バイナンス63億ドル盗難：4ヶ月間の潜伏、偽装採用、内部AIツール連携による攻撃

著者：A Fox in Web3 リサーチチーム

編訳：TechFlow

TechFlow要約：2026年10月29日、グローバル暗号資産業界は過去最高額の被害を記録する重大なセキュリティ侵害に見舞われた。ハッカーは数時間以内にバイナンス（Binance）のホットウォレットから最大63億ドル相当の多様なトークン資産を奪い去った。この驚異的な規模は過去のBybitの盗難記録の数倍に達し、インターネット誕生以来となる単一事件の資金流出額としては最大クラスのネットワーク強盗事件の一つとなった。

しかし、以前の大規模な中央集権型取引所が攻撃を受けた後に顧客の引き出し殺到による清算や、数年かけての再編成という悲劇的な運命を辿ることとは対照的に、業界全体はこの嵐において前例のない協調的なレジリエンスを示した。オンチェーン探偵によるリアルタイムアラートから、テザー（Tether）とサークル（Circle）が数十億ドル近いステーブルコインを緊急凍結し、さらにAaveなどのトップDeFiプロトコルが資金洗浄経路を遮断するために決定的にマーケットを停止させたことまで、世界的な合同ブロックによりハッカーは最終的に窃盗額の半分すら持ち出すことに失敗した。

さらに重要なのは、バイナンスが独自のSAFU基金と準備金を基に、数日以内で盗まれた資産の98％を全額補填したことである。結果として、暗号資産二次市場ではパニック売りによる混乱は起きず、むしろ極めて平稳な推移でショックを消化した。本稿は、偽装面接、新種のマルウェア、社内AIツールの権限悪用を伴う国家レベルのサイバー戦争の詳細を総体的に復元し、業界全体がセキュリティインフラと防御の深さを見直す上で貴重な実例を提供している。

10月29日の木曜日に、北朝鮮のハッカーグループが世界最大の暗号通貨取引所バイナンス（Binance）から約63億ドルの資産を窃取した。これは暗号通貨史上最高額の盗難記録を更新するだけでなく、同年2月にBybitから窃取された金額の正確に4倍に相当する。

ハッカー側は4ヶ月間にわたり慎重かつ綿密な侵攻作戦を展開した。改ざんされたインストールパッケージ、仕掛けられた偽の求職面接、そしてバイナンス内部で運用中のAIツールの脆弱性を突くことで、ついに防御線を突破することに成功した。

事件発生から数時間以内にテザー（Tether）やサークル（Circle）などのステーブルコイン発行企業が、数十億ドル規模の盗難資産を迅速に凍結した。バイナンス公式によれば、同社自らの資金で盗まれた資産の98％を全額補填済みだという。

現状では、バイナンスプラットフォームのユーザーに資金損失はなく、暗号資産市場の第二価格もほぼ影響を受けていない。これは、業界全体が重大なセキュリティのブラックスワンイベントに対処する際の成熟度と防御能力が、かつてない水準にまで高まっていることを十分に示している。

先週発生したバイナンス取引所における60億ドル超の資産を対象としたセキュリティ侵入事件は、暗号通貨史上最大規模の窃盗事件であるだけでなく、おそらくインターネット史上単一事件としての被害額が最も高い大規模ネットワーク強盗事件であろう。その過程は極めて痛ましいものではあるが、歴史に残る歴史的出来事として記憶されることになる。

しかし注目に値するのは、サークル（Circle）やテザー（Tether）をはじめとする多くの業界コア参加者が事件直後に素早く対応し、ハッカーに窃取された大量のUSDCとUSDTを決定的に凍結した点である。バイナンスに至っては極めて短い時間で全損害資産を補填し、二次市場の価格動向においてもこの衝撃はほぼ消化されている。

様々な観点から見ると、この事件は暗号通貨界隈の最も危うい側面を集中的に映し出しながらも、同時に最も優れている側面も浮き彫りにした。まさにこれこそが、私が今週中にこの深度のある振り返り記事を書く必要がある理由である。

バイナンスより63億ドル盗難：史上最大規模の暗号通貨ハッキング事件

10月29日の木曜日、数十億ドル規模の暗号資産が何の前触れもなくバイナンスのホットウォレット（Hot Wallets）から噴水のように流出し始めた。ホットウォレットは一般的にインターネットとリアルタイムで接続しており、主要な中央集権型取引所がユーザーの日々の出金処理を即時で行うための核心的な資金流通チャネルである。

異常検知から数分以内に、ソーシャルプラットフォームX上のオンチェーンセキュリティアナリストが異常な資金の流れを捉えた。1時間もかからないうちに、業界全体で「バイナンスが大規模なハッキングに襲われている」という認識が確定した。バイナンス創設者のCZは、この危機をソーシャルメディア上で最初に公言した核となる人物の一人である。

図：CZが社交プラットフォーム上で先に公言してバイナンスへのハッキング襲撃を確認

バイナンス公式が後に発表した被害統計によると、今回の窃盗資産総額は約63億4千万ドルに上り、窃取されたトークンはビットコイン、イーサリアム、ソラナ、リプル、その他複数の主流ブロックチェーン公鏈を横断している。

ドル建てで換算すると、この驚異的な数字は疑いようもなく暗号通貨史上単一事件での最高盗難記録を更新し、2025年2月にBybit取引所で発生した14億ドルの盗難記録の約4倍に相当する。

著名なオンチェーンデータ分析プラットフォームArkhamは、ハッカーが管理するオンチェーンアドレスをすぐに同一の実体タグへ集計した。データによると、攻撃当日には57億ドル超の巨額資金がハッカー側の55の核アドレスに静かに滞留していた。ハッカーがオンチェーンで頻繁に資金の移動と分割を始めて以降、この数は瞬く間に1万個を超える派生アドレスへ拡大した。

図：Arkhamのオンチェーン追跡ページが集約したハッカー関連アドレスと資産分布

今週火曜日、バイナンスは公式に初期調査報告書を公開し、侵入事件の全容を詳細に明らかにした。バイナンスは報告書の冒頭で誠意ある謝罪を行い、「このような深刻な事実は本来起こるべきではなかった。多数のユーザー、パートナー、そして業界全体にもたらされた不安、混乱、不確実性に対し、深くお詫び申し上げます」と述べている。

図：バイナンス公式が発表する初期調査報告書と謝罪声明

犯行手法の解明：4ヶ月間の潜伏、偽装面接およびAIを用いた権限昇格侵攻

これは極めて綿密かつ技術的に熟練を極めた標的型の国家レベルサイバー攻撃である。外部ハッカーがバイナンスの秘密鍵を直接盗んだわけではなく、逆に攻撃者は完全に4ヶ月を費やして着実にバイナンスの内部ネットワークへ浸透し、ついにはバイナンス自身の内部システムを操って出金取引の署名代行を行えるところまで到達した。

バイナンス公式はこの攻撃を「高度に複雑なクロスステージ統合侵攻行動」と位置づけ、攻撃者が成功に導いた4つの核心的な段階を体系的に整理している：

第一段階（6月）：バイナンスウォレットシステムを担当する核エンジニアが、ネットで人気のあるAIプログラミング補助ツールを検索中に、悪意を持って改ざんされた偽装インストールパッケージを誤ってダウンロードしてしまった。尽管バイナンスのセキュリティチームはこの異常を迅速に察知し即座に当該エンジニアに新しい業務用ノートパソコンを与えたものの、攻撃者はこれを契機にして当該エンジニアのウォレットチーム内での重要な役割を特定することに成功した。

第二段階（9月）：ハック集団は正規の求人情報サイトでWeb3プロジェクトのディレクターに成りすまし、積極的に対応するもう一人のバイナンスエンジニアを探し出して接触した。偽物のHR採用担当者とビデオ面接を行った後、続けて偽物のCEOとの第2回深い技術面接を経て、当該エンジニアは業務用PCに「プログラミング課題テスト」と称されるファイルをダウンロードするよう求められた。そのテストコードには以前から野外で確認されたことがない全新種のマルウェアトロイの木馬プログラムが潜んでおり、バイナンスが展開するエンドポイントセキュリティソフトウェアをすべて回避することに成功した。

第三段階（10月20日）：攻撃者は当該感染PCを踏み台とし、バイナンス内部で展開されるAIコラボレーションツールの仕組みを巧みに利用して水平展開され、別名の2人の核エンジニアのワークステーションの制御権を奪取した。この過程で攻撃者は探索して高権限のアクセストークン（Permission Token）を窃取し、このトークンによってバイナンスシステム環境内で自由にソフトウェアを起動・デプロイする特権が与えられていた。

第四段階（10月29日）：ハッカーはこれらの窃取した高リスクの特権証憑を利用して、バイナンスの出金署名を担当する内部署名サービス（Signing Service）ノードに一気に侵入し、遠慮なく違法なホットウォレット出金指令の独自作成と署名を開始した。

偽装求職情報やプログラミング課題を用いたポイズニングインフィルトレーションは、北朝鮮ハック集団が長年試みている定番の手口である。バイナンス公式によれば、今年だけでセキュリティチームは57件の北朝鮮由来とみられる標的型攻撃を成功裡に阻止しており、その大半がこの事件と同じ手口であった。今回は攻撃が最終的に成功した理由が、ハッカーが十分に長期の潜伏と継続的な探りを繰り返し、システム防衛ラインの弱みを見つけたためだけにある。

実際の資産窃取行動はUTC時間10月29日20時05分に始まった。バイナンス傘下の5つのホットウォレットアドレスから突然、攻撃者アドレスへバッチで2億3300万XRPが一斉に移送され、それに続いて大量のSolana、Optimism、そして1万8270BTCが迅速に強奪された。

イーサリアムネットワーク上では、ハッカーは昨年イーサリアムのアップグレードで newly に導入された"EIP-7702"の新規格特性を狡賢く利用した。この特性は通常のEthereum外部アカウント（EOA）がアカウントの操作実行権限を特定のスマートコントラクトコードに直接付与することを可能にするものだ。攻撃者は陥落したバイナンスの内部署名サービスを介して、自ら展開したマルウェアコントラクトに対してフルコントロール権限の署名を直接行い、これによりバイナンスのコアホットウォレットの支配権を一手に奪取し、瞬く間に空にすることにした。

この巧妙な手法により、バイナンスチームは事後にオンチェーン上で阻止を行うのが極めて困難となった。たとえバイナンスが内部で緊急に取引所全体の withdrawal API を一時停止しても、EIP-7702 の委任権限はイーサリアムブロックチェーンの原帳底層に恒久的に書き込まれてしまったため、攻撃者はバイナンスの内部システムを迂回して、直接スマートコントラクトを呼び出し、パブリックチェーン上で資金移転を続行することができた。

加えて、バイナンスのウォレットセキュリティアーキテクチャではマルチパーティコンピューテーション（Multi-Party Computation、略称MPC）技術が広く採用されている。このアーキテクチャ下ではウォレットの秘密鍵が複数の秘密シャッダーに分割され、異なる物理ノードに保管されており、個人または単独デバイスが完全な秘密鍵のみで掌握できることはない。

平常時はこれは極めて安全冗長性が高い優れた防御設計だが、しかし急激なオンチェーンハイジャックに遭った極端な状況下では、これはまた、バイナンスが単一の秘密鍵を用いてオンチェーン署名を迅速に開始し、EIP-7702の委任権限を取り消すことができないことを意味する。バイナンス技術チームは臨時で緊急に複雑な専用連携処置スクリプトの開発を迫られ、認証のない不正な資産移転は最後の一件に至るまで攻撃発生から約4時間経過してからようやく完全に阻止されることになった。

複数主体による稲妻のような阻止：ステーブルコイン発行者とDeFiプロトコルの共闘による流出阻止

窃盗された63億ドルの巨額資産のうち、半分近くは各種ステーブルコインであり、その中には約17億USDTおよび8億2400万USDCが含まれる。ビットコインやイーサリアムなどの純粋なネイティブ暗号資産とは異なり、これらのステーブルコインは中央集権的な実体企業であるテザーとサークルが発行しており、スマートコントラクト層で任意のオンチェーンアドレスのトークンを凍結する技術的能力を備えている。今回の危機において、この2社の発行者の対応速度は極めて敏捷であった。

資金の大規模流出開始から約40分後、テザー公式はハッカーの主たる受信アドレスを迅速に特定し、その後窃盗された大部分のUSDT資産凍結に成功した。

図：テザーCEOのパオロ・アルドイノがハッカー受信アドレス内のUSDT凍結を発表

同時にサークルCEOジェレミー・アレイアも公言し、同チームが「法執行機関と緊密に調整しつつ」、関係する8億2300万USDCを緊急凍結したことを明らかにした。

図：サークルCEOのジェレミー・アレイアが法執行部門と連携して8億2300万USDC凍結を発表

バイナンス公式通報によれば、複数主体による稲妻のような連携による取り締まりの結果、現在までに窃盗された資金のうち約30億ドルが凍結あるいは途中で阻止された。これはつまり、ハッカーが最終的に実際に掌握・持ち去ることが可能な資金は、当初の盗取総額の半数を下回ることを意味する。

狡猾なハッカーは明らかにステーブルコインが直面する全面的凍結リスクを予期しており、オンチェーン上で時間との狂気的な競争を繰り広げ、Uniswap上でステーブルコインをイーサリアム（ETH）に迅速に交換しようとした。なぜならイーサリアムには基礎層において資産凍結を行使できる中央集権的実体が存在しないからだ。ハッカーは thậm로 約6000万USDTをトップ分散型融資プロトコルAaveに入金し、これを担保として純粋なETHを借り受けようとした。

ハッカーの担保汚染行為に対応し、Aaveコミュニティとガバナンスチームは迅速に判断し、コア融資市場を緊急凍結し、全ての新たな預け入れと貸出機能を一時停止するとともに、既存の正常ユーザーが引き続き自由に引出・返済できるように確保した。Solanaチェーン上のトップ融資プロトコルKaminoもまた慎重な防止のため、関連市場取引を迅速に停止した。

図：Aave公式がハッカーの担保融資を阻止するためコア融資市場の緊急一時停止を発表

テザーとサークルに危機局面において数十億ドルの資産を救済するための中央集権的制御力を付与することは、平常時に恰好に暗号通貨純粋主義者から最も酷評される一点であり、それはすなわちUSDTやUSDCを保有するあらゆる一般ユーザーの資産が理論的には凍結される潜在的可能性を抱えていることを意味する。しかし否定しようもないのは、今週この血相を変えるような資産阻止戦において、この中央集権的介入権が間違いなく極めて重要な好意的な市場救済効果を果たしたということだ。

真犯人の浮上：北朝鮮国家レベルハック集団の資金洗浄ルート

10月31日、攻撃発生からちょうど2日後、米国連邦捜査局（FBI）は公式にネットワークセキュリティ警報を発し、今回の攻撃を北朝鮮国家レベルのハック組織所致と明確に帰属させ、具体的な実行部隊のコードネームを「TraderTraitor」と特定した。このハックグループこそが今年初頭にBybitの14億ドル強奪事件を画策した張本人であり、またより知名度の高い北朝鮮ハック大本営「ラーザラスグループ（Lazarus Group）」配下の核特務支隊でもある。

図：米FBIがネットワークセキュリティ警報を発して北朝鮮ハック集団の犯行を確認

実際には、FBI公式通報の1日前に、最先端ブロックチェーン分析機関TRM LabsとChainalysisは既に精密なオンチェーン行動グラフを通じて北朝鮮ハッカーの犯行痕跡を特定していた。Chainalysisはさらに鋭敏に捉え、今年9月に別の中堅取引所Bitgetが3億8800万ドルのハッキング盗難に遭った後の洗浄資金が、オンチェーン上で今回のバイナンス窃盗資金流と交差・混合していることを発見し、この両恶性大事件がいずれも同一ギャングの手によるものであることを強力に証明した。

図：Chainalysisが監視する中、バイナンス盗難資金と9月のBitget盗難資金の混合を確認

FBIの最新捜査情報によれば、攻撃者は現在未凍結の各種資産を全力で集中してETHに交換しており、各大DeFiプロトコルおよび瞬間交換サービスを通じてミキサによる資金洗浄を行う計画だと判明した。当時のBybit事件中、このハック集団はThorchainというクロスチェーン分散型交換プロトコルを利用し、窃盗された大部分のETHを徐々にビットコインへ精製した。分析筋は、今回も類似の資金洗浄ルートを踏襲する可能性が極めて高いと予測している。

今回の窃盗で直接盗難された1万8270BTCの総価値は約14億ドルに達する。ハッカーはこれらビットコインを新たに生成された19の独立オンチェーンアドレスに分散して移転しており、その大半のアドレスはたまたまそれぞれ正確に1000BTCずつ均等に保管している。

基礎アーキテクチャ上誰にも強制凍結できないビットコインについて、ハッカーは現在一部交換されたビットコインに対するミキサ洗浄を開始しており、その核手法は「CoinJoin」結合取引により多数の異なるユーザー由来のビットコインを混合パックすることで、各資金の元来の流入・流出経路を完全に混乱させることにある。

TRM Labsの見通しによれば、残りの盗難資産は順次各大クロッチェーンブリッジ、瞬間交換プラットフォーム、および店頭取引（OTC）ブローカー間を移行していくだろう。同時に、各大オンチェーンセキュリティ監視会社は関係アドレスを絶えず同期して世界中のすべてのコンプライアンス取引所にマーキングし、ハッカーがトークンを法定通貨に変換して撤退するあらゆる経路を全力で封鎖している。

中央集権型取引所の災難史：業界の防御および自己治癒能力の進化

嘆かわしいことに、バイナンスはこの一連のハッカー攻撃における唯一の被害者ではなかった。バイナンス襲撃からわずか数日の内に、攻撃者はブラジル最大級の暗号通貨取引所Mercado Bitcoinから約4600万ドルの資産を窃取した。有名なオンチェーン探偵ZachXBTもまた、匿名のヨーロッパ系暗号資産企業がおそらく1億600万ドル超の巨大なセキュリティ被害に遭遇したと暴露している。

図：Banklessが報道するバイナンス事件発生数日以内に連続して発生した他の4件暗号資産セキュリティ事件

加えて、旧バージョンBTCPay（自律ホスト型ビットコイン決済キット）を使用する一部の事業者も資金盗難に遭っており、さらに数十件の分散型金融（DeFi）フロントエンドサイトがドメイン登録業者の乗っ取りを起因として訪問ユーザーのウォレットが強奪される事態となった。

現時点でこれらの事件間に直接的な技術的関連性があることを証明する確固たる証拠はないが、同様の緊急マニュアルが再び状況を救った。テザーはMercado Bitcoin窃盗に関連する関係資金を迅速に凍結し、同取引所はその後プラットフォーム顧客に実際の損失がないと発表した。

暗号資産業界の歴史を振り返ると、取引所がハッカーによる強奪に遭うことはほとんど業界発展始終を通じた残酷な進化史と言える：

2014年、Mt.Goxは約65万から85万BTCを損失して破産倒閉を発表し、数万に及ぶ被害ユーザーが絶望の中で10年間苦しんで待った末、ついに2024年になって破産賠償金の支払開始を迎えた。

2016年、Bitfinex取引所は約12万BTCを窃取され、プラットフォーム最終的には全ユーザーの残高に対して36％の無差別強制減額（ヘアカット）を実施し、BFXと呼ばれる補償債権トークンを発行した。

2018年、日本のCoincheck取引所がハッキングに遭い、価値約5億3000万ドルのNEMトークンを損失した。

2019年、バイナンス自身もまた深刻なセキュリティ脆弱性の事故により7000BTCを盗まれた。

2025年、Bybit取引所は14億ドルの窃盗被害を受け、先週まで業界史上最高額の盗難記録を樹立していた。

業界開拓期の初期には、たとえ数千万ドル規模のハッカー攻撃であっても、往々にして取引所の完全倒壊を告げ、広大な投資家に回復不能な壊滅的災厄をもたらすものであった。しかし今回の63億ドルという世紀の嵐の中で、バイナンスは明確にすべての資金損失を全額負担すると発表し、その資金源は専用の「SAFU」ユーザー資産安全基金、商業保険基金、およびプラットフォーム自体の厚い資金調達余力を含む。

10月31日時点において、バイナンス公式通報により盗まれた資産の98％を全額先行拠出したことが明らかになり、プラットフォームの全通貨入金・出金チャンネルも日曜日に全面的に通常営業へ復帰した。

図：バイナンスCEOのRichard Tengが資金全額先行拠出および入金出金業務復帰進展を通報

すべての準備金動態と資産償還の真実は、バイナンスが公開する「準備金証明（Proof of Reserves）」オンチェーン監査ページにて公開透明にリアルタイム検証が可能だ。

図：バイナンス準備金証明（Proof of Reserves）が資産健全状態をリアルタイム透明に展示

さらになにより驚嘆すべきは、嵐が沈静化した後、バイナンスプラットフォームの総合資金フローがパニック売りの大逃亡を見るどころか、むしろその後の数日間において規模の大きい正味資金流入を記録したということだ。

図：CZが共有するデータは事件後のプラットフォーム資金が indeed パニック売却を見せず、むしろ正味流入となったことを示している

暗号資産二次市場全体の振る舞いも同様に信じられないほど落ち着いたものだった。ビットコイン価格はニュース伝播後わずか5％未満の微小下落にとどまり、価格は常に確固たる勢いで$76,000の重要防御ラインを上回っていた。パニックによるレバレッジ強制清算規模はわずか約15億ドルであり、昨年の「10/10 フラッシュクラッシュ」における190億ドルという壊滅的な清算と比較すれば、市場が尋常ではない消化能力を発揮したことを如実に示している。

私の個人的な視点から見れば、過去の一週間は暗号通貨界隈の最も暗黒な一面を集約して提示しつつも、同時に最も希望に満ちた一面を顕彰した。最も暗黒な面とは、国家の機械を裏盾とするハック軍団が4ヶ月をかけて静かに全球トップ暗号通貨取引所の内部へ侵攻し、業界史上最大規模の驚愕の強盗を実行し、続く数日間で複数回の派生攻撃を連続して発生させたということである。

そして最も希望ある一面とは、危機勃発後の業界全体の驚異的な協調性と自己治癒能力に表れている。オンチェーン探偵が1時間以内に的確な判定を行い全世界に警告を発し、ステーブルコイン大手が雷鳴のように数十億ドルの闇金を凍結し、DeFiプロトコルが自主的にハッカーの現金化退路を断ち切り、法執行機関が2日以内に犯人を特定し、被害を受けた取引所に至っては数日以内に全額自己負担による百億円級の賠償先行拠出を完了したのである。

さらに嵐が過ぎ去った後も、バイナンスは全業界に対して、自身が攻撃を受けた完全な技術復習内容を綿密に公開し、「業界全体が共に血の教訓を学び取ることで初めて、全体防御体系の真なるイテレーションとアップグレードが実現可能となる」と深く指摘している。北朝鮮等の国家級ハッカーの日増しに拡大する野心と攻撃手法に対し、暗号通貨業界の集体防御網と緊急対応速度もまた驚くべき速さで同時に進化を遂げている。

中央集権型取引所がハッカー攻撃を受ける話題は老獪に語られるが、長い歳月を経ても決して色褪せない暗号通貨の古訓「自分の秘密鍵を持たなければ、あなたのコインではない（Not your keys, not your coins）」は永遠不変だ。バイナンスは底知れぬ財務基盤をもって63億ドルという巨額の損失を楽々受け止められるが、大多数の取引所はこのような致命的な打撃を到底耐えられない。だからこそ、多額の資産を自分で秘密鍵を掌握する独立したウォレットに適切に保存することは、この波乱万丈の世界における暗号通貨探求者にとって変わらぬ立国の根本であり続けるのである。

だが最も重要なのは、暗号通貨エコシステムは誕生以来、常にハッカーの厳苛な試練と烈火の洗礼の中で歩みを続けており、そして嵐を乗り越えるたびに、いかなる時よりもかつてないほど強固なものとなっていったのだ。