ウォレットとアカウントを守る：バイナンスのハッキング事件から学ぶこと

ウォレットとアカウントを守る：バイナンスのハッキング事件から学ぶこと
2026年10月30日更新。バイナンスの事件に関する報道は現在も変化しているため、以下の数値や原因の特定は暫定的なものとしてお読みください。
暗号資産業界最大の取引所が、業界史上最大規模のハッキング事件となる可能性があるとされる攻撃を受けました。最終的な被害額がいくらになろうとも、一般ユーザーが学ぶべき教訓は、私たちが何度も再認識してきたものと同じです。セキュリティは鎖のようなもので、その一部しか自分では管理できません。この記事では、自分では管理できない部分と、管理できる部分を分けて考え、後者に対する具体的な対策を紹介します。
要点：取引所には取引に必要な額だけを置き、ハードウェアキーまたはパスキーと出金先ホワイトリストでアカウントを保護しましょう。長期保有分は、オフラインでシードフレーズをバックアップしたうえでハードウェアウォレットに移し、ハッキング後に届くメール、DM、「補償」をうたうリンクは、真実だと確認できるまで詐欺だと考えてください。
わかっていること、わかっていないこと
この記事の執筆時点の報道によると、Binanceはホットウォレットから不審な資金流出があった後、出金を停止し、25億米ドルを超える資産が凍結されたとのことです。移動した総額の推定は報道機関や追跡サービスによって大きく異なり、およそ58億米ドルから約63億米ドルに及びます。一部の資金はステーブルコイン発行者によって凍結されたと報じられています。複数のブロックチェーン調査機関は、過去の窃盗事件との類似性を根拠に、この窃盗を北朝鮮のTraderTraitorグループと公に結び付けています。ただし、これは評価であり、確定した事実ではありません。前CEOのChangpeng Zhao氏は、ユーザー資金は全額補償される見込みだと述べています。
まだわかっていないのは、攻撃者がどのように侵入したのか、個々のユーザーアカウントが侵害されたのか、どの程度の資金が回収されるのか、ユーザーに全額補償されるのかという点です。今日、根本原因を断言する人は誰でも推測で話しています。内部情報を知っていると主張するスレッド、動画、Telegramチャンネルには懐疑的になりましょう。
これがBinanceにとって初めての大規模インシデントというわけでもありません。2019年5月、攻撃者は取引所のビットコインのおよそ2％を保管していたホットウォレットから7,000 BTCを盗みました。Binanceによると、攻撃者はフィッシング、ウイルスなどを使い、ユーザーのAPIキーと2FAコードを入手していました。当時、BinanceはSAFU緊急基金で損失を補填しました。年も規模も違いますが、問題の種類は同じです。弱点はビットコイン自体の暗号技術ではなく、ホットウォレットと認証情報をめぐる運用上のセキュリティでした。
最初の教訓：どんなリスクを抱えているかを知る
暗号資産を保有していると、大きく異なる3種類のリスクにさらされる可能性があります。
プラットフォームのリスク。コインを取引所に置いている場合、あなたが持っているのは返還請求権にすぎません。取引所のインフラ自体が侵害されれば、個人のセキュリティがどれほど完璧でも被害を受ける可能性があります。より強いパスワードでは解決できません。さらす資産の量を決めることしかできません。
アカウントのリスク。誰かが取引所のログイン情報を乗っ取り、残高を引き出したり、APIキーを悪用したりする可能性があります。これは個人が資金を失う最も一般的な原因であり、ほぼ完全に自分で防げるものです。
ウォレットのリスク。自己管理を選ぶと、あなた自身も窃盗犯も、誰も資産を凍結したり取引を取り消したりできません。シードフレーズと署名時の習慣がすべてを左右します。
多くの人は、一度に一つのリスクしか考えません。適切な対策は、3つすべてに対応します。
パート1：プラットフォームのリスクを減らす
取引所の内部を監査することはできないため、自分で調整できるのは、資金をどれだけ預けるかだけです。
取引所は取引する場所であり、保管する場所ではないと考えましょう。取引所には実際に取引する分だけを残し、残りは自己管理に移してください。
どうしても取引所に資金を置く必要があるなら、複数の取引所に分散しましょう。一つの侵害ですべてを失わないようにしてください。
保険基金や「準備金証明」を保証だと考えてはいけません。SAFUのような基金や準備金に関する証明は参考になりますが、その価値は企業の支払い能力と支払う意思次第です。また、準備金のスナップショットだけでは運用上のセキュリティはほとんどわかりません。
インシデント発生中は不便が生じると考えておきましょう。出金が何日も停止されることがあります。急に資金が必要になる可能性があるなら、他人が管理する出金ボタンの向こう側に全額を置かないでください。
ステーブルコインの凍結について理解しましょう。TetherやCircleなどの発行者は、アドレスを凍結できます。これは窃盗犯への対策になる一方で、ステーブルコインはビットコインのような無記名資産ではないということを思い出させてくれます。
簡単な目安：全額を失うことや1か月間凍結されることになっても耐えられる金額だけを取引所に置きましょう。
パート2：取引所アカウントを厳重に保護する
Binanceでもほかの取引所でも、残高を置いているなら、今日すぐ次の対策をすべて行いましょう。
認証
利用できる場合は、パスキーまたはハードウェアセキュリティキー（FIDO2またはYubiKey）を使いましょう。本物のサイトでしか機能しないため、フィッシングに強い認証方法です。
SMSではなく認証アプリを使いましょう。SMSコードはSIMスワップや傍受に弱い方法です。プラットフォームで可能なら、2FAの方法からSMSを完全に削除してください。
パスワードマネージャーで生成した、長くて固有のパスワードを使いましょう。取引所、メール、その他のサービスで同じパスワードを使い回してはいけません。
メールアカウントは銀行口座と同じくらい大切に守りましょう。メールを支配する者は、ほとんど何でもパスワードをリセットできます。メールにはハードウェアキーまたはパスキーを設定し、取引所用には、ニュースレターや買い物に使うものとは別のメールアドレスを使いましょう。
出金の保護
出金先アドレスのホワイトリストを有効にしましょう。有効にすると、事前に承認したアドレスにしか資金を出金できず、新しいアドレスの追加には通常、待機時間が設けられます。この設定だけで、多くのアカウント乗っ取りを防げます。
フィッシング対策コードを有効にしましょう。Binanceなどでは、正規のメールすべてに表示されるコードを設定できます。メールにそのコードがなければ、偽物です。
設定できる場合は出金限度額とクールダウン期間を設定し、セッションを盗まれても一度にすべてを引き出されないようにしましょう。
アクティブなセッションとデバイスを定期的に確認し、見覚えのないものはすべて無効にしましょう。
APIキー、2019年の事件から学ぶ教訓
2019年の事件では、攻撃者がユーザーのAPIキーを入手しました。ボットやサードパーティ製ツールで取引している場合は、次のことを守りましょう。
権限を必要最小限にしてキーを作成しましょう。特別な理由がない限り、取引のみに限定し、出金権限は与えないでください。
各キーの使用を特定のIPアドレスに制限しましょう。
ツールごとに別々のキーを使えば、ほかに影響を与えずに一つだけ無効にできます。
使わなくなったキーは削除しましょう。また、コミットするコード、チャットツール、スクリーンショットにキーを貼り付けてはいけません。コードリポジトリからのキー漏えいは、損失の原因として繰り返し発生しています。
プラットフォームでセキュリティインシデントが発生したら、予防措置としてキーをローテーションしましょう。
パート3：自己管理型ウォレットを安全に使う
自己管理型ウォレットを使えばプラットフォームのリスクはなくなりますが、その分、責任は自分で負うことになります。多くの人に適した設定方法を紹介します。
まずはハードウェアウォレット
まとまった額を保有するなら、ハードウェアウォレットを使いましょう。メーカーから直接購入し、マーケットプレイスや転売業者からは買わないでください。初期設定済みの状態で届いたり、リカバリーカードにあらかじめ何かが書かれていたりするデバイスには警戒しましょう。
ファームウェアは最新の状態に保ちましょう。ただし、更新はメーカーの公式アプリからのみ行ってください。
シードフレーズは資金そのもの
紙に書くか、金属板に刻みましょう。デジタル形式で保存してはいけません。写真、メモアプリ、クラウドドライブ、パスワードマネージャー、自分宛てのメールはすべて避けてください。
正規の復元作業中にハードウェアデバイスへ入力する場合を除き、シードフレーズを何かに入力してはいけません。サポート担当者、取引所、ウォレットアプリ、エアドロップサイトが正当な理由で尋ねることは決してありません。
バックアップは、物理的に離れた安全な場所に少なくとも2か所保管しましょう。火災や洪水で唯一のコピーが失われることがないようにしてください。
任意でパスフレーズ（「25番目の単語」）を追加することも検討しましょう。第二の要素になりますが、忘れると資金を失います。追加のバックアップを適切に管理できる場合にのみ使ってください。
用途ごとにウォレットを分ける
次のように分けると、整理しやすくなります。
コールドウォレット：長期保有分を保管し、ほとんど動かさない。ハードウェアウォレットで管理。
ウォームウォレット：時々使うための、別のハードウェアウォレット管理アカウント。
ホットウォレット：少額だけを入れたブラウザーまたはモバイルウォレット。実験やDeFi用。
コールドウォレットを見知らぬサイトに接続してはいけません。ホットウォレットが侵害されても、すべてではなく少額を失うだけで済みます。
大きな金額にはマルチシグを使う
マルチシグウォレットでは、取引の承認に複数の独立したキーが必要です。たとえば、3つのキーのうち2つが必要な設定です。盗まれたキーやデバイスが一つだけでは資金を動かせません。キーは別々のデバイスと場所に保管し、できれば異なるメーカーのものを使いましょう。
署名する内容を確認する
2025年2月に発生した、約15億米ドル相当のBybit窃盗事件は、重要な教訓です。公開された事後検証によると、攻撃者はマルチシグウォレットの暗号技術を破ったわけではありません。署名者が使うインターフェースを侵害し、画面には通常の送金が表示されていた一方で、実際の取引ではウォレットの支配権が攻撃者に渡されました。署名者は表示された内容を承認し、手順どおりに行動していました。
個人が学ぶべきことは次のとおりです。
ブラウザーだけでなく、ハードウェアデバイス自体の画面で取引の詳細を読みましょう。
ブラインド署名は危険だと考えましょう。内容を読めないデータの承認は避け、本当に必要な場合を除き、ハードウェアウォレットの設定でブラインド署名を無効にしてください。
宛先アドレスは、最初と最後の数文字だけでなく、全体を照合しましょう。
新しいアドレスに大きな額を送る前に、少額のテスト送金をしましょう。
アドレスポイズニングに注意しましょう。詐欺師が、過去に使ったアドレスに似たアドレスから少額の送金を行い、取引履歴からそのアドレスをコピーさせようとする手口です。
トークンの承認
スマートコントラクトにトークンの使用を承認するたびに、その権限は無期限に残る可能性があります。信頼できる承認確認ツールを使って、定期的に承認内容を確認し、使っていないものを取り消しましょう。必要な額を指定できる場合は、無制限の使用許可を与えないでください。
パート4：人間が狙われるリスク
大規模なものも含め、攻撃の多くはコードの欠陥ではなく人を狙うところから始まります。特に国家とつながりのあるグループは、時間をかけて巧妙に人をだますことで知られています。
偽の求人や「面接」に注意しましょう。採用過程の一環としてソフトウェアのダウンロード、コーディングテストの実行、ファイルを開くことを求める相手には、十分警戒してください。見知らぬファイルは、隔離された使い捨て環境でのみ実行しましょう。
サポート担当者へのなりすましに注意しましょう。取引所のサポート担当者が先にDMを送ったり、2FAコードを尋ねたり、ウォレットの「認証」を求めたりすることはありません。
緊急性をあおるのは、詐欺を見分ける手掛かりです。「30分以内にアカウントが凍結されます」は、方針ではなく人を操るための手口です。
URLを直接入力するか、ブックマークを使いましょう。メール、広告、SNSの投稿にあるリンクをクリックして、取引所やウォレットにアクセスしてはいけません。ウォレット名や取引所名を使った検索広告は、よく知られた詐欺の手口です。
デバイスを安全な状態に保ちましょう。OSを最新にし、海賊版ソフトを避け、ブラウザー拡張機能を安易にインストールしないでください。暗号資産用に専用のデバイスやブラウザープロファイルを使うことも検討しましょう。
今後、詐欺が急増すると考えておきましょう
大規模な情報漏えいの後には、二次的な詐欺が決まって発生します。今後数週間は、次のような詐欺に注意してください。
ハッキング後の「補償請求」や「アカウント認証」をうたう偽のメールやSMS。
手数料と引き換えに資金を「取り戻す」と持ちかける、Binanceサポートを装った偽アカウント。
ウォレットの接続や、払い戻しを「受け取る」ためのシードフレーズ入力を求める偽サイト。
Binanceから補償を受けられる場合は、アカウントに表示されるか、公式チャンネルで発表されます。受け取るために誰かへシードフレーズや2FAコードを渡す必要はありません。
現在Binanceに資金がある場合
出金は停止されていると報じられており、選択肢は限られています。自分で対処できることに集中しましょう。
慌ててクリックしないでください。焦ると、偽の「資金回復」サイトにだまされます。
アカウントを保護しましょう。パスワードを変更し、ハードウェアキーまたは認証アプリを使うように切り替え、デバイスとセッションを確認して、出金先ホワイトリストとフィッシング対策コードを有効にしてください。
APIキーをローテーションするか、削除しましょう。
メールに不審なものがないか確認し、そのアカウントも保護しましょう。
Binanceの認証済み公式チャンネルで発表される情報だけを確認しましょう。ブックマークからアクセスするか、アドレスを自分で入力してください。
後で必要になる場合に備え、残高、取引履歴、やり取りのスクリーンショットを保存しておきましょう。
出金が再開したら、長期保有分を段階的に自己管理へ移すことを検討しましょう。まず少額のテスト送金から始めてください。
1ページでわかるチェックリスト
取引所アカウント
ハードウェアキーまたはパスキーを有効化し、SMSによる2FAを削除
パスワードマネージャーで固有のパスワードを管理
メールアカウントを、独自の強力な2FAで保護
出金先ホワイトリストとフィッシング対策コードを有効化
APIキーは取引専用かつIP制限付きにし、未使用のものは削除
プラットフォームには取引に必要な額だけを残す
自己管理
ハードウェアウォレットはメーカーから直接購入
シードフレーズは紙または金属に記録してオフラインで保管し、2か所に分散
コールド、ウォーム、ホットウォレットを分離
大きな保有額にはマルチシグを使用
デバイスの画面で取引を確認し、ブラインド署名は無効化
古いトークン承認を取り消す
習慣
ブックマークしたURLだけを使う
シードフレーズやコードを誰にも渡さない
緊急性をあおるもの、頼んでもいないもの、うますぎる話には疑いを持つ
より大きな視点で考える
大規模な暗号資産の窃盗が起きるたび、「より安全な取引所を使うべきか、それとも取引所を使わないべきか」という議論が繰り返されます。正直な答えは、資金を何に使うかによって異なるということです。取引所は便利で、必要な場合もあります。自己管理は強力ですが、失敗が許されません。こうした事件で大きな被害を避けられるのは、完璧な選択肢を見つけた人ではありません。あらかじめリスクにさらす額を抑え、簡単に攻撃される経路をなくし、単一障害点に頼らなかった人です。
Binanceや独立した調査機関から新たな情報が公開されたら、この記事を更新します。
情報源
被害状況の数値と攻撃者の特定は、刻々と変化している初期報道に基づいています。最新情報はBinanceの公式チャンネルで確認してください。
Euronews：Binance、大規模ハッキングを確認。25億米ドル超が凍結 https://www.euronews.com/2026/10/30/crypto-platform-binance-confirms-major-hack-with-more-than-25bn-frozen
The Block：不審な資金流出が最大58億米ドルに達し、Binanceがハッキングを調査 https://www.theblock.co/news/markets/2026-10-29-binance-investigating-hack-suspicious-outflows-5-billion-432171
Cointelegraph：北朝鮮のTraderTraitor、63億米ドルのBinanceハッキングに関与か https://cointelegraph.com/news/north-korea-linked-to-63b-binance-hack-by-crypto-investigators
Coingape：TetherとCircleが資産を凍結するなか、Binanceが50億米ドル超のハッキング被害に遭った疑い https://coingape.com/binance-suspected-of-suffering-over-5b-hack-as-tether-circle-freeze-assets/
The Jakarta Post：暗号資産プラットフォームのBinance、大規模ハッキングを確認。25億米ドル超が凍結 https://www.thejakartapost.com/business/2026/10/30/crypto-platform-binance-confirms-major-hack-more-than-25b-frozen
Decrypt：Binanceのセキュリティ侵害（2019年5月） https://decrypt.co/6930/binance-hack-security-breach
2025年のBybit事件の詳細は、公開された事後検証に基づいています。
この記事は一般的な情報提供を目的としており、金融アドバイスではありません。