木曜夜、Binanceへのハッキングでは3時間足らずの間に推定63億ドルが盗まれました。現在、ブロックチェーンの記録から、その大半がどこへ移動したかが明らかになっています。約半分は凍結され、約4億8,000万ドル相当のイーサは攻撃者が管理する2つのウォレットにあり、残りは複数の別のチェーンに分散しています。
重要ポイント
Binanceによると、被害総額は約63億ドルで、これまでに約30億ドルが凍結されています
イーサリアムの1件の取引で、「Binance 14」として知られるホットウォレットから、167,464 ETH、16億USDT、その他62種類のトークンが引き出されました
攻撃者は2025年に追加されたEthereumの機能EIP-7702と、事前に集めた50件の署名済み承認を利用した
ステーブルコインが攻撃者の弱点となった。TetherとCircleは数時間以内に、主要ウォレット内の約20億ドル相当を凍結した
約214,700 ETH、約4億8,000万ドル相当が、誰にも凍結できない新しい2つのウォレットへ移された
Fathomは木曜夜、資金流出が起きている最中に最初の報道を行った。これは一晩かけてオンチェーンで資金を追跡した後に見えてきた全容だ。
一晩の動きを時間順に見る
時刻はブロックチェーンの記録、または以下にリンクした投稿に基づく。
時刻（UTC） 出来事 木曜 15:59 攻撃者が、後にBinance 14へ設定するコントラクトをデプロイ 木曜 20:10 Arkhamによると、Binanceのホットウォレットから最初の資金流出 木曜 20:24 1回のトランザクションでBinance 14が空になる 木曜 20:38 攻撃者が195,460 ETHを新しいウォレットへ移動 木曜 20:41 Binance Hot Wallet 34が攻撃者へ7億8,000万USDCを送金 木曜 21:25 Tetherが15億6,700万超のUSDTを凍結したと発表 木曜 23:05 Arkhamが集計した最後のホットウォレットからの流出 金曜 00:52 Binanceが「約30億ドル」を凍結したと発表 金曜 02:25 Binanceが被害額を約63億ドルとし、侵害されたエンジニアのノートパソコンを原因として挙げる 金曜 04:36 Binanceが48時間以内に出金を再開する見込みと発表 金曜 05:15 攻撃者がトークン売却で得た17,260 ETHを、別の新しいウォレットへ送金
関連記事：ハッキングの疑い、Binanceのウォレットから一晩で28億ドルが流出
何がどれだけ盗まれたのか
Binanceは「推定被害総額は約63億ドル」と発表した。ブロックチェーン分析会社Arkhamは、9つのブロックチェーン上でBinanceのホットウォレットから60億1,000万ドルが流出したと集計し、Chainalysisはその額を64億ドルとした。両社の差は主に、各社が採用した価格と、集計対象に含めた小規模チェーンの違いによる。
最大の流出先はEthereumで、そこでの送金はすべて公開されている。Binance 14から一度に引き出された資産は次の通り。
167,464.25 ETH。当時の価格2,315ドルで約3億8,800万ドル相当
1,615,409,498.97 USDT
ほかのステーブルコインとして、6,260万RLUSD、2,780万USD1、970万USDe
7.18兆PEPE、1億9,840万ENA、619万UNI、226万LINK、127,853 AAVE
トークン化ゴールドはXAUtが11,372オンス、PAXGが1,898オンス。さらに82.5 WBTC
さらに2つのBinanceウォレットからも、同じアドレスへ資産が抜き取られた。1つは28,005.6 ETHと5,570万USDTを送金し、Binance Hot Wallet 34は7億8,000万USDCを送った後、さらに4,300万を送金した。攻撃者はBinance 14にも2度戻り、追加で1,699.9 ETHと2億430万USDTを引き出した。
合計で、攻撃者のEthereum上の主要アドレスは、Binanceから197,169.8 ETH、18億7,500万USDT、8億2,300万USDCを受け取った。Ethereumだけで約31億ドルに上る。これには数十種類の小規模トークンや、Bitcoin、TRON、Solanaなど他のチェーンでの損失は含まれていない。
資金は今どこにあるのか
Etherscanで主要アドレスを追うと、資金の内訳がはっきりと分かる。
凍結されたステーブルコイン。USDTとUSDCのコントラクトは、いずれも主要アドレスをブラックリストに登録している。そこには今も1,175,464,712 USDTと823,000,000 USDC、約20億ドル相当が残っており、移動できない。さらに7億USDTが、同じくブラックリスト登録された別の2つのアドレスに送られた。CircleのCEO、Jeremy Allaireは、USDCの凍結は「法執行機関と連携して」行ったと述べた。
その他の凍結。Binance共同創業者のYi Heは、約2億ドルを凍結したRipple、USD1で2,700万ドルとWLFIで約200万ドルを凍結したWorld Liberty Financial、そして約3,050万ドルを凍結したArbitrum Security Councilに謝意を示した。
攻撃者がまだ支配しているEther。195,460 ETHを受け取り、その後さらに2,000 ETHを受け取ったウォレットには、197,460 ETHがある。金曜朝の時点で約4億4,200万ドル相当だ。以降、1枚も動かされていない。
売却されたトークン。ステーブルコインは動かせなかったが、小規模トークンは売却できた。一晩のうちに主要アドレスは、Uniswapのルーターを通じて500回以上、その他のスワップルーターを通じて約90回の取引を行い、PEPE、SHIB、ENA、RSR、SANDなど数十種類を売却した。Etherscanの記録によると、売却で得たのは約17,200 ETH、約3,800万ドル相当。UTC 05:15にそのEtherは新しいアドレスへ送られ、現在そこには17,260 ETHがある。主要ウォレットに残っているのはわずか3 ETHだ。
その他のチェーン。Arkhamによると、金曜朝の時点でETH、BTC、TRX、SOLなど約29億ドル相当のトークンは、まだ移動可能だった。Binanceはチェーン別の損失額をまだ公表していない。
攻撃の手口
Binanceによると、初期調査では「DevOpsエンジニアのノートパソコンが侵害され」、攻撃者がサービスコンテナにアクセスして「不正な出金トランザクションを送信」できる状態になったという。同社は「ウォレットの秘密鍵が漏えいした証拠はない」とし、技術的な詳細をまとめた報告書を公表すると述べた。
Ethereumの記録からは、秘密鍵を盗まなくても、ノートパソコンを侵害すればウォレットを空にできる仕組みが分かる。セキュリティ研究者の0xQuitは、資金流出の原因がEIP-7702にあると突き止めた。これは2025年のEthereumアップグレードで、所有者が承認に署名すると、通常のウォレットがスマートコントラクトのコードを一時的に借りられるようになる。攻撃者はUTC 15:59にコントラクトをデプロイした。その約4時間後、署名済みの承認を使ってBinance 14にコントラクトを設定し、コントラクトはその後、一度にすべての資産を送金した。
承認は事前に集められていた。0xQuitは、資金流出トランザクションに連番の番号が付いた承認が50件含まれていたことを発見した。攻撃者が利用する前から、時間をかけて署名を集めていたことを示している。トランザクションを送信したアカウントには、プライバシーツールのTornado Cashを通じて資金が供給されており、所有者の追跡は困難だ。
簡単に言えば、攻撃者はBinanceの鍵を必要としなかった。必要だったのはBinance自身のシステムに誤った内容へ署名させること。それを可能にする侵入口を、エンジニアのノートパソコンから得た。
背後にいるのは誰か
Chainalysisは、北朝鮮が攻撃を実行したとの「確信度は高い」と述べた。同社の調査員は、先月のBitgetハッキングで盗まれた資金が「Binanceから盗まれた資金と混ざり合っている」のを確認したという。この見立てが正しければ、2025年2月にFBIが約15億ドルのBybitハッキングの責任を北朝鮮に帰属させたのに続き、北朝鮮が関与した記録的な暗号資産窃盗が2件連続することになる。Binanceは容疑者を特定していない。
2026年のハッキング被害総額をすべて合わせた額を上回る
被害者 発生日 盗難額 情報源 Binance 2026年10月29日 約63億ドル Binance Bybit（それまでの最高記録） 2025年2月21日 約15億ドル FBI Bitget 2026年9月24日 3億8,750万ドル Bitget Kelp DAO 2026年4月18日 約2億9,100万ドル（163,200 ETH不足） CertiK、Kelp DAO Drift Protocol 2026年4月 約2億8,500万ドル CertiK
セキュリティ企業CertiKによると、2026年上半期全体で344件のセキュリティインシデントが発生し、損失額は合計1,315,676,432ドルだった。Binanceは一晩でその約5倍を失った。攻撃者が今も支配しているEtherだけでも約4億8,000万ドル相当で、今年のほかのどのハッキング被害額よりも大きい。
なぜ半分近くを凍結できたのか
2025年のBybitハッキングではEtherウォレットが狙われたが、Etherを凍結できる企業はない。今回の攻撃者は大量のステーブルコインを盗んだが、それが弱点となった。TetherとCircleは自社トークンのコントラクト上で任意のアドレスをブロックでき、どちらも約1時間以内に実行した。Ripple、World Liberty Financial、ArbitrumのSecurity Councilも同様の権限を行使した。
そのため、Binanceが凍結した資産の総額は、UTC 23:22時点の25億4,000万ドルから、UTC 00:52までに約30億ドルへと増えた。また、凍結できないEtherに換えるため、攻撃者が一晩中、小規模トークンを売却していた理由でもある。
顧客への影響
Binanceは「SAFU基金と会社の資金ですべての損失を補填する」と発表し、ユーザー資産は安全だと述べた。SAFUはハッキング被害を補填するため、Binanceが2018年に設立した緊急基金だ。同取引所は準備金証明の最新版も公表する予定。入金は可能だが、出金は出金システムの再構築に伴い停止しており、48時間以内の再開を見込んでいる。
取引所の運営から退いた創業者のChangpeng Zhaoは、金曜に「つらいが、私たちは乗り越える」と投稿した。
市場は冷静に反応した。CoinGeckoのデータによると、金曜朝のBNBは24時間で5.2%下落して715ドル、Etherは3.6%下落して2,237ドル、Bitcoinは2.2%下落して78,409ドルだった。
関連記事：Solana、ウォール街風トークンで50億ドルに到達
まだ分かっていないこと
攻撃者が1台のノートパソコンへのアクセスから、どのように50件の署名済み承認を得たのか。Binanceの技術報告書で説明されるはずだ
Ethereum以外の各チェーンで失われた額
凍結された30億ドルがBinanceに返還されるのか、またその時期
攻撃者の2つのウォレットにある214,700 ETHが、今後どこへ移動するのか