2026年10月29日、暗号資産交換所バイナンスの取引処理用ウォレットから、大規模な資産流出が始まりました。損失額は約63億ドルとされ、専門家の分析では暗号資産史上最大級の窃取です。ロイターは、盗まれた資産のおよそ半分が早い段階で凍結されたと報じています。
17
24
何が起きたのか
バイナンスの初期調査では、侵入口として、DevOps(開発・運用)担当者のノートPCが侵害された可能性が挙げられました。攻撃者はそこからサービスコンテナにアクセスし、不正な出金取引を送信したとする報道があります。バイナンスは、ウォレットの秘密鍵が漏えいした証拠は見つかっていないと説明したと伝えられています。
19
ただし、バイナンスはその後の調査で「追加の侵害箇所」も見つけたとしていますが、詳細は明らかにしていません。したがって、ノートPCから始まる一連の経路は、現時点で確定した全容ではありません。
17
米ブロックチェーン分析会社TRM Labsによると、10月29日20時05分(協定世界時)ごろから約63.6億ドルが10のブロックチェーン上で移動し、その大部分は約20分で流出しました。ロイターが伝えた約63億ドルなど、報道や分析機関によって損失額には差があります。2025年のBybit窃取事件で失われた約15億ドルと比べると、今回の額は約4倍です。
18
2
攻撃者の特定と、AIをめぐる誤解
TRM Labsは、攻撃を北朝鮮と関係するハッカー集団TraderTraitorに帰属させました。一方、バイナンスは攻撃者を公表していません。帰属は分析会社による判断であり、交換所が特定した犯人という意味ではありません。
18
イーロン・マスク氏は事件を受け、「Everyday is Zeroday(毎日がゼロデイ)」と投稿しました。ゼロデイとは、開発元が修正する前の脆弱性を攻撃者が悪用することを指す用語です。
13 また、盗まれたステーブルコインが融資プロトコルAaveで担保として使われたという話題に反応し、将来の「超知能エージェント」が人間のためではなく自分自身の資金を得るために、同様のことをする可能性に言及しました。
ただし、今回の攻撃をAIが実行したと示す証拠はありません。ブロックチェーンセキュリティ企業Blockaidが報告したAIの役割は防御側のもので、同社は検知システムが流出を2分以内に検知したとしています。
マスク氏の投稿をめぐっては、バイナンス創業者の趙長鵬(チャンポン・ジャオ)氏が、事件をからかわず支援してほしいと求めたと報じられています。
1 ただし、マスク氏が趙氏のメールセキュリティ助言を具体的にどう揶揄したかは、確認できる報道抜粋からは特定できません。
盗まれた資産はどう動き、いくら凍結されたのか
TRM Labsによれば、攻撃者は発行体が凍結できるステーブルコインを売却したり、AaveでUSDTを担保にイーサリアム(ETH)を借りたりして、資金を移し替えました。分析時点で、攻撃者側には42万ETH超と1万8,270BTCが残り、その価値は約24億ドルと推定されています。
Tetherは関連する約15億7,000万ドル相当を凍結し、Circleも8億ドル超のUSDCを凍結したと報じられました。両社による早期の凍結額は合計で23億8,000万ドル超とされています。 TRM Labsは、Tether、Circle、Ripple、World Liberty Financialが凍結したステーブルコインを約26億7,000万ドルと集計。さらにArbitrumのセキュリティ評議会が8,426ETHと7,460万ARBを凍結したとしています。
全体の凍結額は、バイナンスの発表で約30億ドル、別の分析では約27億ドルなど、時点や集計方法によって異なります。
23 これらは流出総額に上乗せする数字ではありません。また「凍結」は資産の移動を止めた状態で、被害者への返還や回収が完了したことを意味しません。正確な返還額や、未凍結のまま残った資産の全容は、報道資料だけでは確認できません。
出金停止と補償方針
ロイターは、バイナンスが出金を停止し、暗号資産価格も下落したと報じました。同社は顧客資産は安全だと説明し、損失を会社資金で補う方針を示したとされています。
23 後続の報道では、バイナンスが対応のために63億4,000万ドル超の会社資金を準備し、そのうち50億ドル超相当の資産をすでに保有していたと伝えられています。
一部報道は、補償にSAFU基金と会社資金を充てる方針にも触れています。 ただし、出金再開の具体的な日時や、補償の手続き・完了時期は、ここで確認できる情報からは断定できません。今回の事件が暗号資産市場への信頼に影響する可能性も、ロイターなどが指摘しています。
17
24