2026年10月30日（UTC+8）、Binanceで深刻かつ非常に複雑なセキュリティインシデントが発生しました。このような事態は起きるべきではありませんでした。今回の事象がユーザー、パートナー、そして業界全体にもたらした懸念や混乱、不確実性について、深くお詫び申し上げます。
ユーザーの保護は、私たちの最優先の責務です。今回盗難に遭った資金の損失はユーザーではなく、Binanceが全額負担します。今回の事象による損失を補填できるよう、資金の100％を超える額を確保しています。2026年10月31日（UTC+8）時点で、影響を受けたトークン資産の98％について補填が完了しており、ユーザーは準備金証明ページで確認できます。残りの流動性が低い資産についても、現在購入を進めています。
今回の事件に関与したデジタル資産の価値は、約63億4,000万ドルです。本更新時点で、約28億5,000万ドル相当のデジタル資産が凍結または阻止されています。正確な金額は引き続き確認中であり、市場価格の変動の影響を受ける可能性があります。
当社は事件の影響を封じ込め、関連システムのセキュリティを強化するため、直ちに対応を開始しました。今回の攻撃で悪用された侵入経路はすべて遮断し、攻撃経路に関係するシステムは再構築または交換しました。また、端末管理やウォレットサービスのリスク管理システムをさらに強化するとともに、AIを活用した異常行動検知機能を拡充しました。
これは初期調査報告書であり、現時点で判明している内容と、すでに完了した改善策をまとめています。調査は現在も進行中で、調査結果は今後さらに独立した審査を受ける予定です。悪意ある攻撃者が情報を悪用して追加の攻撃を計画するのを防ぐため、一部の技術的詳細は引き続き非公開とします。さらなる審査を実施するため、独立系セキュリティ企業に協力を依頼しています。
米連邦捜査局（FBI）が発表した最新情報によると、朝鮮民主主義人民共和国（DPRK）が今回の事件に関与したとされています。
業界全体で学び、経験を共有することによってのみ、セキュリティを継続的に向上させることができるため、本報告書を公開します。
10月30日の事件の概要
今回の攻撃は、複数のブロックチェーンネットワーク上で急速に展開されました。
攻撃者は、不正に取得した内部ウォレット署名サービスへのアクセス権を利用し、通常の出金プロセスを回避して取引を実行しました。
UTC+8の04:05から04:09にかけて、バイナンスの5つのホットウォレットから、攻撃者が管理するアドレスへ2億3,346万XRPが送金されました。
バイナンスのSolanaおよびOptimismネットワーク上のホットウォレットから、攻撃者が管理するアドレスへ、それぞれ約970,500 SOLと4,420万OPが送金されました。
その後、バイナンスは大口送金に関する内部アラートを受け取り、直ちに調査を開始しました。
バイナンスのホットウォレットから、攻撃者が管理するアドレスへ18,270 BTCが送金されました。
その後、攻撃者は署名サービスを利用し、イーサリアムのEIP-7702承認メカニズムを悪用しました。EIP-7702では、秘密鍵を公開することなく、アカウントの一部の実行権限をスマートコントラクトに委任できます。今回の事件では、攻撃者はこの仕組みを利用して、自らが管理するスマートコントラクトに、影響を受けたバイナンスのホットウォレットに対する一部の実行権限を与えました。
バイナンスは直ちに複数の緊急制御措置を開始しました。さらなる資金流出を防ぐための出金停止、影響を受けたトークンの凍結に向けたパートナーとの調整、不正な権限を取り消すための措置などです。これらの対応により、約28億5,000万ドル相当の資産を凍結しました。
しかし、出金を停止するだけでは、すべての不正な資産移転を阻止できませんでした。悪意あるEIP-7702承認はすでにオンチェーンに存在し、バイナンスの通常の出金インフラとは独立して機能していました。攻撃者は、アカウントのナンス（account nonce）を操作して悪意ある委任承認を確立するため、署名済みの取引を50件送信しました。これらの承認が確立されると、攻撃者はバイナンスの通常の出金インフラを迂回して、資産の移転を続けることが可能になりました。バイナンス側は、これらの承認を取り消すため、追加のオンチェーン取引を行う必要がありました。
事件の影響を封じ込める過程では、ほかにも技術的な複雑さが伴いました。影響を受けたホットウォレットはマルチパーティ計算（MPC）技術を採用していたため、悪意あるEIP-7702承認を直ちに取り消すために直接利用できる単一の秘密鍵は存在しませんでした。そのため、チームは専用の取り消し手順を個別に設計し、実行するために追加の時間を必要としました。また、出金の停止やホットウォレットサービスの停止によって、すでに存在するオンチェーン承認が自動的に無効になるわけではありません。
こうした課題により、不正な資産移転を完全に制御するまでに時間を要しました。今回の事件における緊急対応プロセス、署名ポリシーの適用範囲、ホットウォレットの制御メカニズムを見直し、今後、セキュリティ脅威に迅速に対応する能力を高めるため、強化できる点を特定しています。
最後の不正送金となる2,961.9 ETHの取引は、UTC+8の07:56にオンチェーンで最終確定しました。この取引はそれ以前にネットワークへブロードキャストされ、保留状態が続いた後、最終確定しました。それ以降、ほかの不正送金は確認されていません。
2026年10月30日08:10（UTC+8）、バイナンスはBinance14ホットウォレットを通じて、空のアドレスに新たな承認操作を実行し、EIP-7702の委任コードを消去しました。
攻撃の準備過程
現在の調査結果によると、今回の事件は複雑な多段階攻撃であり、単発の侵入でも単純なフィッシング攻撃でもありません。攻撃者は、偽の採用面接を利用したソーシャルエンジニアリング、悪意あるソフトウェアのダウンロード、内部AIツールへの侵入、エンドポイントの侵害、高度な取引承認手法など、複数の技術を組み合わせていました。
2026年6月——サプライチェーン攻撃。ウォレット開発・運用チームのエンジニアAは、人気のAIコーディングツールをインストールするため、検索エンジンで検索し、改ざんされたHomebrewインストーラーをダウンロードしました。当社のセキュリティチームはこの異常を検知し、該当端末を交換するとともに、関連するすべての認証情報をローテーションしました。それにもかかわらず、エンジニアAの職務情報と、ウォレットインフラチームの関係者の情報は、すでに攻撃者に漏れていました。
2026年以降、バイナンスのセキュリティチームは、北朝鮮との関連が疑われるサイバー脅威事案を57件検知し、防止しました。これらの攻撃は、国家の支援を受けた攻撃者が暗号資産業界に継続的な脅威をもたらしていることを示しています。攻撃手法には、偽の採用面接、人気の開発ツールを装ったマルウェア、改ざんされたソフトウェアパッケージやブラウザー拡張機能、偽のビデオ会議アプリ、アカウント認証情報の窃取やリモートアクセス型マルウェアの展開を目的としたソーシャルエンジニアリングなどが含まれます。
9月——ソーシャルエンジニアリング攻撃。ソフトウェアエンジニアBは、正規の求人プラットフォームを通じて、プロジェクトディレクターを名乗る人物から連絡を受けました。エンジニアBはそのプラットフォームのプロフィールに、バイナンスでの職歴を記載していました。相手はプロジェクトディレクターとして、まず人事担当者が参加する一次面接を設定し、続いて、架空の企業のCEOを名乗る人物との二次面接を設定しました。
一次面接では、人事担当者を装った人物がエンジニアBとリアルタイムのビデオ面接を行いました。信頼を築くため、面接者は自身のソーシャルメディアアカウントもエンジニアBに共有し、そのアカウントには私生活の写真や動画が掲載されていました。この手口は、従来のソーシャルエンジニアリングよりも巧妙で、欺瞞性の高いものでした。
二次面接は、人気のソーシャルチャットアプリを使って行われました。面接の終盤、エンジニアBはコードリポジトリを含む「課題」を業務用コンピューターにダウンロードするよう求められました。そのコードリポジトリには悪意あるコードが含まれており、インストール中に実行され、一連の不正な操作が引き起こされました。
このマルウェアは、高度なコード難読化や検知回避の手法を採用していました。正規の開発ツールのコンポーネントを悪意あるバージョンに置き換え、コマンドを実行するとともに、攻撃者が管理する外部サーバーとの通信を確立しました。当時、エンドポイントセキュリティツールはこのゼロデイマルウェアを検知できませんでした。攻撃者はさらに、悪意ある活動を隠し、侵入の痕跡を消去するなどの措置を講じ、検知やその後の調査をいっそう困難にしました。
このスクリプトはコード難読化によってセキュリティ検知を回避し、以下の操作を実行しました：
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← 正規のpyenvを削除
RENAME pyenv_ → pyenv (3,414 B) ← 悪意あるバージョンに置き換え
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln （新しいシンボリックリンクを作成） + zshを起動
10月20日——内部AIツールを攻撃の踏み台として利用。攻撃者は侵害したエンジニアBのコンピューターを利用し、内部AIツールを通じて、ウォレット開発・運用エンジニアAと別のウォレットソフトウェアエンジニアCの端末を掌握しました。攻撃者はすぐに、エンジニアAのコンピューターにコンテナのデプロイ権限を持つトークンが保存されていることを突き止めました。
10月30日——ウォレットの署名操作に侵入。10月30日01:15から03:56（UTC+8）にかけて、攻撃者はソフトウェアエンジニアCのコンピューターにログインし、エンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、悪意あるスクリプトを実行して今回の攻撃を開始しました。
実施済みの対応
2026年11月3日時点で、以下の対応を実施しました：
影響を受けたウォレットシステムを、新たな環境で再構築。
影響を受けた内部AIツールを再構築し、関連するアクセス制御を強化。
影響を受けた端末を交換。
影響を受けたエンジニアに関連する認証情報とトークンを無効化。
全従業員の端末に対する強化セキュリティスキャンを完了。
AIを活用した異常行動検知機能を強化。
ウォレットサービスのリスク管理措置を強化。
法執行機関、ブロックチェーン情報機関、業界パートナーと連携し、影響を受けた資産を追跡・凍結。
調査の進展に合わせて、引き続き各種セキュリティ対策を強化していきます。すでに完了した、または現在実施中のセキュリティ対策の一部については、悪意ある攻撃者が情報を悪用して当社の防御を突破するのを防ぐため、引き続き非公開とします。
今後の対応
以下の取り組みを直ちに進めます：
独立したサイバーセキュリティ審査の実施
今回の事件について、独立した第三者のサイバーセキュリティ専門家に包括的な審査を依頼し、調査結果を検証するとともに、さらなるセキュリティ改善策の提案を受ける予定です。審査の範囲と結果を踏まえ、今後も修復作業を継続していきます。
AIセキュリティと予防への投資拡大
AIを活用した脅威検知、エンドポイント保護、開発環境のセキュリティ、異常行動の監視などの分野への投資を拡大します。
セキュリティ研究基金の設立と業界連携の推進
主要なAI企業、業界関係者、セキュリティ機関と連携し、ブロックチェーン環境におけるAIセキュリティに焦点を当てた取り組みを実施するため、セキュリティ研究基金の設立を準備しています。
最新情報を引き続き積極的に共有していきます。