10月29日、およそ20分の間に、63億ドルがバイナンスのウォレットから流出しました。これは暗号資産史上最大の窃盗で、2025年2月のBybitへのハッキングの4倍を超える規模です。
取引所自身によると、侵入の足がかりとなったのはエンジニアのコンピューターでした。偽の採用面接の後にマルウェアに感染していました。
その2日後、バイナンスは資産の98％を自己資金で補填したと発表し、翌日には出金を再開しました。
最後の事実を覚えておいてください。これが最も重要であり、最も語られていないことです。
金づちを持つ人には、どんな問題も釘に見える
Mt. Gox、2014年。QuadrigaCX、2019年。FTX、2022年。Bybit、2025年。Binance、2026年。最も悪名高いものだけを挙げても、これだけあります。問題はそれぞれ違っても、答えはいつも同じ。自己管理です。結局のところ、鍵を持たなければ、コインも持っていないのですから。
その前提は技術的には正しいです。秘密鍵を持っていなければ、その資産を管理しているとは言えません。管理者に対する請求権があるだけです。
そこから導かれる結論は、必ずしも自己管理のほうが安全だということではありません。
取引所が攻撃を受ければ、世界中がそれを知ります。何十億ドルもの資産が危険にさらされ、公式声明が出され、国際的に報道されます。
個人がすべてを失っても、知る人はほとんどいません。損失がオンチェーンで、誰でも厳密に確認できるものだとしても、一般の人々のうち、ブロックチェーン調査を追っている人がどれほどいるでしょうか？！一般の人々が目にするのは報道です。
こうした被害者の多くは、恥ずかしさや信じられない気持ちから、警察に被害届すら出しません。
捜査する側の私たちには、見慣れた光景です。被害者が取引ハッシュを手に、「誰かビットコインを凍結してくれるはずだ」という期待を抱いて現れます。
そして、いくつもの条件がすべてそろわない限り（被害者が迅速かつ適切に届け出る、有能な公務員が担当する、資金が取引所または凍結可能なトークンに移る）、結果は悲惨なものになります。
大手取引所への攻撃は、最も頻繁に起きるわけではありません。ただ、誰の目にも触れるだけです。
シードフレーズを渡す。2026年1月10日、ある投資家がTrezorサポートを装った詐欺師に、ハードウェアウォレットのシードフレーズを読み上げました。彼は1,459 BTCと205万LTC、総額2億8,200万ドル以上を失いました。デバイスは完璧に動作していました。問題は持ち主のほうでした。
シードフレーズの漏えい。スマートフォンで撮った写真、クラウド上のメモ、自分宛てのメール。誰も言葉を聞き出そうとしたわけではありません。ただ漏れてしまったのです。
署名フィッシング。オフチェーンのメッセージに署名することで、第三者にトークンの移動を許可してしまい、攻撃者の思いどおりに資産を持ち去られます。見知らぬ人の引き出しに、署名済みの白紙小切手を置き忘れるようなものです。2026年1月だけで、被害額は630万ドルに上りました。
皮肉なことに、Binanceへのハッキングも署名を悪用したものでした。取引所のシステムがだまされ、一度に50件の承認に署名させられたのです。そのうち1件だけで攻撃者にウォレットが渡り、1回の取引で22億ドルが失われました。
レンチ攻撃。名前の由来はレンチです。あなたや家族に対する物理的な脅威には、どんな暗号技術も歯が立ちません。2026年上半期にCertiKが集計した件数は52件、被害総額は1億2,400万ドル。そのうち33件はフランスだけで発生しました。
アドレスポイズニング。詐欺師が、正規のアドレスとほとんど同じアドレスを取引履歴に紛れ込ませます。次に送金するとき、あなたは間違ったアドレスをコピーしてしまいます。1月に起きた1件だけで、被害額は1,225万ドルでした。
デバイスの不具合。7月29日、デバイスを一度もインターネットに接続したことのないColdCardユーザーが、鍵生成の乱数に関する欠陥によって資産を奪われました。1,000 BTC以上です。この件については「鍵を持たなければ、コインも持っていない――でも、鍵がどう生成されるか知っていますか？」で分析しました。
注目すべきなのは、どのケースでも被害者が何かを信頼していたことです。サポート窓口、クラウド、ウェブサイト、自分の判断力、取引履歴、ファームウェア。そしてどのケースでも、自分自身の能力を信頼していました。
自己管理か取引所か？誤った二者択一
どの保管方法にもリスクがあります。取引所に資産を置く人は、その運営体制と支払い能力を信頼します。自己管理する人は、自分自身、デバイス、ソフトウェア、そして自分がビットコインを所有していると知る人を信頼します。問題は、前者のリスクは認めながら、後者を見落とすことです。
信頼を伴わない選択肢はありません。意識して寄せる信頼と、見過ごされている信頼があるだけです。そして最も高くつくリスクは、目に見えないリスクです。
全財産をマットレスの下に置くべきではありませんし、すべてを一つの銀行に預けるべきでもありません。
暗号資産でも、同じ考え方をすべきです。堅実な取引所（または複数の取引所）に一部、適切に自己管理する資産を一部、ETFに一部。たとえば、30％、40％、30％といった具合です。
配分は、知識や投資スタイル、目標によって変わります。その責任を誰かに委ねることはできません。厳しいことを言って申し訳ありませんが、後になって知るより今知るほうがいいのです。
その翌日
責任ある対応はリスクを減らしますが、なくすことはできません。だから、「自分にとって最も安全な選択肢はどれか」だけでなく、「攻撃を受けた後、自分はどうなるのか」も考えてください。
自己管理の場合、電話をかける相手はいません。1月の2億8,200万ドル相当は、すぐにMoneroへの交換が始まりました（BTC、BTC、LTC）。資金がステーブルコインの発行体や取引所に届いたときに、凍結が可能になります。全額を取り戻せるのは例外です。
取引所には取引相手がいます。Bybitは3日で顧客資産の裏付けを回復しました。Bitgetは9月に流出した3億8,800万ドルを、保護基金で補填しました。
Binanceは損失の100％を負担し、すでに98％を回復しています。これは準備金証明で検証できます。
もちろん、取引相手に価値があるのは支払い能力がある場合だけです。そして、預けたものがそのまま返ってくるとは限りません。
Mt. Goxの債権者は10年間待ち、「保有していた」ビットコインの約15％しか取り戻せませんでした。しかし、その間に価格が上昇したおかげで、その一部は2014年当時の残高全体の何倍もの価値になりました。
FTXの債権者が受け取ったのは、残高にあった暗号資産ではなく現金でした。2022年11月の破綻時、ビットコイン価格が約16,000ドルだった時点での価値の約120％です。当時の価値よりは多いものの、今日の価値と比べればはるかに少ない額です。
だからこそ、ブラジル中央銀行（BCB）が2025年に制定した決議第519号、第520号、第521号が重要なのです。
投資家にとって最も重要なのは、取引所が中央銀行の監督下にあることではなく、どのような要件に従うかです。顧客資産を会社資産と分別し、別々のウォレットで管理すること。準備金証明と独立監査を備えること。そして、会社自身の業務に顧客資産を使用しないこと。
結論
「鍵を持たなければ、コインも持っていない」という格言が語るのは、セキュリティではなく管理権です。
すべての資産を取引所から引き揚げても、信頼することをやめたわけではありません。信頼の向け先を、ほとんどの場合、自分自身に移しただけです。その信頼に値するかどうかを問うこともなく。
カストディとは、誰を信頼しないかを選ぶことではありません。誰を、何を意識的に信頼するかを選ぶことです。