タイSEC、5000万ドルのハッキング隠蔽容疑でビットカップを告発

2026年7月23日、タイ証券取引委員会（SEC）は、タイ最大の暗号資産取引所であるビットカップ・オンライン（Bitkub Online Co.）と元取締役2名に対して刑事告発を行った。今回の措置は、5年前の2021年に発生した17億バーツ（約5000万ドル）規模のサイバー攻撃の事実を規制当局に故意に隠蔽し、虚偽の報告書を提出した疑いによるものである。

SECの告発状によると、ビットカップは2021年5月のハッキングにより16種類のデジタル資産が流出したにもかかわらず、これを直ちに報告しなかった。告発対象には、元取締役のサコルコーン・サカヴィー（Sakolkorn Sakavee）氏とタウィーサップ・ラワン（Thaweesap Rawan）氏が含まれており、両名は社内文書を改ざんし、顧客資産が安全に維持されているかのように規制当局を欺いた疑いが持たれている。

ビットカップは、2021年5月10日から10月30日まで提出された日次純資本報告書（Form DA 1）において、重大な資産損失について一切言及しておらず、これは規制当局が会社の実際の財務状況を把握することを妨害しようとする意図的な行為であった。

2021年5月に発生したこのセキュリティ事故は、ビットカップのシステムの脆弱性を突いた攻撃であり、当時の価値で約17億バーツに達する莫大な資産が流出した。ハッカーは取引所のホットウォレットにアクセスし、ビットコインやイーサリアムなどの主要な暗号資産を含む計16種類の資産を奪取したことが調査で判明した。

虚偽報告のメカニズムと隠蔽の手口

SECは、ビットカップがハッキング発生直後から約5ヶ月間、毎日提出が義務付けられている「Form DA 1」報告書に虚偽の内容を記載したと指摘した。規制当局は、元取締役らが顧客資産が完全に維持されており、会社に何ら被害がないように見せかけるため、故意に帳簿を操作し虚偽の事実を記載したと見ている。

• 2021年5月：サイバー攻撃が発生し、17億バーツ相当の16種類のデジタル資産が盗難被害に遭う。
• 2021年5月10日～10月30日：損失の事実を記載しない虚偽の純資本日次報告書を提出。
• 2021年10月31日：Bitkubの共同創業者が私財を投じ、盗難された資産全額を補填完了。

Bitkub側は今回の告発に対し、実際の顧客資産に損失は一切なく、当時の非公開決定は市場の混乱と大規模な預金引き出し（バンクラン）を防ぐための戦略的判断であったと釈明した。同社は、共同創業者が即座に資産を補填したことで顧客の資産は100%安全に維持されており、今回の事件は詐欺ではなく経営陣による開示タイミングの選択に関する問題であると強調した。

またBitkubは、2021年の事件発生当時に直ちに警察へ通報し、ハッカーの追跡などの法的措置を講じたほか、その後セキュリティシステムを世界トップ20レベルまで強化したと発表した。取引所側は、現在すべての運営が正常に行われており、顧客資産は完全に保護されていることを改めて確認した。

規制当局による検証と今後の法的措置

タイ証券取引委員会（SEC）は、2025年9月8日に実施した現地調査において、Bitkubの顧客資産が安全に保管されていることを確認している。しかし規制当局は、資産の事後補填や現在の安全性の有無とは別に、2021年当時に発生した虚偽報告行為そのものが市場の透明性を損なう重大な法令違反であると判断した。

今回の事件はタイ経済犯罪捜査局（ECD）に送致され、追加調査が行われる予定である。SECによる今回の措置は、暗号資産事業者が規制当局に提出する報告書の正確性が市場の信頼の核心であり、過去の違反事項であっても厳格に責任を問うという意志を示したものと解釈される。

Bitkubの調査および規制対応タイムライン

以下のタイムラインは、2021年のハッキング発生時点から2026年7月のSECによる刑事告発に至るまでの、Bitkub事件の主な経緯を示している。