仮想通貨取引所のセキュリティランキング【2026年】

国内8社セキュリティ比較表

※1 「公表事例の確認なし」＝顧客資産の流出被害の公表事例が確認できない、の意味です（本ページの最終更新日時点・当サイト調べ。各社公式サイトの公表内容に基づきます）。将来の被害がないことを示すものではありません。
※2 登録番号はいずれも金融庁「暗号資産交換業者登録一覧」（令和8年6月30日現在）に記載された関東財務局長への登録番号です。

「コールドウォレット管理だから安心」は半分だけ正しい——法律が決めた最低ライン

取引所の公式サイトを見比べると、ほぼ全社が「コールドウォレットで保管」を掲げています。ただ、コールドウォレット中心の保管は各社の善意でも宣伝文句でもなく、全登録業者に課された法律上の義務です。

根拠は3つの条文にあります。

• 資金決済法63条の11：顧客の金銭は自社の金銭と分別し、信託会社等に信託しなければなりません。顧客の暗号資産も自社分と分別して管理する義務があります。
• 暗号資産交換業者に関する内閣府令27条：利便のためにホットウォレット等で管理できる顧客の暗号資産は、日本円換算で利用者の暗号資産の5%相当を超えない範囲に限られます。残りは「常時インターネットに接続していない電子機器等」——つまりコールドウォレット等での管理が求められます。よく見かける「95%以上をコールドで管理」という言い方は、この条文（ホット側5%上限）の裏返しの換算表現です。
• 資金決済法63条の11の2：ホット側で管理する分については、同じ種類・同じ数量の暗号資産（履行保証暗号資産）を自社の資産として別に保有し、分別管理する義務があります。ホットから流出しても、同種同量の弁済原資が確保されている建て付けです。

※「95%以上コールド」は条文（ホット側5%上限）の裏返しの換算表現です。図は資金決済法63条の11・63条の11の2、暗号資産交換業者に関する内閣府令27条に基づきます。

さらに管理状況は公認会計士または監査法人の定期監査を受ける義務があり、業界側にも一般社団法人日本暗号資産等取引業協会（JVCEA・事業会員32会員）の自主規制があります。「暗号資産交換業に係る利用者財産の管理等に関する規則・ガイドライン」など、法令の上に自主規制を重ねた二重構造です。コールドウォレットとホットウォレットの技術的な違いはウォレットの仕組み解説で、複数の署名を要求するマルチシグと秘密鍵の仕組みは秘密鍵の解説で詳しく扱っています。

この前提に立つと、比較すべき点が変わります。「コールド保管かどうか」は全社が満たすべき底なので、差がつくのはその上に何を積んで、どこまで公表しているかです。預託分すべてか、ホット併用か。金銭の信託先はどこか。二段階認証を必須にしているか。本ページのランキングは、この「法定ラインからの上乗せ」を採点しています。

規制はさらに動く——2026年の金商法移管

2026年7月15日、暗号資産取引の規制を資金決済法から金融商品取引法へ移す改正法が成立し、7月23日に公布されました（法律第64号）。移管部分の施行は公布から1年以内の政令で定める日で、具体的な施行日はまだ決まっていません。暗号資産が投資対象として位置付けられている実態を踏まえ、利用者保護を充実させる方向の改正です。事件のたびに規制が積み上がってきた流れは、トラベルルール導入の経緯にも表れています。

セキュリティで選ぶ取引所ランキング【上位5社＋番外】

順位は前章までの評価基準（公式公表ベース・5軸）によるものです。各社に長所と注意点の両方を記載します。

日本の取引所ハッキング事件史——事件のたびに規制は強化された

国内の規制がなぜ「ホット5%上限」「金銭信託」「履行保証」まで踏み込んでいるのか。答えは事件史にあります。

※年表は本ページの最終更新日時点で確認できた公表資料・報道に基づきます。

年表を通して見えるのは、被害と規制のいたちごっこではなく、事件のたびに規制の底が一段ずつ上がってきた流れです。2018年のCoincheck事件を境に、コールド管理義務・ホット5%上限・履行保証暗号資産という現在の枠組みが形づくられました。2018年6月22日にはbitFlyerも内部管理態勢の指摘で行政処分を受けており、流出の有無にかかわらず態勢面へ監督が及んだ年でもあります。

DMMビットコイン事件の顛末——国家級攻撃でも資産が返った仕組み

2024年5月のDMMビットコイン事件は、国内の事件史の中でも特異です。攻撃者が国家を背景とするグループであり、侵入経路が取引所本体ではなく委託先だったからです。

警察庁とGincoの公表によれば、経緯は次のとおりです。2024年3月下旬、TraderTraitor（北朝鮮当局の下部組織とされるLazarus Groupの一部とされるグループ）は、LinkedIn上でリクルーターになりすまし、企業向け暗号資産ウォレットソフトウェア会社Gincoの従業員に接触しました。GitHub上に置いた「採用前試験」を装う悪意あるPythonスクリプトを実行させて業務端末を侵害し、クラウド上の本番環境へアクセスできる認証情報を窃取。2024年5月24日から31日の間に不正アクセスを行い、セッションクッキーを悪用して従業員になりすまし、DMM従業員による正規取引のリクエストを改ざんしました。その結果、4502.9BTC（当時約482億円相当）が流出しました。

2024年12月24日、警察庁はFBI・米国国防省サイバー犯罪センター（DC3）とともにこの攻撃をTraderTraitorによるものと特定して公表し、同日、警察庁・NISC・金融庁の連名で注意喚起が出されました。Gincoも2025年1月28日に報告を公表しています。

そして利用者側の結末です。DMMビットコインは2024年12月25日、SBI VCトレードとの間で口座・預かり資産の移管の本契約を公表し、2025年3月8日に移管が実施されました。対象は2025年3月4日時点で口座を持っていた全顧客、移管対象は日本円と現物暗号資産です（レバレッジ取引の未決済ポジションは対象外）。DMMビットコインの名前は、令和8年6月30日現在の登録一覧にありません。

ヒナコ

取引所本体ではなく、委託先のウォレット会社の従業員が狙われたんですね。利用者からは見えない場所で起きた攻撃だったと知って驚きました。

トシ

そこがこの事件の核心だ。取引所単体の対策では防ぎきれない攻撃が現実に起きた。偽のリクルーターからの連絡という入口は、どの会社の従業員にも起こり得る。

ヒナコ

それでも利用者の資産が返ってきたのは、なぜですか？

トシ

分別管理と履行保証という制度の土台、そしてグループでの受け皿と調達力が働いたからだ。約482億円の流出でも顧客の口座と資産が移管まで到達した事実は、制度と運営基盤の両方を評価材料にする理由になる。登録一覧から姿を消す結末まで含めて記憶しておきたい事件だ。

世界大手でも破られた——Bybit事件の教訓

「大手の体制なら破られない」と言い切れないことを示したのが、海外取引所Bybitの事件です。FBIは2025年2月26日の公開注意喚起（Alert Number: I-022625-PSA）で、2025年2月21日頃にBybitから約15億ドル相当の仮想資産が窃取され、実行主体は北朝鮮だと公表しました。FBIはこの活動をTraderTraitorと呼んでおり、DMMビットコイン事件と同じ呼称です。窃取された資産の一部はビットコイン等に転換され、複数のブロックチェーン上の数千のアドレスに分散されたとされています。

FBIの注意喚起は侵入手口の詳細までは記していません。それでも、世界規模の取引所であっても、保管を含む体制の「運用」のどこかが破られれば大規模流出は起こり得ます。コールドウォレットは保管場所の性質を示す言葉であって、資産を移動させる手続きまで含めて無敵になる仕組みではありません。

国内規制の相対的な価値も、ここで見えてきます。ホット5%上限・履行保証・金銭信託という日本の枠組みは、「流出を起こさない」ことだけでなく「流出が起きた後に利用者へ返す原資を残す」ことに重心を置いた設計です。それでも流出リスクがゼロになることはありません。この前提は、どの取引所を選んでも変わりません。

ハッキングされたら補償される？破綻したら？

補償の話は、2つの異なる仕組みを分けると理解しやすくなります。

1つめは、取引所がハッキングされて顧客の暗号資産が流出した場合の対応です。この場合の全額補償に法的な義務はありません。過去の事例では、Coincheckが保有数×88.549円の日本円補償を2018年3月12日に完了し、BITPointは顧客預り分の全5銘柄・全量について流出分相当の暗号資産を調達済みと公表しました（預かり法定通貨は流出なし）。つまり実例としては補償・充当が行われてきましたが、それは各社の自主対応と、履行保証・分別管理という制度の土台があったからです。

2つめは、個人アカウントへの不正ログイン・不正出金に対する補償規程です。こちらは各社の規程次第で、8社の公式ページを横断して確認した範囲では、現行の補償規程を明文化している社はありませんでした。かつてbitFlyerに、二段階認証を設定した利用者を対象とする上限500万円（預かり資産100万円以下の場合は10万円）の補償制度がありましたが、2021年6月1日16:00をもって終了したと公式に明記されています。

破綻した場合は、分別管理と金銭信託が働きます。顧客の金銭は信託会社等に信託されているため、取引所の自己資産とは切り離されています。楽天ウォレットは、破綻時に受益者代理人である外部の弁護士を通じて顧客へ直接返還される仕組みまで公表しています。実例としては、DMMビットコインの口座・預かり資産が2025年3月8日にSBI VCトレードへ移管され、登録一覧から名前が消えた取引所から顧客資産が引き継がれた経緯があります。

銀行預金との違いには注意が必要です。銀行預金には預金保険制度という公的なセーフティネットがありますが（詳細は銀行の預金保険とセキュリティの解説）、暗号資産に同種の公的保護はありません。分別管理も信託も「返還のための仕組み」であって、元本保証ではないうえ、価格変動による損失はそもそも補償の対象外です。楽天ウォレット自身が「資産の全額を返還することを保証するものではございません」と注記しているとおり、仕組みの限界まで含めて理解した上で使う商品です。

取引所任せにしない——利用者側の防衛は3点だけ

過去の被害には、取引所側の体制と関係なく、利用者のアカウントが破られて起きるものもあります。守りの要点は3つです。

• 二段階認証はSMSではなくアプリ型を使う。GMOコインは出金・送付時等、楽天ウォレットはログイン・出金・出庫・チャージで必須化していますが、必須化されていない取引所でも自分で設定できます。
• 出金先アドレスの管理とログイン通知を放置しない。ログイン履歴の通知メールは、不正アクセスに最初に気づける手がかりです。
• フィッシングを疑う癖をつける。偽サイトへの誘導だけでなく、DMMビットコイン事件の入口はLinkedInの偽リクルーターからのDMでした。「うまい話の連絡」は個人にも届きます。

設定手順やパスワード管理の具体策は仮想通貨のセキュリティ防衛術で詳しく解説しています。