2026年10月30日（東八区時間）、バイナンスで深刻かつ非常に複雑なセキュリティインシデントが発生しました。本来、起きてはならないことでした。このインシデントがユーザー、パートナー、そして業界全体にもたらした懸念や混乱、不確実性について、深くお詫び申し上げます。
ユーザーの保護は、私たちの最優先の責任です。今回盗難に遭った資金の損失は、ユーザーではなくバイナンスが全額負担します。今回のインシデントによる損失を補填できるよう、損失額の100%を超える資金を確保しています。2026年10月31日（東八区時間）時点で、影響を受けたトークン資産の98%の補填が完了しており、ユーザーは当社の準備金証明ページで確認できます。流動性が比較的低い残りの資産については、現在購入を進めています。
今回の事案に関係するデジタル資産の価値は約63億4,000万ドルです。本更新時点で、約28億5,000万ドル相当のデジタル資産が凍結または阻止されました。正確な金額は引き続き確認中であり、市場価格の変動の影響を受ける可能性があります。
当社は事案の影響を抑えるため直ちに対応し、関連システムのセキュリティを強化しました。今回の攻撃で悪用された侵入経路はすべて封鎖し、攻撃経路に関係するシステムは再構築または交換しました。また、端末管理とウォレットサービスのリスク管理システムを強化し、AIを活用した異常行動検知機能を拡充しました。
これは、現時点で判明している内容と、すでに完了した改善策をまとめた初期調査報告書です。調査は継続中であり、調査結果は今後、独立したさらなる審査を受ける予定です。悪意のある攻撃者が情報を悪用して追加の攻撃を計画するのを防ぐため、技術的な詳細の一部は引き続き非公開とします。独立したセキュリティ企業に、さらなる審査を依頼しています。
米連邦捜査局（FBI）が公表した最新情報によると、今回の事案の責任は朝鮮民主主義人民共和国（DPRK）にあります。
業界全体が共に学び、経験を共有することでのみ、セキュリティ水準を継続的に向上できるため、当社はこの報告書を公開します。
10月30日の事案の概要
今回の攻撃は、複数のブロックチェーンネットワーク上で急速に展開しました。
攻撃者は、不正に取得した社内ウォレット署名サービスへのアクセス権を利用し、通常の出金手続きを迂回して取引を実行しました。
04:05から04:09（UTC+8）の間に、Binanceの5つのホットウォレットから、攻撃者が管理するアドレスへ2億3,346万XRPが送金されました。
BinanceのSolanaおよびOptimismネットワーク上のホットウォレットから、攻撃者が管理するアドレスへ、それぞれ約970,500 SOLと4,420万OPが送金されました。
その後、Binanceは多額の送金に関する社内アラートを受け取り、直ちに調査を開始しました。
Binanceのホットウォレットから、攻撃者が管理するアドレスへ18,270 BTCが送金されました。
その後、攻撃者は署名サービスを利用して、EthereumのEIP-7702認証メカニズムを悪用しました。EIP-7702では、秘密鍵を公開することなく、アカウントの一部の実行権限をスマートコントラクトに委任できます。今回の事案では、攻撃者はこの仕組みを利用し、自らが管理するスマートコントラクトに、影響を受けたBinanceのホットウォレットの一部の実行権限を与えました。
Binanceは直ちに、さらなる資金流出を防ぐための出金停止、影響を受けたトークンの凍結に向けたパートナーとの連携、不正な権限の取り消しなど、複数の緊急対策を開始しました。これらの対応により、約28億5,000万ドル相当の資産を凍結しました。
しかし、出金を一時停止するだけでは、すべての不正な資産移転を防ぐことはできませんでした。悪意のあるEIP-7702認証はすでにブロックチェーン上に存在し、Binanceの通常の出金インフラとは独立して機能していました。攻撃者は、アカウントのナンス（account nonce）を操作して悪意のある委任認証を設定するため、署名済みの取引を50件送信しました。これらの認証が設定されると、攻撃者はBinanceの通常の出金インフラを迂回して資産の移転を続けることができました。Binanceがこれらの認証を取り消すには、追加のオンチェーン取引が必要でした。
事案の封じ込めには、ほかにも技術的な複雑さが伴いました。影響を受けたホットウォレットではマルチパーティ計算（MPC）技術が使用されていたため、悪意のあるEIP-7702認証を直ちに取り消すための単一の秘密鍵は存在しませんでした。そのため、チームは個別の取り消し手順を設計し、実行するために追加の時間を要しました。また、出金を一時停止し、ホットウォレットサービスを停止しても、すでにブロックチェーン上に存在する認証が自動的に無効になるわけではありません。
これらの課題により、不正な資産移転を完全に制御するまでに必要な時間が延びました。今回の事案における緊急対応プロセス、署名戦略の適用範囲、ホットウォレットの制御メカニズムを見直し、強化できる点を特定することで、今後のセキュリティ脅威に迅速に対応できる能力を高めています。
最後の不正送金である2,961.9 ETHの取引は、07:56（UTC+8）にブロックチェーン上で最終確定しました。この取引はそれ以前にネットワークへブロードキャストされ、保留状態にあった後、最終的に確定しました。それ以降、ほかの不正送金は確認されていません。
2026年10月30日08:10（UTC+8）、BinanceはBinance14ホットウォレットから空のアドレスに対して新たな認証操作を実行し、EIP-7702の委任コードを消去しました。
攻撃の準備過程
現時点での調査結果によると、今回の事案は複雑な多段階の攻撃活動であり、単発の侵入でも単純なフィッシング攻撃でもありません。攻撃者は、偽の採用面接を通じたソーシャルエンジニアリング、マルウェアのダウンロード、社内AIツールへの侵入、エンドポイントの侵害、高度な取引承認手法など、複数の手口を組み合わせて使用しました。
2026年6月 — サプライチェーン攻撃。ウォレット開発・運用チームのエンジニアAは、人気のAIコーディングツールをインストールするため、検索エンジンで検索し、改ざんされたHomebrewインストーラーをダウンロードしました。当社のセキュリティチームはこの異常をプロアクティブに検知し、当該端末を交換するとともに、関連するすべての認証情報をローテーションしました。それにもかかわらず、エンジニアAの職務情報と、ウォレットインフラチームの関係者の情報は、攻撃者に漏えいしていました。
2026年以降、Binanceのセキュリティチームは、北朝鮮との関連が疑われるサイバー脅威事案を57件検知し、防止しました。これらの攻撃は、国家の支援を受けた攻撃者が暗号資産業界に継続的な脅威をもたらしていることを示しています。攻撃手法には、偽の採用面接、人気の開発ツールを装ったマルウェア、改ざんされたソフトウェアパッケージやブラウザー拡張機能、偽のビデオ会議アプリ、アカウント認証情報の窃取やリモートアクセス型マルウェアの展開を目的としたソーシャルエンジニアリング攻撃などが含まれます。
9月 — ソーシャルエンジニアリング攻撃。ソフトウェアエンジニアBは、正規の求人プラットフォームを通じて、プロジェクトディレクターを装う人物から連絡を受けました。エンジニアBは同プラットフォーム上のプロフィールに、Binanceでの職務経験を記載していました。相手はプロジェクトディレクターとして、まず人事担当者が参加する一次面接を設定し、その後、架空の会社のCEOを名乗る人物との二次面接を設定しました。
一次面接では、人事担当者を装った人物がエンジニアBとリアルタイムのビデオ面接を行いました。信頼を得るため、面接者は自身のSNSアカウントもエンジニアBに共有しました。そのアカウントには、私生活の写真や動画が投稿されていました。この手口は、従来のソーシャルエンジニアリング攻撃よりも巧妙で、さらに欺瞞性の高いものでした。
二次面接は、人気のソーシャルチャットアプリを通じて行われました。面接の終盤、エンジニアBは、コードリポジトリを含む「課題」を業務用PCにダウンロードするよう求められました。このコードリポジトリには悪意のあるコードが含まれており、インストール中に実行され、一連の不正な操作が引き起こされました。
このマルウェアは、高度なコード難読化や検知回避の手法を採用していました。その中には、正規の開発ツールのコンポーネントを悪意のあるバージョンに置き換え、コマンドを実行し、攻撃者が管理する外部サーバーとの通信を確立する手法も含まれていました。当時、エンドポイントセキュリティツールはこのゼロデイマルウェアを検知できませんでした。攻撃者はさらに、悪意のある活動を隠し、侵入の痕跡を消去するなどの対策を講じ、検知と事後調査を一層困難にしました。
このスクリプトはコード難読化技術でセキュリティ検知を回避し、以下の操作を実行しました：
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← 正規のpyenvを削除
RENAME pyenv_ → pyenv (3,414 B) ← 悪意のあるバージョンに置き換え
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln（新しいシンボリックリンクを作成） + zshを起動
10月20日 — 社内AIツールを攻撃の足掛かりとして利用。攻撃者は、侵害したエンジニアBのPCを利用し、社内AIツールを通じて、ウォレット開発・運用エンジニアAと、別のウォレットソフトウェアエンジニアCの端末を制御しました。攻撃者はほどなくして、エンジニアAのPCにコンテナのデプロイ権限を持つトークンが保存されていることを発見しました。
10月30日 — ウォレット署名操作への侵入。10月30日01:15から03:56（UTC+8）の間に、攻撃者はソフトウェアエンジニアCのPCにログインし、エンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、悪意のあるスクリプトを実行して、今回の攻撃を開始しました。
これまでに実施した対策
2026年11月3日時点で、以下の対策を実施しました：
影響を受けたウォレットシステムを新しい環境で再構築。
影響を受けた社内AIツールを再構築し、関連するアクセス制御を強化。
影響を受けた端末を交換。
影響を受けたエンジニアに関連する認証情報とトークンを無効化。
全従業員の端末に対する強化セキュリティスキャンを完了。
AIを活用した異常行動検知機能を強化。
ウォレットサービスのリスク管理対策を強化。
法執行機関、ブロックチェーン情報機関、業界パートナーと連携し、影響を受けた資産を追跡・凍結。
調査を続ける中で、各種セキュリティ対策をさらに強化していきます。すでに完了した対策や現在実施中の対策の一部については、悪意のある攻撃者が情報を利用して当社の防御を突破することを防ぐため、引き続き非公開とします。
今後の対応
以下の取り組みを直ちに進めます：
1. 独立したサイバーセキュリティ審査の実施
今回の事案を包括的に審査し、当社の調査結果を検証するとともに、さらなるセキュリティ改善策を提案してもらうため、独立した第三者のサイバーセキュリティ専門家に審査を依頼しています。審査の範囲と調査結果は、継続的な修復作業を進める際の指針となります。
2. AIの安全性と予防への投資拡大
AIを活用した脅威検知、エンドポイント保護、開発環境のセキュリティ、異常行動の監視などの分野への投資を拡大します。
3. セキュリティ研究基金の設立と業界連携の推進
主要なAI企業、業界関係者、セキュリティ機関と連携し、ブロックチェーン環境におけるAIセキュリティに焦点を当てた取り組みを進めるため、セキュリティ研究基金の設立を準備しています。
新たに判明した情報は、今後も積極的に共有していきます。