2026年10月29日のBinanceセキュリティインシデント：初期調査結果と対応状況の更新

2026年10月29日、Binanceで深刻かつ極めて高度なセキュリティインシデントが発生しました。このような事態は起きるべきではありませんでした。ユーザー、パートナー、そして業界全体にご心配、ご不便、ご不安をおかけしたことをお詫び申し上げます。
私たちの第一の責任は、ユーザーを守ることです。盗まれた資金による金銭的影響はBinanceが負担し、ユーザーに負担をかけることはありません。損失を補填するために必要な資金の100%を超える額を、すでに確保しています。2026年10月31日時点で、影響を受けたトークン資産の98%が補充されており、当社のプルーフ・オブ・リザーブ（準備金証明）ページで確認できます。残る流動性の低い資産については、現在購入を進めています。
この事案により、約63億4,000万米ドル相当のデジタル資産が影響を受けました。今回の更新時点で、約28億5,000万米ドル相当のデジタル資産が凍結または阻止されています。なお、この金額は照合や市場価格の変動により変わる可能性があります。
当社は、事案の封じ込めと関連システムの強化に向け、直ちに対応しました。攻撃に利用されたことが確認された侵入経路は閉鎖しました。攻撃経路上で影響を受けたシステムは再構築または交換しました。また、端末管理を強化し、ウォレットサービスのリスク管理を強化するとともに、AIを活用した行動異常検知を拡充しました。
これは当社による初期報告です。現時点で判明していることと、すでに改善した内容をまとめています。調査は現在も継続中であり、調査結果は今後、独立した第三者によるさらなる検証を受ける予定です。悪意のある攻撃者が攻撃計画に利用することを防ぐため、一部の技術的詳細は非公開とします。さらなる検証のため、独立したセキュリティ企業にも依頼しています。
連邦捜査局（FBI）が発表した最新情報によると、この事案は朝鮮民主主義人民共和国によるものです。
業界全体で知見を共有することでセキュリティは向上するため、今回の初期報告を公開します。
10月29日に発生した事案攻撃は複数のネットワークにわたり、短時間で展開しました。
攻撃者は、社内ウォレット署名サービスへの不正アクセスを悪用し、通常の出金プロセスを経ずにトランザクションを実行しました。
20:05 UTCから20:09 UTCの間に、Binanceの5つのホットウォレットから、攻撃者が管理するアドレスへ2億3,346万XRPが送金されました。
BinanceのSolanaおよびOptimism上のホットウォレットから、攻撃者が管理するアドレスへ約970,500 SOLと4,420万OPが送金されました。
その後Binanceは、大口送金に関する社内アラートを受け取り、直ちに調査を開始しました。
Binanceのホットウォレットから、攻撃者が管理するアドレスへ18,270 BTCが送金されました。
その後、攻撃者は署名サービスを利用し、EthereumのEIP-7702承認メカニズムを悪用しました。EIP-7702では、秘密鍵を公開することなく、アカウントからスマートコントラクトに特定の実行権限を委任できます。この事案では、攻撃者はこの仕組みを使い、攻撃者が管理するスマートコントラクトにBinanceのホットウォレットの部分的な実行権限を付与しました。
Binanceは直ちに、さらなる資産流出を制限するための出金停止、影響を受けたトークンの凍結に向けたパートナーとの連携、不正な権限の取り消しなど、複数の封じ込め措置を開始しました。これらの取り組みにより、合計28億5,000万ドル相当の資産が凍結されました。
しかし、出金を停止するだけでは、すべての不正な資産移動を阻止できませんでした。悪意のあるEIP-7702の承認はオンチェーン上に存在し、Binanceの通常の出金インフラとは独立して機能していました。攻撃者はアカウントのナンスを操作し、悪意のある委任承認を設定するため、50件の署名トランザクションを送信しました。いったん設定されると、これらの承認により、攻撃者はBinanceの通常の出金インフラに依存せずに資産を移動し続けることが可能になりました。Binanceは、こうしたオンチェーン上の承認を取り消すため、追加のトランザクションを実行する必要がありました。
封じ込めには、さらに技術的な複雑さが伴いました。ホットウォレットではマルチパーティ計算（MPC）が使用されていたため、悪意のあるEIP-7702の承認を直ちに取り消すために使える単一の秘密鍵は存在しませんでした。そのため、チームは承認を取り消すための専用手順を策定して実行しましたが、これには追加の時間が必要でした。さらに、出金の停止やホットウォレットサービスの停止だけでは、既存のオンチェーン承認は自動的に無効になりませんでした。
こうした課題により、不正な資産移動を完全に封じ込めるまでに要する時間が長くなりました。当社はインシデント対応プロセス、署名ポリシーの適用範囲、ホットウォレットの管理体制を見直し、将来の脅威に迅速に対応する能力をさらに強化できる機会を特定しています。
最後の不正送金である2,961.9 ETHは、23:56 UTCにオンチェーンで確定しました。このトランザクションはそれ以前にブロードキャストされ、保留状態にありましたが、その後確定しました。それ以降、不正な送金は確認されていません。
2026年10月30日 00:10 UTC、BinanceはBinance14ホットウォレットからゼロアドレスへの新たな承認を実行し、EIP-7702の委任コードを消去しました。
攻撃の準備現在の調査によると、これは高度な複数段階のキャンペーンでした。単独の侵害や単純なフィッシング事案ではありません。攻撃者は、偽の採用面接を利用したソーシャルエンジニアリング、悪意のあるソフトウェアのダウンロード、社内AIツールの侵害、エンドポイントの侵害、高度なトランザクション承認手法など、さまざまな手法を組み合わせていました。
2026年6月 — サプライチェーン攻撃。Wallet DevOpsのエンジニアAは、検索エンジンで人気のAIコーディングツールを検索した後、それをインストールするために改ざんされたHomebrewインストーラーをダウンロードしました。当社のセキュリティチームは異常を検知し、予防的なセキュリティ対策として端末を交換し、関連するすべての認証情報をローテーションしました。しかし、エンジニアAの役割と、ウォレットインフラチームで彼と関わりのある同僚の情報は、ハッカーに漏れていました。
2026年を通じて、Binanceのセキュリティチームは、北朝鮮との関連が疑われるサイバー脅威事案を57件検知し、防止しました。これらの攻撃は、暗号資産業界を標的とする国家支援型の攻撃者による脅威が絶えず続いていることを示しています。手口には、偽の採用面接、人気の開発者向けツールを装った悪意のあるソフトウェア、侵害されたソフトウェアパッケージやブラウザー拡張機能、偽のビデオ会議アプリ、認証情報の窃取やリモートアクセス型マルウェアの展開を目的としたソーシャルエンジニアリングキャンペーンなどがあります。
2026年9月 — ソーシャルエンジニアリング。ソフトウェアエンジニアBは、正規の求職プラットフォームを通じて、プロジェクトディレクターを名乗る人物から連絡を受けました。ソフトウェアエンジニアBは同プラットフォームにプロフィールを登録しており、Binanceでの職務経験を記載していました。プロジェクトディレクターを名乗る人物は、人事担当者との一次面接に続き、架空の企業のCEOを名乗る人物との二次面接を設定しました。
一次面接では、人事担当者を名乗る人物がソフトウェアエンジニアBとライブビデオ面接を行いました。面接担当者は信頼を得るため、自分のソーシャルメディアアカウントを共有し、そこに投稿されていた個人的な写真や動画を見せました。これは、これまでに確認されたソーシャルエンジニアリングの手口よりも高度で、巧妙なものでした。
二次面接は人気のソーシャルチャットアプリ上で行われました。面接の終盤、エンジニアBは悪意のあるコードリポジトリを含む「課題」をダウンロードし、業務用コンピューターに保存するよう指示されました。リポジトリにはセットアップ中に実行される悪意のあるコードが含まれており、一連の不正な活動が開始されました。
マルウェアは、高度な難読化・回避手法を用いていました。正規の開発ツールのコンポーネントを悪意のあるものに置き換え、コマンドを実行するとともに、攻撃者が管理する外部サーバーとの通信を確立していました。当時、このゼロデイマルウェアはエンドポイントセキュリティ保護ツールでは検知されませんでした。また攻撃者は、悪意のある活動を隠蔽し、侵害の痕跡を消去する措置も講じていたため、検知とその後の調査はさらに困難になりました。
スクリプトは、セキュリティ検知を回避するために難読化手法を用い、以下の手順を実行しました。
作成　/opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
変更　pyenv_ → 3,414 B
削除　.../libexec/pyenv（3,344 B）　　　← 正規のpyenvを削除
名前変更　pyenv_ → pyenv（3,414 B）　← 悪意のあるバージョンに置き換え
削除　/opt/homebrew/bin/pyenv（3,414 B）
ln（新しいシンボリックリンクを作成）＋ zshを起動
2026年10月20日 — 社内AIツールを足掛かりとして利用。攻撃者はエンジニアBの侵害されたコンピューターを利用し、社内AIツールを使ってWallet DevOpsのエンジニアAと、別のWalletソフトウェアエンジニアCを掌握しました。攻撃者はすぐに、Wallet DevOpsのエンジニアAのコンピューターにコンテナのデプロイ権限トークンがあることを突き止めました。
2026年10月29日 — ウォレットの署名処理への侵入。10月29日17:15から19:56の間に、攻撃者はソフトウェアエンジニアCのコンピューターにログインし、Wallet DevOpsのエンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、悪意のあるスクリプトを起動して攻撃を開始しました。
当社が実施した対応2026年11月3日時点で、以下の対応を実施しました。
影響を受けたウォレットシステムを新しい環境で再構築しました。
影響を受けた社内AIツールとアクセス制御を再構築しました。
影響を受けた端末を交換しました。
影響を受けたエンジニアに関連する認証情報とトークンを無効化しました。
全従業員の端末を対象に、強化されたセキュリティスキャンを完了しました。
AIを活用した行動異常検知を強化しました。
ウォレットサービスのリスク管理を強化しました。
法執行機関、ブロックチェーン分析企業、業界パートナーと連携し、影響を受けた資産の追跡と凍結に取り組みました。
調査の進展に応じて、今後も対策を強化していきます。悪意のある攻撃者によるセキュリティ侵害を防ぐため、実施済みまたは現在実施中のセキュリティ対策の一部については、非公開とします。
今後の対応以下の措置を直ちに実施します。
1. 独立したサイバーセキュリティレビュー
独立した第三者のサイバーセキュリティ専門家に依頼し、事案の包括的なレビューを実施して、調査結果を検証するとともに追加対策を提言してもらいます。このレビューの範囲と結果を、継続中の是正作業に反映します。
2. AIセキュリティと防止策への投資拡大
AIを活用した検知、エンドポイント保護、開発環境のセキュリティ、行動異常の監視への投資を拡大します。
3. セキュリティ研究基金と業界イニシアチブ
ブロックチェーン環境におけるAIセキュリティに焦点を当て、主要なAI企業、業界関係者、セキュリティ企業と連携したセキュリティ研究基金および的を絞った取り組みの設立に向けて準備を進めています。
情報が得られ次第、今後も積極的に共有していきます。