2026年10月29日、Binanceは重大かつ非常に巧妙なセキュリティインシデントに見舞われました。このような事態は起こるべきではありませんでした。ユーザー、パートナー、そして業界全体にご心配、ご不便、ご不安をおかけしたことをお詫び申し上げます。

私たちの最優先の責任は、ユーザーを守ることです。盗まれた資金による経済的損失はBinanceが負担し、ユーザーに負担を求めることはありません。損失を補填するために必要な資金の100％を超える額を、すでに確保しています。2026年10月31日時点で、影響を受けたトークン資産の98％が返還されており、当社の準備金証明（Proof of Reserves）ページで確認できます。現在、流動性の低い残りの資産を取得する手続きを進めています。

このインシデントにより、約63億4,000万米ドル相当のデジタル資産が影響を受けました。この更新時点で、約28億5,000万米ドル相当のデジタル資産が凍結または阻止されています。金額は照合および市場価格の変動の影響を受けます。

インシデントを封じ込め、関係するシステムを強化するため、直ちに対策を講じました。攻撃に利用されたと特定されたアクセスポイントは閉鎖しました。攻撃経路に関係するシステムは再構築または交換しました。また、デバイス管理を強化し、ウォレットサービスのリスク管理を強化するとともに、人工知能（AI）を活用した行動異常検知を拡充しました。

これは初回報告です。現時点で判明していることと、すでに実施した改善策をお伝えします。調査は継続中であり、調査結果は今後、追加の独立したレビューを受ける予定です。悪意のある攻撃者が攻撃計画に利用するのを防ぐため、一部の技術的詳細は機密情報として取り扱います。追加レビューの実施にあたり、独立したセキュリティ専門企業と連携しています。

米国連邦捜査局（FBI）が公表した最新情報によると、このインシデントの責任は朝鮮民主主義人民共和国にあります。

業界が共同で学び、知識を共有することでセキュリティが向上するため、この初回報告を公開します。

10月29日に起きたこと

攻撃は複数のネットワークを通じて急速に展開しました。

攻撃者は、ウォレットの社内トランザクション署名サービスへの不正アクセスを利用し、通常の出金プロセスを経ない取引を開始しました。

20:05～20:09 UTCの間に、Binanceの5つのホットウォレットが、攻撃者の管理するアドレスに2億3,346万XRPを送金しました。

SolanaおよびOptimism上のBinanceホットウォレットから、約97万500 SOLと4,420万OPが攻撃者の管理するアドレスに送金されました。

その後、Binanceは大口送金に関する社内アラートを受け取り、直ちに調査を開始しました。

Binanceのホットウォレットから、攻撃者の管理するアドレスに18,270 BTCが送金されました。

続いて攻撃者は署名サービスを利用し、EthereumのEIP-7702承認メカニズムを悪用しました。EIP-7702では、アカウントが秘密鍵を公開することなく、特定の実行権限をスマートコントラクトに委任できます。このケースでは、攻撃者はこのメカニズムを利用して、自らが管理するスマートコントラクトにBinanceのホットウォレットの部分的な実行権限を与えました。

Binanceは直ちに複数の封じ込め措置を開始しました。これには、さらなる資金流出を抑えるための出金停止、影響を受けたトークンの凍結に向けたパートナーとの連携、不正な権限を取り消すための対策などが含まれます。これらの取り組みにより、合計28億5,000万米ドル相当の資産を凍結できました。

しかし、出金を停止するだけでは、すべての不正な資産移動を阻止できませんでした。悪意のあるEIP-7702の承認はすでにブロックチェーン上に存在し、Binanceの通常の出金インフラとは独立して機能していたためです。

攻撃者は、アカウントのnonceを操作して悪意のある委任承認を設定するため、署名トランザクションを50件送信しました。これらの承認が設定されると、攻撃者はBinanceの通常の出金インフラとは独立して資産を移転し続けることができました。そのためBinanceは、ブロックチェーン上でこれらの承認を取り消すため、追加のトランザクションを実行する必要がありました。

封じ込めの過程には、さらなる技術的な複雑さが伴いました。ホットウォレットではマルチパーティ計算（MPC）が使われていたため、悪意のあるEIP-7702の承認を直ちに取り消すために使える単一の秘密鍵は存在しませんでした。そのため、チームはこれらの承認を取り消すための専用手順を開発して実行する必要があり、追加の時間を要しました。また、出金の停止やホットウォレットサービスの停止を行っても、ブロックチェーン上にすでに存在する承認が自動的に無効になるわけではありませんでした。

こうした課題により、不正な資産移動を完全に封じ込めるまでに時間がかかりました。現在、インシデント対応プロセス、署名ポリシーの適用範囲、ホットウォレットの管理体制を見直すとともに、将来の脅威に迅速に対応する能力を強化できる機会を特定しています。

最後の不正送金は合計2,961.9 ETHで、23:56 UTCにブロックチェーン上で確認されました。このトランザクションはそれ以前に送信され、承認されるまで保留状態でした。この取引以降、新たな不正送金は確認されていません。

2026年10月30日 00:10 UTC、BinanceはホットウォレットBinance14からゼロアドレスへの新たな承認を実行し、EIP-7702の委任コードを削除しました。

攻撃の準備

現在の調査によると、これは高度で複数段階にわたるキャンペーンでした。単独の侵入でも、単純なフィッシング事件でもありません。攻撃者は、偽の就職面接を通じたソーシャルエンジニアリング、悪意のあるソフトウェアのダウンロード、侵害された社内AIツール、デバイスの侵害、高度なトランザクション承認手法など、複数の手法を組み合わせていました。

2026年6月：ソフトウェアサプライチェーン攻撃

ウォレットDevOpsチームのエンジニアAは、検索エンジンで人気のAIベースのプログラミングツールを検索した後、インストールするために、改変されたHomebrewインストーラーをダウンロードしました。

当社のセキュリティチームは異常を検知し、予防的なセキュリティ対策としてデバイスを交換し、関連するすべての認証情報を更新しました。しかし、エンジニアAと、ウォレットインフラチームに関係する同僚の端末は、攻撃者に侵害されていました。

2026年、Binanceのセキュリティチームは、北朝鮮に関連する潜在的なサイバー脅威を57件検知し、阻止しました。これらの試みは、国家の支援を受けた攻撃者が暗号資産業界にもたらす脅威が依然として続いていることを示しています。

使用された手法には、偽の就職面接、人気の開発者向けツールを装った悪意のあるソフトウェア、侵害されたソフトウェアパッケージやブラウザー拡張機能、偽のビデオ会議アプリ、認証情報の窃取やリモートアクセス型マルウェアのインストールを目的としたソーシャルエンジニアリングキャンペーンなどがあります。

2026年9月：ソーシャルエンジニアリング

ソフトウェアエンジニアBは、正規の求人プラットフォームを通じて、プロジェクトマネージャーを装った人物から連絡を受けました。エンジニアBはそのプラットフォームにプロフィールを掲載しており、Binanceでの経験について記載していました。

自称プロジェクトマネージャーは、最初に人事担当者との面接を設定し、その後、架空の企業の最高経営責任者だと名乗る人物との2回目の面接を設定しました。

最初の面接で、自称人事担当者はソフトウェアエンジニアBとライブビデオ通話を行いました。信頼を得るため、面接担当者は、プラットフォームに投稿された個人的な写真や動画を含むソーシャルメディアアカウントをBに共有しました。この手法は、これまでに確認されていたソーシャルエンジニアリングの手口よりも高度で巧妙でした。

2回目の面接は、人気のソーシャルメッセージングアプリを通じて行われました。面接の終盤、エンジニアBは、悪意のあるコードリポジトリを含む「技術課題」を業務用コンピューターにダウンロードするよう指示されました。リポジトリには、セットアップ中に実行され、一連の不正な活動を開始する悪意のあるコードが含まれていました。

マルウェアは、難読化や検知回避の高度な手法を用いていました。これには、開発ツールの正規コンポーネントを悪意のあるバージョンに置き換えてコマンドを実行し、攻撃者が制御する外部サーバーと通信を確立する手法が含まれていました。

このゼロデイマルウェアは、当時、デバイスのセキュリティ保護ツールでは検知されませんでした。また、攻撃者は悪意のある活動を隠し、侵入の痕跡を消すための措置を講じていたため、検知とその後の調査が困難になりました。

スクリプトは、セキュリティ検知メカニズムを回避するために難読化技術を用いて、次の手順を実行しました。

テキスト

作成  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

変更  pyenv_ → 3,414 B

削除  .../libexec/pyenv  (3,344 B)
        ← 正規のpyenvファイルを削除

名前変更  pyenv_ → pyenv  (3,414 B)
        ← 悪意のあるバージョンに置き換え

削除  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (新しいシンボリックリンクを作成)  +  zshを起動

2026年10月20日：社内AIツールを侵入経路として利用

攻撃者は侵害したエンジニアBのコンピューターを利用し、社内AIツールを使って、ウォレットDevOpsのエンジニアAと、エンジニアCとして特定された別のウォレットソフトウェアエンジニアを掌握しました。

その直後、攻撃者はエンジニアAのコンピューターにコンテナをデプロイする権限を持つトークンがあることを突き止めました。

2026年10月29日：ウォレット署名業務へのアクセス

10月29日 17:15～19:56 UTCの間に、攻撃者はソフトウェアエンジニアCのコンピューターにログインし、ウォレットDevOpsのエンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、攻撃を開始する悪意のあるスクリプトを実行しました。

実施した対策

2026年11月3日時点で、以下の措置を実施しました。

• 影響を受けたウォレットシステムを新しい環境に再構築しました。

• 影響を受けた社内AIツールを再構築し、アクセス制御を強化しました。

• 影響を受けたデバイスを交換しました。

• 影響を受けたエンジニアに関連する認証情報とトークンを無効化しました。

• 全従業員のデバイスに対するセキュリティ分析を強化して完了しました。

• AIを活用した行動異常検知を改善しました。

• ウォレットサービスのリスク管理を強化しました。

• 影響を受けた資産を追跡・凍結するため、法執行機関、ブロックチェーン分析企業、業界パートナーと連携しました。

調査の進展に応じて、引き続き対策を強化していきます。悪意のある攻撃者によるシステム侵害を防ぐため、複数のセキュリティ対策を実施済み、または実施中であり、その詳細は機密情報として取り扱います。

今後の対応

以下の措置に直ちに着手しています。

1. 独立したサイバーセキュリティレビュー

独立したサイバーセキュリティの専門家を起用し、インシデントの包括的なレビューを実施して、当社の調査結果を検証するとともに、追加の対策を提言してもらいます。

このレビューの範囲と結果は、継続的な修正・改善活動の基礎となります。

2. AIを活用したセキュリティと予防への投資拡大

AIを活用した検知、デバイス保護、開発環境のセキュリティ、行動異常の監視への投資を拡大しています。

3. セキュリティ研究基金と業界向け施策

セキュリティ研究基金の設立と、主要なAI企業、業界関係者、専門のセキュリティ企業との連携による具体的な施策の策定に取り組んでいます。特に、ブロックチェーン環境におけるAIのセキュリティに重点を置いています。

新たな情報が得られ次第、引き続き積極的に共有していきます。