BTCBOXはなぜ再開まで約半年かかったのか 公表資料から読み解く長期停止の構造
BTCBOXは、2026年1月29日に全サービスを停止し、8月3日からログインと暗号資産入庫を再開すると発表しました。停止から最初の再開まで約6カ月です。
長期化の理由として公式に確認できるのは、単純なシステム障害ではなく、外部関係先での個人情報の取り扱い、業務管理体制、システム、安全性、再発防止策をまとめて検証する必要が生じたことです。さらに関東財務局から報告徴求命令を受け、外部専門機関による確認も続きました。
ただし、BTCBOXは作業項目ごとの期間や、再開判断を遅らせた具体的な問題を公表していません。「なぜ約半年を要したのか」の全容は、2026年8月2日時点でも明らかになっていないのが実情です。
この記事で分かること
- 39人分の個人情報が第三者に閲覧され得る状態となってから、再開発表までの経緯
- 「メンテナンス」だけでは説明できない長期化の要因
- 8月に使える機能と、引き続き使えない機能
- DMM BitcoinやCoincheckの事例との共通点と違い
- BTCBOXに今後求められる利用者向け情報開示
約半年の停止は、四つの確認が重なった結果とみられる
長期化を一つの原因だけで説明することはできません。 公表情報をつなぐと、少なくとも「情報の削除・影響範囲」「業務管理体制」「システム」「再発防止と再開時の安全性」という四つの確認が並行していたと読み取れます。
1. 個人情報の閲覧可能性を解消する必要があった
発端は、取引システムから暗号資産が流出した事件ではありません。
BTCBOXによると、2026年1月15日、外部関係先との業務提携に向けて資料を共有する過程で、その関係先による資料の取り扱いの結果、第三者が閲覧し得る状態になりました。資料には39人の氏名、電話番号、メールアドレスなどが含まれていました。
BTCBOXは外部関係先にデータの削除を要請し、対象者へ連絡しました。同時に、閲覧される可能性のある情報がなくなったか、ほかの顧客情報に影響がないかを検証すると説明しています。
ここでは、ファイルを削除したという連絡だけでは確認が終わりません。どこに複製された可能性があるのか、誰がアクセスできたのか、ログや共有設定に痕跡が残っているかなどを調べる必要があります。ただし、BTCBOXは実際に行った調査手順や、第三者による閲覧の有無を公表していません。
2. 問われたのはシステムだけでなく業務管理体制だった
2月5日の説明で重要なのは、BTCBOXが「外部の関係先を含む業務管理体制の確認が必要」と記した点です。
問題は、サーバーやアプリの修復だけに限られません。外部へ資料を渡す前の承認、共有方法、アクセス権限、委託先や提携先の管理、事故発生時の報告経路も点検対象になります。
システムを直しても、同じ方法で資料を共有すれば再発しかねません。そのため、技術対応と社内ルール、外部関係先との手順を一緒に見直す必要があったと考えるのが自然です。これは公表内容に基づく推論であり、BTCBOXが個別の不備を認めたものではありません。
3. 当局への説明と再発防止策の整合が必要になった
BTCBOXは2026年2月5日、関東財務局から資金決済法第63条の15第1項に基づく報告徴求命令を受けました。
報告徴求命令は業務改善命令と同じではありません。行政当局が事実関係や管理状況などの報告を求めるための措置です。一方で、暗号資産交換業者がサービスを再開するには、利用者保護を損なわない状態を自社で確認し、必要な説明に耐えられるようにする必要があります。
BTCBOXは、関係先と連携して次の作業を進めると説明しました。
- 業務管理体制の点検
- システムの点検
- 再発防止策の実施
- 個人情報に関する検証
これらは相互に依存します。原因や影響範囲が確定しなければ再発防止策を固定できず、その対策が実装されなければ安全性の最終確認にも進めません。再開判断が段階的になった背景には、この順序関係があった可能性があります。
4. 外部専門機関による安全確認が続いた
7月31日の再開発表で、BTCBOXは外部専門機関による確認作業を進め、一部サービスの安全性確認が完了したと説明しました。
ここから分かるのは、8月3日の時点でも全機能の確認が終わったわけではないことです。安全性を一括判定せず、確認が終わった機能から再開する方式が採られました。
ここがポイント: 約半年後に「全面復旧」したのではありません。ログイン、暗号資産入庫、日本円出金を先行させ、売買や暗号資産出庫は確認を続ける段階的な再開です。
1月15日から8月までの経緯
停止の起点と再開の起点は別の日です。 情報管理上の事案は1月15日に確認され、全サービス停止は1月29日に始まりました。
- 1月15日：外部関係先で、39人分の個人情報を含む資料が第三者に閲覧され得る状態となった事案をBTCBOXが確認
- 1月28日：翌29日0時から12時まで、システムメンテナンスのため全サービスを停止すると案内
- 1月29日：作業に想定以上の時間を要するとして、停止終了時刻を未定に変更
- 2月5日：個人情報に関する事案と、関東財務局から報告徴求命令を受けたことを公表。再開時期は検証完了後に案内すると説明
- 3月11日：NADA NEWSが、2月3日と3月9日の取材メールに回答がなく、代表電話でも担当部署が明確に示されなかったと報道
- 7月31日：外部専門機関による一部サービスの安全性確認が完了したとして、段階的な再開日程を公表
- 8月3日午前10時：ログインと暗号資産入庫を再開
- 8月10日午前10時予定：日本円出金を再開
- 9月以降：暗号資産出庫、取引所、かんたん売買などを、確認完了後に順次再開する予定
1月29日から8月3日までは186日です。利用者はこの間、ログイン、取引、入出金、取引履歴の照会を含む全機能を使えませんでした。
再開後に変わること、まだできないこと
8月の再開は、資産を自由に売買・移動できる状態への完全復旧ではありません。 利用者は機能ごとの再開日と認証方法を分けて確認する必要があります。
8月3日から利用できる機能
- ウェブサイトなどへのログイン
- 暗号資産の入庫
ログインにはパスキー認証が必須になります。再開後の初回だけは従来のパスワードでログインし、その後パスキーを登録します。登録後は従来の方法ではログインできません。
8月10日から再開予定の機能
- 日本円の出金
日本円出金には2段階認証が必須です。予定日は変更される可能性があるため、実際に操作する前に公式のお知らせを確認する必要があります。
9月以降へ持ち越された機能
- 暗号資産の出庫
- 取引所での売買
- かんたん売買
- そのほか安全性確認が完了していないサービス
暗号資産は8月3日から入庫できますが、出庫や売買が再開するまでは動かせません。再開直後に暗号資産を送る利用者は、この非対称な状態を理解しておく必要があります。
顧客資産はどう説明されているか
BTCBOXは、不正流出や顧客資産の被害は確認されていないと一貫して説明しています。
7月31日の発表では、暗号資産は全数量をコールドウォレットに保管し、日本円は全額を信託設定して日証金信託銀行に預けているとしました。希望者には、サービス再開後も本人確認を経て残高証明書を発行すると案内しています。
コールドウォレットとは、秘密鍵をインターネットから切り離した環境で管理する仕組みです。ただし、資産が保全されていることと、利用者が必要な時に売却・出金できることは別問題です。
長期停止中の利用者には、次の制約がありました。
- 相場変動に合わせて保有暗号資産を売却できない
- 日本円や暗号資産を外部へ移せない
- ログインして残高や取引履歴を確認できない
- 再開時期が分からず、資金計画を立てにくい
資産の不正流出が確認されていなくても、アクセス不能と流動性の制限は利用者に実務上の負担を与えます。取引所の事業継続計画では、資産保全だけでなく、残高確認や出金をどの順番で復旧させるかも重要です。
類似事例と比べて見える共通点と違い
暗号資産事業者のトラブルでは、原因調査、顧客保護、システム管理、当局対応が同時に進むため、復旧が長引くことがあります。 ただし、BTCBOXの事案を過去の不正流出事件と同一視するのは適切ではありません。
DMM Bitcoin：暗号資産そのものが流出
DMM Bitcoinでは2024年5月31日、利用者から預かっていた4,502.9 BTC、当時約482億円相当が不正に外部送付されました。金融庁によると、関東財務局は同年9月、システムリスク管理と暗号資産流出リスクへの対応に重大な問題が認められたとして業務改善命令を出しました。
BTCBOXとの違いは明確です。DMM Bitcoinでは暗号資産の流出が発生しましたが、BTCBOXは2026年7月31日時点まで資産流出を確認していないと説明しています。
一方、外部を含む業務プロセス、システム管理、経営の関与を調べ、再発防止策を実装してから次の判断へ進む点は共通します。
Coincheck：出金停止と利用者保護が監督上の焦点に
Coincheckでは2018年1月、5億2,300万XEM、当時約580億円相当が不正流出しました。金融庁は原因究明、再発防止、顧客保護を求めて業務改善命令を出し、立入検査を実施しました。
この事例が示したのは、技術的な侵入経路だけでなく、資産管理方法、内部統制、顧客への補償や説明が一体として問われることです。
BTCBOXでも、39人分の情報を含む資料の取り扱いを起点に、業務管理体制とシステムの双方が点検対象となりました。被害の種類や規模は異なっても、暗号資産交換業では一つの事故が組織全体の管理体制の検証へ広がるという共通点があります。
「安全確認に時間が必要」と「説明が足りない」は両立する
慎重な安全確認は必要ですが、それだけで利用者への長期的な情報不足が正当化されるわけではありません。
BTCBOXは2月5日、再開時期について「検証作業が完了次第、改めて案内する」と説明しました。その後、7月31日の再開発表まで、利用者が復旧の段階や見通しを判断できる具体的なロードマップは公表されませんでした。
調査中には、攻撃者や関係者に手掛かりを与えないため開示できない情報があります。外部専門機関や当局とのやり取りについても、事業者が自由に公表できるとは限りません。
それでも、機密情報を伏せたまま次の内容を定期的に伝えることは可能です。
- 現在の作業段階と、完了した確認項目
- 次回更新の予定日
- 資産保全状況と確認方法
- 出金や残高証明に関する代替手段
- 問い合わせ窓口の責任部署と回答目安
- 再開の順序と、各段階で利用できる機能
NADA NEWSは3月11日、BTCBOXへ2度送った取材メールに回答がなく、代表電話でも担当部署が明確に示されなかったと報じました。これは報道機関による取材結果であり、すべての顧客問い合わせが同じ対応だったことを示すものではありません。しかし、全サービスを止める局面で問い合わせの責任主体が見えなければ、利用者の不安は強まります。
必要なのは、未確定の再開日を無理に約束することではありません。「調査中」の一言で止めず、何を確認中で、次にいつ説明するのかを約束することです。
約半年という期間から断定できないこと
長期停止そのものは、深刻な未公表被害があった証拠にはなりません。 公表資料の範囲を超えた推測は避ける必要があります。
現時点で断定できないのは次の点です。
- 第三者が39人分の個人情報を実際に閲覧したか
- 情報が閲覧可能だった期間や共有範囲
- どのシステムに、どのような改修が必要だったか
- 外部専門機関が実施した検証の範囲と基準
- 当局対応が再開日程にどの程度影響したか
- 各確認作業に要した具体的な期間
したがって、「当局が再開を止めていた」「大規模なシステム侵害があった」といった説明は、公表情報からは導けません。
一方で、BTCBOX自身が業務管理体制、システム、再発防止策、安全性を確認対象として挙げたこと、外部専門機関の確認完了後に一部だけ再開したことは事実です。この二つが、単純な定期メンテナンスでは約半年を説明できない根拠になります。
利用者が再開時に確認すべきこと
再開日は、認証情報を狙うフィッシングへの警戒が特に必要なタイミングです。 BTCBOXも、メール、電話、SNSでパスワードや認証コードの入力・提供を求めることはないと注意喚起しています。
初回ログイン前に、次を確認してください。
- メール内のリンクではなく、事前に登録したブックマークから公式サイトへアクセスする
- 2段階認証とパスキーの設定手順を公式サポートで確認する
- ログイン後に残高と登録情報を確認する
- 必要なら残高証明書を申請する
- 入庫前に、出庫と売買がまだ停止中であることを確認する
- 日本円出金や各サービスの再開日が変更されていないか確認する
今後の最大の注目点は、9月以降とされた売買・暗号資産出庫の具体的な日程です。BTCBOXには、全面再開だけでなく、調査で何が判明し、外部関係先の管理や問い合わせ体制をどう変えたのかを説明することも求められます。
約半年を要した理由の全容を利用者が検証できるのは、再開日ではありません。再発防止策と未再開機能の判断基準が、具体的に開示された時です。