Binanceのホットウォレットからの不正出金

経緯

CoinPostは、Binanceの創業者のCZ氏がXで「バイナンスに対するハッキングのようだ」との見方を示し、ユーザー資金は安全だと明言したと報じた⁠［21］。

Binanceは10月30日の最初の告知で、DevOps担当エンジニアのノートPCの侵害が関わっている可能性が初期調査で浮かんだと説明した⁠［1］。Binanceの見方では、攻撃者はこのノートPCを経由してサービスコンテナのアクセス権を得て、不正な出金取引を送信した⁠［1］。ウォレットの秘密鍵が漏えいした証拠は見つかっておらず、利用者の資金は安全だとした⁠［1］。

Binanceは第2報で、その後の調査で追加の侵入箇所が見つかったと説明した⁠［2］。調査は続いており、社内外のセキュリティの専門家と、攻撃の全過程の把握、すべての要因の特定、同様の事態を防ぐ適切な措置の決定を進めている⁠［2］。

Ellipticの報告では、Binanceの共同CEOのリチャード・テン氏は10月30日の動画で、攻撃は1人で行われたものではないと述べた⁠［15］。テン氏は、攻撃者が実行中に道具と痕跡を消す自己破壊の仕組みを使い、調査を難しくしたとも述べた⁠［15］。攻撃者によるEIP-7702の委任は、通常の承認の統制を通らなかったとした⁠［15］。The Hacker Newsは、テン氏が、攻撃者は1人のエンジニアの権限を使っただけではなく、調査は責任を個人に帰していないと述べたと報じた⁠［26］。

分析会社が示した手口

TRM Labsは、準備が窃取の少なくとも36時間前に始まっていたと報告した⁠［13］。Ellipticは、攻撃者が10月29日15時59分（UTC）に、攻撃に使うスイーパーのコントラクトをデプロイしたとした⁠［15］。このスイーパーは、Binanceに使われる約4時間前に、別のウォレットで予行されていた⁠［15］。

TRMの報告では、攻撃者はEthereumでEIP-7702の委任を使い、Binanceのホットウォレットを自らが操るスイーパーに変えた⁠［13］。攻撃には、事前に署名された50件の承認が用意されていた⁠［13］。うち1件が合致し、攻撃者にはそれで足りた⁠［13］。

Ellipticは、攻撃者が20時20分（UTC）に、50件の承認を載せた単一の取引を送ったと報告した⁠［15］。承認はいずれも、Binance 14と呼ばれるホットウォレットの鍵で正しく署名されていた⁠［15］。

Blockaidの報告では、承認はナンス18,914,775〜18,914,824のそれぞれに対応していた⁠［17］。攻撃者の運用ウォレットは20時24分（UTC）にBinance 14のスイープを実行し、Binance 14には1 ETHが残った⁠［17］。履歴の無い回収用のアドレスに送られたのは167,464 ETH、16.15億USDT、ほか約60のトークンで、当時の価格で約25億ドルだった⁠［17］。スイープの24秒後には、Binance 16も同じアドレスに28,005.6 ETH、5,570万USDT、2,590万RLUSD、84.5 WBTCとほか5つのトークンを送った⁠［17］。

Blockaidは、その後12分以内にOptimismのBinance 55、Arbitrumの4つのホットウォレット、Avalancheの4つのホットウォレットからも送金があり、これらのウォレットはコードを持っていなかったと報告した⁠［17］。運用ウォレットは20時41分（UTC）に、委任が残ったBinance 14を使い、Binance 14が所有するCircleのスマートアカウントから7億8,000万USDCと4,300万USDCを回収用のアドレスへ移した⁠［17］。21時44分（UTC）には、最初のスイープの後に入金された2億USDTと13のトークンを、Binance 14から再びスイープした⁠［17］。Blockaidは、11のBinanceのホットウォレットの鍵が、数分前に作られたアドレスへの送金に署名したとした⁠［17］。

TRMの報告では、同じ時間帯に、ほかの9つのチェーンではBinanceのウォレットが通常の署名付きの送金で攻撃者に資金を送った⁠［13］。TRMは、攻撃者がBinanceのホットウォレットの署名システムに、任意の取引を署名させる能力を得た可能性が最も高いと評価した⁠［13］。LlamaRiskはAaveのガバナンスフォーラムへの投稿で、23時4分（UTC）にAvalancheで444,537 AVAXの2回目の流入があったことから、侵害は2時間以上後も続いていたとみられるとした⁠［9］。

資金の移動と洗浄

Chainalysisは、攻撃者が凍結を避けるため、3億2,500万ドルのステーブルコインを、20分近くかけて2億8,500万ドル分のETHに換えたと報告した⁠［14］。洗浄には自動化の兆候があり、数千件の取引で、多くのアドレスが最初にちょうど1 TRXを受け取っていた⁠［14］。

LlamaRiskの投稿によると、攻撃者のクラスター内のウォレットの一つが、Aave V3 Ethereum Coreに6,000万USDTを供給し、19,762 WETHを借りた⁠［9］。Aaveの最初の凍結の約40分前のことだった⁠［9］。

Ellipticは、10月31日8時11分（UTC）時点の分析で、Tronの主要な分配ウォレットが31時間続けて毎時送金し、最長の停止は46分で、夜間の休止は無かったと報告した⁠［16］。Ellipticは、このパターンはほぼ確実にソフトウェアによるものだとした⁠［16］。THORChainには、計約3,100万ドルが流れた⁠［16］。Ellipticは、窃取に結び付くアドレスの無料のブロックリストを公開し、収録したアドレスは8,000件を超えた⁠［15］。

攻撃者の帰属

CoinPostが伝えたFBIの声明では、FBIはハッキングを把握しており、活動の範囲の把握、影響の評価、適切な捜査手順の調整のため、官民の関係先と連携している⁠［24］。トランプ大統領は10月30日、北朝鮮の関与について記者団に「まだ分からない。調べているんだ」と答えた⁠［24］。

TRM Labsは、攻撃の実行者を北朝鮮のTraderTraitorと評価し、この判断の確信度は高いと書いた⁠［13］。根拠には、オンチェーンの情報とオフチェーンの情報の両方を挙げた⁠［13］。TRMは、今回の攻撃のいくつかの特徴が、2025年2月のBybitや2026年4月のKelpDAOなど、北朝鮮に関連する過去の窃取と一致するとした⁠［13］。The Hacker Newsは、TraderTraitorはJade Sleet、Pressure Chollima、PUKCHONG、Slow Pisces、UNC4899としても追跡されている北朝鮮系の集団だと報じた⁠［27］。

Chainalysisの10月30日の発表では、攻撃を実行したのは北朝鮮のサイバー犯罪集団TraderTraitorだった⁠［14］。盗まれたBinanceの資金は、北朝鮮によるものとされた先月のBitgetの窃取の資金と、オンチェーンで混ざっていた⁠［14］。Ellipticは、Binanceの資金を洗浄する者と、TraderTraitorによるとされるBigONE、WOO X、AFXの過去の窃取の実行者とのあいだに、共通のサービスの利用を見つけた⁠［15］。

AFPBB Newsによると、FBIは声明で、10月29日前後にBinanceから60億ドル超相当の暗号資産が盗まれた事件について「その責任は北朝鮮にある」と述べた⁠［20］。Ellipticは、FBIが以前にもBybitとDMM Bitcoinからの窃取をTraderTraitorによるものとしていたと書いた⁠［15］。

Hackreadは、FBIがこの活動をTraderTraitorと呼び、盗まれた資金に結び付く暗号資産のアドレスを公表したと報じた⁠［28］。注意喚起が挙げたアドレスのうち、Ethereumのものは608件だった⁠［28］。残りはBitcoinの19件とSolanaの1件だった⁠［28］。FBI、米シークレットサービス、IRS犯罪捜査部の捜査官は、攻撃者が盗んだ資産を主にEthereumに換えているのを観測し、DeFiと即時の暗号資産交換サービスでさらに洗浄されると見込んだ⁠［28］。

Hackreadによると、各機関は、掲載したアドレスとの取引と、そこから派生した資金の取引を遮断するよう、暗号資産の事業者と基盤の運営者に求めた⁠［28］。求めた先には、THORNodeの運営者、RPCノードの運営者、即時交換のサービス、DeFiのサービス、ブロックチェーン分析会社、その他の暗号資産サービス事業者が含まれる⁠［28］。

目次へ

時系列

目次へ

影響範囲

TRM Labsの集計では、攻撃者は10のブロックチェーン〔注2〕でBinanceのウォレットから資産を移し、大半は20時5分（UTC）からの約20分間に動いた⁠［13］。TRMの数値は、10月30日0時30分（UTC）時点のオンチェーンの観測による⁠［13］。

発行体やネットワークによる凍結

CircleとTetherのCEOは、それぞれXに凍結についての投稿を出した⁠［10、11、25、26］。

ニューズウィーク日本版が掲載したロイターの記事によると、World Liberty Financialは、カストディ会社のビットゴーと協力して資金を凍結したと発表した⁠［19］。Ellipticは、10月31日にOptimismのガバナンスが、攻撃者のアドレスから4,400万OP（約500万ドル）を移したとみられるとした⁠［15］。

Arbitrumのガバナンスフォーラムに掲載された告知では、Security Councilは、Ethereum上のinboxコントラクトをアップグレードし、資金を凍結し、元の実装に戻す一連の処理で凍結を実行した⁠［8］。取引はArbitrumの貢献者が用意し、Security Councilが検証してから署名・実行した⁠［8］。凍結した資金は、関係者と調整するArbitrumDAOのガバナンス投票によってだけ動かせる⁠［8］。ほかの利用者の資金やアプリケーションに影響は無かった⁠［8］。

LlamaRiskによると、凍結したのはAave V3の16のネットワークの175のリザーブと、Aave V4の4つのネットワークの117のリザーブだった⁠［9］。凍結は新規の供給と借入を止めるもので、返済・引き出し・清算は続く⁠［9］。10月30日13時49分（UTC）の追記では、凍結を4段階で戻す計画を示し、Aave V3で凍結したリザーブはLTVを当面0にしたまま凍結を解いた⁠［9］。攻撃者のクラスターが持つUSDT・USDC・USDT0・POL・WAVAX・sAVAX・XAUt・PAXG・OPは、ブリッジ版とラップ版を含め、Aave V3ではLTVを0、Aave V4では担保係数を0のまま残す⁠［9］。

TRMの観測では、攻撃者は、発行体が凍結できない資産として42万ETH超と18,270 BTC（約24億ドル）を持っていた⁠［13］。Ellipticは、Bitcoin、XRP Ledger、Solana、NEARで盗まれた分は、凍結できる発行体が無いため凍結されていないとした⁠［15］。Ellipticの集計では、攻撃者は発行体が凍結できない資産を、集計時の価格で約32.5億ドル分、800超のアドレスに持っている⁠［15］。

目次へ

対応と現状

Binanceは最初の告知で、即時の予防措置をとったと説明した⁠［1］。

• セキュリティチェックが終わるまで、出金を一時停止した⁠［1］。
• 影響を受けたアドレスの承認を取り消した⁠［1］。
• 資金の追跡と回収のため、ブロックチェーン分析の協力先および法執行機関と連携した⁠［1］。

ITmedia NEWSの記事では、Binanceは出金や一部の取引、預け入れを順次止め、最終的に全面停止に至った⁠［18］。Binanceは10月30日に最初の告知を更新し、入金には影響が無く、平常どおり稼働していると明記した⁠［1］。第2報では、侵害された基盤を封じ込め、さらなる不正を防ぐ追加の制御を導入し、影響を受けた基盤全体のセキュリティチェックを強化したと説明した⁠［2］。

補填と出金の再開

Binanceは第2報で、盗まれた資金の財務上の影響は利用者ではなくBinanceが負い、SAFU（Secure Asset Fund for Users）と会社の財務資金で補填するとした⁠［2］。会社の資金として63.4億ドル超を確保し、うち50億ドルはUSDC・USDT・BTC・ETH・BNBなど、盗まれたのと同じトークン資産で持っている⁠［2］。これにより影響額の約80%を補填したとし、残りのトークン資産を市場とOTCで購入していた⁠［2］。セキュリティチェックの完了を条件に、約34時間以内に出金サービスの段階的な再開に着手することを目標とした⁠［2］。

10月31日の第3報では、補填した額が影響額の90%に達した⁠［3］。BTC・ETH・USDT・BNB・SOL・USDC・XRP・USD1・RLUSD・ZECは、すべて100%裏付けられている⁠［3］。残る10%はこれら上位10銘柄以外のトークンで、全トークンが100%になるまで市場とOTCで購入を続ける⁠［3］。

Binanceは第3報で、補填の原資を、SAFUの一部の投入、先物保険基金の一部、Binance自身の財務資金とした⁠［3］。SAFUは、極端な場合に利用者の資産を守るため、Binanceが2018年7月に設けた緊急の準備基金である⁠［3］。SAFUの一部の投入はその後の24時間で行う見込みで、先物保険基金の残りは規制上の要件だとした⁠［3］。Binanceは、SAFUを補充し、規模を約10億米ドルに戻すと約束した⁠［3］。

同じ第3報では、10月31日0時（UTC）に準備金証明（Proof of Reserves）の新たなスナップショットを取り、そのサイトを更新した⁠［3］。完全なゼロ知識証明の生成には約40〜50時間かかり、11月3日（UTC）までに終わる見込みだとした⁠［3］。

第4報によると、補填の残る5%は上位10銘柄以外のトークンで、市場の流動性が低く、必要な規模の調達に時間がかかる⁠［4］。出金の第1段階は、11月1日6時〜9時（UTC）に再開する準備を進めていた⁠［4］。対象は、BTC・ETH・BSC・TRX・SOL・XRP・ZEC・DOGE・TON・MATIC（Polygon）・AVAXC・ARBITRUM・BASE・OP（Optimism）・SUIの15のネットワークと、それぞれの資産だった⁠［4］。Binanceは、過去1週間の利用者の需要に基づいてトークンの優先順位を決め、安定性とセキュリティの確認を終えてから再開すると説明した⁠［4］。

Binanceは第4報で、出金を止めていた間にチームが行った対応を挙げた⁠［4］。

• 影響を受けたサービスのセキュリティレビューを強化して行った⁠［4］。
• 出金の基盤を評価し、運用の準備ができているかを確かめた⁠［4］。
• 法執行機関と業界のパートナーと、盗まれた資金の追跡と回収を進めた⁠［4］。
• 会社の資源で、影響を受けた資産を補填した⁠［4］。
• 残るリスクを監視した⁠［4］。

国内の事業者の対応

Binance Japanの第一報によると、Binanceの取引システムで10月30日未明（日本時間）から「セキュリティ事案」が確認されたが、その段階でBinance Japanの顧客資産への影響は確認されていなかった⁠［5］。入出庫の停止は安全確認のためで、Binanceの取引システム上の取引は続けられるとした⁠［5］。利用者には、不審なURLや連絡に反応しないよう求めた⁠［5］。

Binance Japanは続く告知で、ウォレットシステムと残高の点検を改めて実施したと説明した⁠［6］。顧客から預かる暗号資産は、本邦法令に従いBinance Japanのコールドウォレットで管理している⁠［6］。Binanceグローバルのホットウォレットとは別に管理されており、影響は確認されなかった⁠［6］。

同じ告知によると、出庫の停止は予防的措置で、Binance Japanは48時間以内の再開を見込んでいた⁠［6］。万が一、Binance Japanの利用者に被害が確認された場合は、Binance Japanが被害額を全額補償する予定とした⁠［6］。

CoinPostが伝えたbitFlyerのXの投稿では、安全性が確認されるまでBinanceの口座への暗号資産の送金を制限している⁠［22］。bitFlyerは、自社のシステムと顧客資産への影響はないとし、顧客の暗号資産はネットワークから隔離したコールドウォレットで保管していると説明した⁠［22］。

CoinPostによると、SBIホールディングスは10月30日、子会社各社のBinanceに対するエクスポージャーは「現時点で限定的」で、連結業績への影響はないと発表した⁠［23］。SBIホールディングスは、傘下の国内暗号資産交換業者であるSBI VCトレードとビットバンクが顧客向けサービスを通常どおり提供し、顧客資産への影響はないとした⁠［23］。

目次へ

未公表の事項

• 第2報で見つかったとした追加の侵入箇所と、ノートPCが侵害された経緯（Binanceは第2報で、検証でき捜査を損なわない範囲で約48時間以内に追加の技術的な知見を共有する見込みとし⁠［2］、第4報で調査の完了後に事後報告書を公開するとした⁠［4］）
• 補填の原資（SAFU、先物保険基金、自社の財務資金）ごとの金額
• 補填が済んでいない5%のトークンの銘柄
• 第1段階の15のネットワーク以外での出金の再開の時期（Binanceは、ほかのネットワークと資産は準備ができ次第加えるとした⁠［4］）
• Binanceによる攻撃者の特定（Binanceは、法執行機関のパートナーと緊密に連携し、犯人の特定を進めているとした⁠［1］）

注

• 〔注1〕影響額を、TRM Labsは約63.6億ドルとし⁠［13］、Chainalysisは約64億ドルとした⁠［14］。Ellipticは、出金停止後に出た1億6,900万ドルを除き、64.3億ドルとした⁠［15］。
• 〔注2〕Ellipticは、攻撃者が数時間のうちに11のブロックチェーンでBinanceのホットウォレットから資産を抜いたとした⁠［15］。
• 〔注3〕ニューズウィーク日本版が掲載したロイターの記事は、Tetherが15億7000万ドル近くの資産を凍結したと発表したと報じた⁠［19］。TRM Labsは、Tetherの凍結の総計を約17.7億USDTとした⁠［13］。

出典

更新記録

• 2026年11月1日：公開した。
• 2026年11月2日：「発行体やネットワークによる凍結」のCEOのX投稿の文に、投稿の内容を伝えた出典⁠［25、26］を足した。
• 2026年11月3日：経緯・時系列・対応と現状・注の文の言い回しを改めた（事実と出典は変えていない）。

目次へ