暗号資産取引所のBinanceは、史上最大規模の暗号資産盗難事件で凍結された約30億ドルの資産を回収するため、米連邦捜査局（FBI）と協力しています。事情に詳しい関係者がメディアに明かしたところによると、Binanceは損失を補填するため、社内資金から63.4億ドル超を確保しました。そのうち50億ドル分は盗まれたトークンと完全に一致する資産で、残りは市場取引や店頭取引（OTC）を通じて補っています。

UTC時間の10月29日20時05分に発生したこの攻撃では、約20分の間にBinanceが管理するアドレスから約63.6億ドルが、10のブロックチェーンにまたがって移転されました。ブロックチェーン分析企業TRM Labsは、高い確度でこの攻撃を北朝鮮のハッカー集団TraderTraitorによるものと特定しました。同集団は、2025年2月に発生したBybitの15億ドル相当の盗難事件の黒幕として、以前FBIに認定されています。Binanceは10月30日の公式声明で、業界のパートナーによって現在約30億ドルが凍結されており、法執行機関と協力して回収を進めていると明らかにしました。また、すべてのユーザー資金について、最終的に準備金証明（Proof of Reserves、PoR）を通じて公開検証できるようにすると約束しました。

20分、10のチェーン：ホットウォレット署名システムはいかにして破られたのか

TRM Labsの集計によると、攻撃者は10月29日20:05 UTCから約20分間にわたり、Binanceが管理するアドレスから単一の攻撃者アドレスへ、約63億6,000万ドル相当の資金を10のブロックチェーンにまたがって移転した。これは記録に残る暗号資産盗難事件として過去最大で、2025年2月にBybitが被った15億ドルの損失を上回り、2022年2月にAxie InfinityのサイドチェーンRoninで発生した6億2,500万ドルの盗難額を大きく超える。

Binanceは公式X投稿で、初期調査では「このセキュリティインシデントには、DevOpsエンジニアのノートパソコンがハッキングされたことが関係している可能性がある」と明らかにした。攻撃者はこれを利用してサービスコンテナに侵入し、許可されていない出金取引を送信したという。取引所は同時に、ウォレットの秘密鍵が漏えいした形跡は確認されていないと強調した。この詳細が示唆するのは、基盤となる鍵管理システムの崩壊ではなく、ホットウォレットの署名プロセスにおけるアクセス制御の不備だ。攻撃者が得たのは「取引を送信する権限」であり、「署名を生成する鍵」ではない。

TRM Labsの分析は、攻撃の全体像をより詳しく示している。攻撃者は少なくとも36時間前から準備を始め、まず2つのウォレットでコードをテストし、3つ目のウォレットでリハーサルを行った後、約4時間待って本格的な攻撃を開始した。攻撃者アドレスの初期資金は、攻撃前日の午前にTornado Cash経由で投入されたものと追跡できる。こうした痕跡は、単独の従業員の誤操作による偶発的な事件ではなく、複数チェーンにまたがるホットウォレット署名システムを狙った、十分なリハーサルを経た連携攻撃だったことを示している。取引所にとって真の教訓は、「誰が悪意あるリンクをクリックしたか」ではなく、マルチシグ承認、出金上限、異常行動の監視がなぜ同じ時間帯に一斉に機能しなくなったのかという点にある。

30億ドル凍結の舞台裏：ステーブルコイン発行者の「緊急ブレーキ」

送金された63億6,000万ドルのうち、約30億ドルがすでに凍結されている。TRM Labsが10月31日00:30 UTC時点で作成したスナップショットによると、そのうち約27億ドルは主にステーブルコイン発行者によって凍結された。これにはTether、Circle、Ripple、World Liberty Financialが含まれる。発行者はオンチェーンで特定アドレスのステーブルコインを凍結でき、資金の移動経路上で「緊急ブレーキ」をかけるのに等しい。Binanceはその後、凍結額を約30億ドルに更新した。

Binanceは声明で、「現在、30億ドルが凍結されています。業界のパートナーに感謝します。凍結された資産の回収に向け、パートナーや法執行機関と協力しています」と明言した。この資金は、Binanceが損失補填のために確保した63億4,000万ドルの会社資金にはまだ含まれていない。取引所は、確保額には「凍結中または保護下にある資産は含まれておらず、これらの資産は引き続き回収と検証の過程にある」と強調した。つまり、30億ドルの凍結資産が最終的に回収され、ユーザーに返還されれば、Binanceが実際に投入する会社資金は63億4,000万ドルを大幅に下回る可能性がある。

残る約24億ドルは、イーサリアム（ETH）とビットコイン（BTC）の形で、依然として攻撃者が保有している。内訳には42万ETH超と18,270 BTCが含まれる。この2つの資産には、発行者が介入できる凍結の仕組みがないため、回収の難易度はステーブルコインより大幅に高い。多くの場合、法執行機関によるオンチェーン追跡、取引所との連携、司法手続きによる差し押さえに頼る必要がある。これが、BinanceがFBIなどの法執行機関の協力を求める必要がある理由でもある。ステーブルコインは発行者が凍結できるが、ネイティブ資産を押収できるのは法執行機関だけだ。

北朝鮮関与の疑い：TraderTraitorとBybit事件を結ぶ帰属の連鎖

TRM Labsは今回の攻撃を、高い確度で北朝鮮と関係するハッカー集団TraderTraitorの犯行と特定した。FBIは2025年2月、この集団がBybitでの15億ドル盗難事件に関与したと公表している。今回の帰属が最終的に法執行機関によって確認されれば、北朝鮮のハッカー集団が2年連続で10億ドル規模の暗号資産強盗を実行したことになる。また、中央集権型取引所のホットウォレットを狙う攻撃手法が急速に進化していることも意味する。

オンチェーン調査員のZachXBTは、別の関連情報を示した。Binanceから盗まれた資金は、THORChainのクロスチェーンプロトコルを経由した後、9月に発生したBitgetの3億8,800万ドル盗難事件の資金と同じアドレスに現れ、「同一の実行犯がこの2件を主導した可能性が高い」という。クロスチェーンでの資金混合やアドレスの集約は、資金の流れを曖昧にして追跡を困難にする、北朝鮮のハッカー集団に典型的な資金洗浄手法だ。許可不要のクロスチェーン流動性プロトコルであるTHORChainも、こうして議論の中心に巻き込まれた。関連報道によると、Binanceの盗難が伝えられた後、THORChainのRUNEトークンは一時13％上昇した。

ただし、慎重な見方が必要だ。Binanceは公式には攻撃者の名を挙げておらず、黒幕の特定に向けて法執行機関と協力していると述べるにとどまっている。TRM Labsによる帰属は第三者の分析機関による判断であり、最終的な確認には法執行機関や司法文書による裏付けが必要だ。暗号資産のセキュリティインシデントでは、帰属を誤ると外交上・法的なリスクが生じる可能性がある。取引所や規制当局が通常、慎重な姿勢を保つのはそのためだ。

Binanceの補填約束とPoRの試金石

記録的な損失を受け、Binanceは全額を補填する方針を選んだ。取引所は損失を補うため、63億4,000万ドルを超える会社資金を確保したと発表した。このうち50億ドル分は盗まれたトークンと完全に一致する資産で、残る約13億4,000万ドル分は市場取引とOTC取引を通じて購入し、補う予定だ。Binanceによると、一部のトークンは流動性が低く、OTC取引の決済にも時間がかかるため、この手続きには時間を要している。取引所はまた、確認済みの不足分を会社資金で引き続き補い、回収の進展に応じて、さらなる検証を経た情報を公表すると述べた。

準備金ランキングのデータによると、Binanceは総資産1,340億ドルで、暗号資産取引所の準備金規模で首位に立つ。それでも、会社資金から63億4,000万ドルを一度に拠出することは大きな試練だ。DeFiLlamaのデータでは、事件発生後24時間以内にBinanceは約60億ドルの純流出に対応しており、極端な事態におけるユーザーの出金圧力がうかがえる。SolanaやXRPなど一部チェーンでのオンチェーン出金は事件の初期に一時停止された一方、BTCの出金は継続された。その後、取引所は段階的にサービスを再開した。

Binanceは声明で、「最終的に、すべてのユーザー資金は当社の準備金証明を通じて公開検証されます」と約束した。PoRは、取引所がユーザー資産の不足分を本当に補っているかを確かめる重要な基準となる。特に、30億ドルの凍結資産の権利関係が確認されるまでは、「資金は安全だ」という主張にはオンチェーン上の証拠が必要だ。業界にとって今回の真のストレステストは、Binanceが支払いに応じられるかどうかではなく、極端な状況でもPoRが検証可能な透明性を提供できるかどうかにある。

業界への影響：ホットウォレットの構造、クロスチェーン追跡、規制当局との連携

今回の事件は、中央集権型取引所のホットウォレット管理に潜むシステミックリスクを改めて浮き彫りにした。DevOpsエンジニアのノートパソコンのハッキングによるアクセス制御の不備であれ、複数チェーンにわたる署名システムの連携不全であれ、単一の防御機能が破られるだけでクロスチェーンの連鎖反応を引き起こしうる。取引所にとって、コールドウォレットとホットウォレットの分離、マルチシグ承認、出金上限、異常行動の監視は、もはや選択肢ではなく存続のための最低条件だ。攻撃者が20分以内に10のチェーンをまたいで資金を移動させたことは、マルチチェーン時代における取引所のリスク管理がいかに複雑かも示している。あるチェーンの警報だけでは、他の9つのチェーンからの出金を止めるには間に合わない可能性がある。

今回の事件では、法執行機関との連携の迅速さがとりわけ重要だ。米司法省は2022年2月、FBIなどの法執行機関が9万4,000 BTC（当時の価値で36億ドル）の押収を支援したと発表した。この資金は、2016年に発生したBitfinex取引所の盗難事件に関連していた。8年前のBitfinex事件は、資金が移動してから何年も経過していても、法執行機関がオンチェーン追跡と司法手続きを通じて大規模な回収を実現できることを示している。BinanceとFBIの連携が同じ道筋をたどれるかどうかは、凍結資産の検証の進捗と国際的な司法協力の効率にかかっている。

市場では、事件を受けて連鎖的な変動が起きた。RUNEの短期的な上昇に加え、ビットコイン市場では事件後に約16億ドルの清算が発生した。こうした変動は、取引所のセキュリティインシデントの影響が当該プラットフォームだけにとどまらず、クロスチェーンプロトコル、清算の連鎖、センチメントの波及を通じて暗号資産エコシステム全体に広がることを示している。

今後の注目点には、凍結された30億ドルの資産の権利関係に関する検証結果、BinanceのPoR報告書の公表時期と対象範囲、法執行機関による攻撃者の身元の正式な確認、そして取引所がホットウォレット署名システムの改善策をより詳しく公表するかどうかが含まれる。ユーザーにとっては、重大なセキュリティインシデントの後、短期的な価格変動を追うよりも、取引所の準備金証明や資金回収の進捗に注目するほうが有意義だ。