体で約1,474万口座、そのうち稼働口座は約910万口座でした。これだけの資産が取引所に集まっている以上、攻撃の標的になるのは避けられません。

同じ統計では、2026年9月の現物取引高が約8,683億円、証拠金取引高が約8,597億円でした。利用者の暗号資産の大半が取引所に置かれたままである点は、取引所の管理体制に頼る度合いが大きいことを意味します。

自分でできるリスク対策は何ですか？

取引所のリスクを利用者側で小さくする方法は、金融庁の登録業者だけを使う、ログインに二段階認証やパスキーを設定する、長期で持つ分を自分のハードウェアウォレットに移す、そして取引所を名乗るメールやSMSのリンクを開かない、の4つが基本です。とくにフィッシングは、法律上の分別管理では防げない被害です。

• 登録の確認：金融庁の登録一覧で運営会社の番号を確認します。比較の方法は国内取引所の選び方を参照してください。
• 認証の強化：SMS認証より、認証アプリやパスキーのほうが乗っ取られにくい方式です。
• 自己管理：ハードウェアウォレットの比較はLedgerとTrezorの比較にあります。
• 相談：不審な勧誘や詐欺の疑いは、金融サービス利用者相談室（0570-016-811）や警察に相談できます。

制度の全体像は日本の暗号資産規制で、ほかの解説はCoinChoose日本語版トップから確認できます。暗号資産は価格変動が大きく、このページは投資助言ではありません。

よくある質問

取引所が破綻したら預けた暗号資産は戻ってきますか？

登録業者は顧客の日本円を信託し、暗号資産を自社の資産と分けて管理する義務があるため、分別管理が守られていれば返還の対象になります。ただし手続きには時間がかかることがあり、マウントゴックスの弁済は破綻から10年以上たっても続いています。

コールドウォレットとホットウォレットの違いは何ですか？

コールドウォレットはインターネットから切り離した環境で秘密鍵を保管する方式で、ホットウォレットは送付のためにオンラインで管理する方式です。日本の登録業者は、オンラインで管理する顧客資産を円換算で5%以下に抑える必要があります。

DMM Bitcoinの利用者の資産はどうなりましたか？

DMM Bitcoinの顧客口座と預かり資産は、2025年3月8日にSBI VCトレードへ移管されました。流出したのは2024年5月で、警察庁は約482億円相当を北朝鮮を背景とするTraderTraitorが窃取したと公表しています。

海外取引所でも日本の保護は受けられますか？

受けられません。分別管理や信託の義務は日本の登録業者に対するものです。金融庁から警告を受けた無登録の海外業者は、日本の監督の外にあり、トラブルが起きても国内の制度による救済は期待できません。

取引所の二段階認証はどの方式がよいですか？

可能であれば、SMSよりも認証アプリやパスキーを使う方式を選ぶほうが安全です。SMSは電話番号の乗っ取りで突破される例があるためです。ログイン用のメールアドレスにも別の強いパスワードを設定しておきましょう。