約1兆円流出のバイナンス、約4700億円を凍結 出金と資産補填が進む
2026年11月3日 17:02
暗号資産取引所バイナンス（Binance）は、2026年10月29日に発生した約63億ドル（約9950億円）規模の不正流出を受け、11月1日から出金を段階的に再開した。同社によると、11月2日の発表時点で流出資産の約95％を自己資金などで補充している。米連邦捜査局（FBI）は、北朝鮮による犯行と認定した。
Binanceは、発行体や分析企業などとの協力で約30億ドル（約4740億円）の資産を凍結したと発表している。今回の対応では、発行体による送金制限、盗難資産の返還、取引所自身による損失補填という、それぞれ異なる仕組みが重要な役割を担っている。
■複数のブロックチェーンで資産が流出
Binanceによると、ホットウォレットが侵害されたのは10月29日20時05分ごろ（日本時間30日5時05分ごろ）だ。ホットウォレットは、利用者の出金などを処理するため、インターネットに接続して運用するウォレットである。
ブロックチェーン分析企業TRM Labsは、10のブロックチェーンで攻撃者側への送金を追跡し、流出時の価格で約63億6000万ドル（約1兆円）と推計した。大半は約20分に集中したが、その後も流出が続いたとしている。同社の集計では、ドル建て被害額で過去最大の暗号資産窃取となる。
対象にはEthereum、Bitcoin、Tron、XRP Ledger、Solanaなどが含まれる。Ethereum上で実行権限の委任が悪用された一方、ほかのネットワークでは通常の署名付き送金が使われており、複数のウォレットにまたがる攻撃だった。
Binanceは取引高で世界最大の暗号資産取引所で、同社の2026年7月発表によると登録利用者は3億2300万人を超える。事件後には入出金を一時停止し、ロイターによると、予防措置としてBinance Alphaの取引も停止した。
■Ethereumの委任機能を使った攻撃
Ethereumは2025年5月7日の「Pectra（ペクトラ）」アップグレードでEIP-7702を導入した。通常のアカウントが、署名した認可によってスマートコントラクトのコードを実行できるようにする機能だ。複数操作の一括処理や手数料の第三者負担など、ウォレットの使い勝手を改善する用途がある。
委任先のコードは、アカウントの資産を操作する権限を持つ。委任設定はトランザクションの終了後も残り、新たな認可によって変更・解除するまで有効となる。このため、委任先の選定と認可の内容がセキュリティ上の重要な確認事項になる。
セキュリティ企業Blockaidの分析によると、攻撃者は10月28日からTornado Cash経由で3回、準備用ウォレットに資金を入れた。29日には自ら管理する3つのウォレットで委任と資産移動を試し、同日15時59分（UTC）に本番で使う資産回収用のコントラクトを配置した。
20時20分59秒（UTC）、攻撃者は「Binance 14」と呼ばれるEthereumウォレットについて、連続するnonceに対応する50件の署名済み認可を一つのトランザクションにまとめた。nonceはアカウントの取引順序を管理する番号で、50件のうち1件が実行時の番号と一致し、悪性コントラクトへの委任が成立した。
3分24秒後の20時24分23秒、約16万7464ETHと63種類のトークンが移された。その後は、別のスマートアカウントを操作する権限も使って計約8億2300万USDCが引き出され、新たに入金された資産も繰り返し移された。TRM Labsは、追加の回収操作を20時41分から23時56分まで6回確認している。
■焦点となる署名インフラの保護
Binanceは初期調査で、DevOpsエンジニアのノートPCの侵害がサービスコンテナへのアクセスにつながった可能性を示した。その後、リチャード・テン共同CEOは、追加の侵入箇所が見つかったと説明した。秘密鍵の流出については、同社は調査時点で証拠を確認していないとしている。
TRM Labsは、異なるネットワークのウォレットで有効な署名が相次いで生成されたことから、取引所の署名インフラが侵害された可能性を重視している。署名インフラとは、ウォレットからの資産移動を認可するシステムである。署名済みの委任を得た攻撃者は、その後も委任先のコードを呼び出して資産を移せた。
Cointelegraphの取材に対し、Blockaidのイド・ベンナタンCEOは、EIP-7702が資産移動の一括実行や、一部の確認手続きを回避する手段になった可能性を指摘した。同氏は、不適切な取引要求を署名前のシミュレーションで検出することが対策になり得ると述べている。
悪用のリスクは導入初期から報告されていた。CoinDeskが2025年6月2日に伝えたWintermuteの分析では、当時のEIP-7702委任の80％超が、秘密鍵の漏れたウォレットから資産を自動回収する「CrimeEnjoyor」系の使い回されたコントラクトに向けられていた。SlowMistとScam Snifferも、導入後の一括処理機能を悪用したフィッシング被害を報告している。
今回の事件は、出金処理だけでなく、アカウントの動作を変える認可も署名時の審査対象になることを示している。資産移動の監視に加え、委任先の変更を検知し、侵害時には残存する委任を解除する運用も重要となる。
■FBIが北朝鮮による犯行と認定
FBIは10月31日、60億ドル（約9480億円）を超える今回の窃取を北朝鮮によるものと認定し、関連する活動を「TraderTraitor」と呼んでいると発表した。米シークレットサービス、米内国歳入庁犯罪捜査部門（IRS-CI）とともに、盗難資産が主にETHへ交換される動きを確認したという。
FBIは、その後の資金洗浄に分散型金融（DeFi）や即時交換サービスが使われると予想している。関連アドレスを公開し、取引所や分析企業、各種サービス事業者に、該当資産の取引を阻止するよう求めた。
TRM Labsは事件直後、オンチェーン・オフチェーン双方の情報を根拠に、TraderTraitorの関与を高い確信度で指摘していた。AP通信によると、Chainalysisの共同創業者兼CEOジョナサン・レヴィンも同組織の関与が疑われるとの見方を示した。
TraderTraitorは、Jade Sleet、UNC4899、Slow Piscesなどの名称でも追跡されている。FBIなどは、2025年2月のBybitからの約15億ドル（約2370億円）の窃取や、2024年のDMM Bitcoinからの約3億800万ドルの窃取についても、同活動の関与を認定している。
北朝鮮による暗号資産窃取は、武器開発の資金源としても問題視されている。米国家情報長官室は2026年の脅威評価で、2025年の暗号資産窃取による収入が、戦略兵器開発を含む北朝鮮政権の資金を支えていると評価した。AP通信によると、トランプ大統領も10月30日、今回の事件を米当局が調査していると述べた。
■発行体による凍結と資産返還の手続き
Tetherは11月2日、今回の事件に関連し、同社の説明では攻撃から30分以内に15億ドル（約2370億円）超のUSDTを凍結したと発表した。Circleのジェレミー・アレールCEOも、法執行機関と連携して8億ドル（約1260億円）超のUSDCを凍結したと公表している。
RippleとWorld Liberty Financialも凍結に動いた。Hackenの分析では、オンチェーンで確認された額はRippleの4050万RLUSD、World Liberty Financialの約2780万USD1だった。RippleについてBinance側が説明した約2億ドルは、流出防止を含む支援の説明で使われた数字である。
分析企業Ellipticは、11月1日5時50分（UTC）ごろの価格と残高に基づき、凍結・差し押さえ済みの資産を約28億5000万ドル（約4500億円）、同社推計の被害総額の44％と集計した。94％がステーブルコインで、ネットワーク側の緊急対応で確保された資産も含む。Binanceの公表値は約30億ドル（約4740億円）となっている。
USDCなどには、発行体が特定アドレスの送受信を制限する機能がある。Circleは、法執行機関からの指示や裁判所命令など、限定された状況でこの機能を用いるとしている。こうした機能は、盗難後の資産移動を止める手段となる。
凍結した資産を返す際には、受け取る権利を持つ主体と返還の法的根拠を確認する必要がある。CoinDeskが取材したNEOSLegalのイリーナ・ヒーバーによると、状況に応じて凍結トークンを無効化し、正当な所有者へ再発行する方法もある。資産が別の取引所や保管業者に移った場合などには、複数法域の裁判所命令が必要になる可能性がある。
■BTC・ETHの追跡と、対応の公平性
BitcoinやEthereum上のネイティブ資産であるBTC・ETHには、発行企業が送金を止める仕組みがない。TRM Labsは10月30日0時30分（UTC）時点で、攻撃者が42万ETH超と1万8270BTC、計約24億ドル（約3790億円）相当を保有していると分析した。これは、その時点の保有額である。
取引所などは、関連アドレスを識別して自社サービスでの受け入れや交換を制限できる。捜査機関による追跡とサービス事業者の対応が、資金洗浄を阻む手段となる。Ellipticによると、攻撃者は凍結に先立ち、約7億8600万ドル（約1240億円）のステーブルコインをETHやTRXへ交換していた。
発行体の対応については、公平性を巡る議論も出ている。CoinDeskによると、Forteで取引所向け事業を担当するアントン・ゴルブは凍結を支持しつつ、小規模な被害者にも同様の対応が行われるべきだと指摘した。New Market Tradingのフランク・ヘップワースは、誤った凍結に伴う責任や運用負担を挙げている。
同じ取材で、Nordic Lawのマックス・アタラは、発行体が持つ凍結権限と所有権の判断を区別した。CertiKのステファン・ミュールバウアーは、善意の凍結を支える明確な法的基準と保護があれば、被害規模を問わず迅速な対応を広げやすくなると述べた。
■自己資金による補填と出金再開
Binanceは、SAFU基金と会社資金で損失を負担すると表明した。10月30日の発表では63億4000万ドル（約1兆円）超を確保し、このうち約50億ドル（約7900億円）をUSDC、USDT、BTC、ETH、BNBなど流出したものと同じ資産で保有していた。残りは市場や店頭取引（OTC）で調達すると説明した。
SAFUは2018年7月に設立され、取引手数料の一部を積み立ててきた緊急準備基金だ。2019年に7000BTC、当時約4000万ドル（約63億2000万円）が流出した際にも補填に用いられた。The Blockによると、2026年2月には約10億ドル（約1580億円）分の準備資産を計1万5000BTCへ転換している。
Binanceは10月31日、流出資産の90％を補充したと発表し、SAFUの一部や先物保険基金の余剰分も活用すると説明した。11月2日には補充率を約95％とし、残る5％は流動性が低く、大量調達に時間を要するトークンだとしている。
出金は11月1日からネットワークと資産ごとに順次再開された。第1段階にはBTC、Ethereum上のETH・USDT・USDC、BNB Smart Chain上のBNBなどが含まれる。同社は11月2日、10月31日時点の準備資産証明（PoR）について、対象10資産の残高を利用者が検証できる証明を公開した。
Binanceは侵害された認可の取り消しやインフラの安全確認を進め、調査完了後に技術報告を公表する方針だ。共同CEOの何一（イー・ハー）は、Crypto Briefingが伝えた10月30日の発言で、保有するSpaceX株式を売却せずに、収益で損失を賄えるとの見方を示した。
■日本法人の対応と市場への影響
Binance Japanは10月30日、ウォレットシステムと残高を再点検し、顧客から預かる全資産の安全な保管を確認したと発表した。顧客の暗号資産は国内法令に従って同社のコールドウォレットで管理し、被害を受けたグローバルのホットウォレットとは別に保管しているという。
日本法人も予防措置として出庫を一時停止したが、11月1日に順次再開したと発表した。国内利用者に関わるサービスの再開状況は、Binance Japanが個別に案内している。
事件公表後には暗号資産市場も下落した。Cointelegraphが10月30日1時19分（UTC）に更新した報道によると、BNBは24時間で約8.2％下落して約693ドル（約10万9000円）、Bitcoinは4.8％下落して約7万7131ドル（約1220万円）、ETHは5.7％下落して約2217ドル（約35万円）となった。市場心理を示すFear & Greed Indexは30の「恐怖」圏だった。
CoinDeskは10月30日、暗号資産先物の24時間の清算額を約15億7000万ドル（約2480億円）と報じた。株式市場では同日の取引中、CoinbaseとStrategyの株価が約12％下落したと伝えている。CircleとCoinbaseにはUSDC準備資産の収益を分配する契約があり、ステーブルコイン事業は両社の収益にも関わる。
市場ごとの価格差も生じた。ブロックチェーンデータ企業Bitqueryによると、攻撃者の交換取引が集中したEthereum上の大規模プールでは、USDTがUSDCに対して一時2〜10％下落し、価格差は1時間以内に縮小した。巨額流出への対応では、署名権限の管理、発行体やネットワークによる資産確保、取引所の補填能力がそれぞれ問われている。
元記事: North Korea Hacked Binance: Your Stablecoins Were Recoverable; Your Bitcoin Was Not