2026年10月29日から30日にかけて、Binanceは規模こそ異例ながら、最終的には大幅に被害が抑えられたセキュリティインシデントに見舞われた。重要な事実は、複数のホットウォレットから極めて短時間に異常な「スイープ」が行われ、帳簿上の流出額は一時、数十億ドルに達すると追跡されたものの、主要なステーブルコイン発行元が関係資金の大半を迅速に凍結したことだ。CZの推定による実質的な純損失は10億ドルをわずかに上回る程度で、Binanceが全額補填すると約束した。
異常な流出：複数のホットウォレットが相次いで「スイープ」される
事件の発端は台北時間10月30日午前4時24分ごろ（UTC時間10月29日20時24分）、Binanceが「Binance 14」と名付けたホットウォレットから、sweep（スイープ）取引が実行されたことだった。一度に約167,464 ETHと63種類のERC-20トークンが送金され、その中には約16億1,500万USDTが含まれていた。当時の評価額は約25億ドルだった。
その直後も異常な動きは止まらなかった。
· わずか24秒後、別のホットウォレット「Binance 16」から同じ受取アドレスに、約28,005 ETHと約5,574万USDT、2,594万RLUSDなどの資産が送金された。
· 約17分後（4時41分）、「Hot Wallet 34」から同じアドレスに7億8,000万USDCが送金された。その後、さらに4,300万ドル相当のUSDCが送金された。
短時間のうちに複数の独立したホットウォレットから、当日作成されたばかりのアドレスへ資金が集中していたため、オンチェーンの警告では当初、「定例の運用上の資金移動」の可能性も排除できなかった。しかし、受取アドレスが新規作成されたものであること、資産がすぐに二次送金されたこと、そしてsweep関数が使われたことから、市場ではすぐに攻撃との見方が強まった。
攻撃手法：問題は秘密鍵ではなく「署名による承認」
今回の事件が技術面で特異なのは、攻撃者がBinanceのウォレットの秘密鍵を直接盗んだわけではないとみられる点だ。
オンチェーン分析からは、イーサリアムのEIP-7702の仕組みが悪用された可能性が示されている。この仕組みでは、外部アカウントが「署名による承認」を通じて、特定のコードに実行権限を委任できる。攻撃者はフィッシングなどで署名による承認を得て、Binance関連のウォレットに「スイープ」機能を持つ悪意あるコードをインストールし、その後sweepを呼び出して資産をまとめて送金したとみられる。セキュリティ分析の専門家は、攻撃者が本当に秘密鍵を掌握していたのであれば、中継者（Relayer）や承認手続きを経る必要はなく、アトミックな取引で直接資産を移転できたはずだと指摘する。そのため、「EIP-7702の承認署名だけを得た」という説明のほうが妥当だ。
つまり、攻撃のハードルは大きく下がっていた。秘密鍵を解読する必要はなく、署名による承認を一度だまし取るだけで、アドレスを「スイープ」可能な状態にできるおそれがあった。最初のスイープ後も同じウォレットから再び資産が送金されたことは、事件発生後もしばらく、その承認が有効だったことを裏付けている。
凍結と事件の認定：「調査中」から「攻撃だった」へ
事件発生後、Binanceの公式発表は明らかに慎重なものへと変化した。当初の声明では、「潜在的なセキュリティ上の問題を調査中」「ユーザー資金への影響は確認されていない」と述べるにとどまっていた。十数分ほどの間に声明は何度も修正され、最終版では「ユーザー資金は完全に安全」とされたが、その時点ではまだ「盗難」や「ハッキング」とは正式に表現していなかった。
転機となったのは、CZ（趙長鵬）の発言だった。同氏は「これは確かにBinanceに対するハッキング攻撃のようだ」と明言する一方、ユーザー資金は安全だと強調し、TetherとCircleによる迅速な凍結措置に謝意を示した。CZはまた、すでにBinanceの日常的な運営には関与していないものの、株主として、すべてのユーザー資金が全額補填される見込みだと説明した。
事件の認定と並行して、ステーブルコイン発行元による凍結も行われた。
· Tetherは15億6,700万USDT超を凍結した（別の報道では約9億7,100万ドル）。
· Circleは約8億2,300万USDCを凍結した。
両社が凍結した額は合計約23億9,000万ドルに上る。これが後に「帳簿上の流出額」と「実際の損失」の間に大きな差が生じた主な理由だ。
帳簿上の数字と実際の損失：なぜ数十億ドルから「10億ドル強」になったのか
攻撃は複数のウォレットや複数のチェーン、数十種類のトークンに及んだため、オンチェーン追跡で示された流出総額は一時、かなり混乱した。初期の約25億ドル、約28億ドルから、その後の追跡では約33億ドルに増え、監視機関の中には58億ドル超と推定するところもあった。
しかし、これらの数字は主に資産の移転規模を示すものであり、最終的に回収不能となった純損失ではない。DefiLlama創設者の0xngmiによる推定は、より明確な全体像を示している。USDTとUSDCが大規模に凍結された後、事件による総損失は約10億ドルで、Binanceが保管する約1,440億ドルの資産のわずか0.69%にすぎず、Binanceの貸借対照表で十分に補填できるという。CZはこの推定を共有し、「損失はこれより少し大きい可能性があるが、全額補填する」と付け加えた。
これらの数字の関係は次のとおりだ。攻撃者が送金した資産のうち、約24億ドル相当のステーブルコインは発行元によって凍結された。Binanceの管理を実際に離れ、短期的に凍結されなかった資産は、約10億ドル規模に収束した。したがってBinanceが負担するのは補填可能な純損失であり、数十億ドルが全額消失したわけではない。
出金停止とユーザーへの実際の影響
セキュリティ調査の間、Binanceは出金を停止した。公式発表では当初、一部ユーザーの出金が「技術的なエラー」で妨げられていると説明し、その後「セキュリティ上の問題が完全に解決した後に出金を再開する」と明言するとともに、ユーザー資金は安全だと改めて表明した。つまり、一般ユーザーへの直接的な影響は、口座残高がゼロになることではなく、短期間の出金停止が中心だった。CZとBinanceの公式見解は一致しており、ユーザー資金は「完全に安全」で、損失はプラットフォームが補填するという。
全体として、この事件の実態は次のようなものだ。EIP-7702の承認の仕組みを悪用し、Binanceのホットウォレットから大量の資産を無許可でスイープした。帳簿上の流出額は一時、数十億ドルに達したが、ステーブルコインの凍結とBinanceの貸借対照表による吸収が重なり、実際の純損失は約10億ドル規模に抑えられた。ユーザー資金に直接の損失はなく、セキュリティ確認後に出金も再開された。攻撃者の身元や承認を得た具体的な経路はまだ公表されておらず、調査と資金の追跡・回収は続いている。