約63億ドルが約20分で引き出されたのに、Binanceは「秘密鍵が漏えいした証拠は見つかっていない」と説明しています。鍵が無事なら、資金はどうやって出ていったのでしょうか。分析会社が示した時系列からは、鍵そのものより「何に署名させるか」を握られた構図が浮かび上がります。
暗号資産取引所Binanceは2026年10月29日20時05分（UTC）ごろ、ホットウォレットが侵害され不正な出金が行われたと発表した。推定の影響額は約63億ドル相当で、約30億ドルをオンチェーンで凍結した。当初はDevOpsエンジニアのノートPCの侵害を疑ったが、その後の調査で追加の侵入箇所が見つかった。秘密鍵が漏えいした証拠は見つかっていないとしている。
損失はSAFUと自社資金で全額補償する方針で、63.4億ドル超を確保した。出金は一時停止し、段階的な再開を目指す。準備金証明の結果は11月2日までに用意する計画だ。
From: 
Security Incident Update #2 (2026-10-30)
【編集部解説】
暗号資産の流出としては、記録に残るなかで最大の規模です。これまでの最大は、2025年2月にBybitから流出した約15億ドルでした。今回はその約4倍にあたります。日本円にすると約1兆円の規模です。
出金が始まったのは日本時間10月30日の午前5時ごろでした。ブロックチェーン分析会社TRM Labsによれば、資金の大半は約20分のうちに、10以上のブロックチェーンから引き出されています。
焦点は鍵より「署名させる仕組み」
今回の件でまず押さえておきたいのは、Binanceが「秘密鍵が漏えいした証拠は見つかっていない」と説明している点です。
暗号資産の送金には、秘密鍵による署名が要ります。取引所のホットウォレットはインターネットにつながった状態で出金の処理に使われ、署名もシステムの中で処理されるのが一般的です。そうした仕組みでは、鍵を外へ持ち出さなくても、不正な取引に署名させられる状態をつくられれば、資金を動かされるおそれがあります。
TRM Labsの分析は、その形を最も可能性の高い説明としています。Bitcoinなど多くのチェーンでは、Binanceのアドレスから暗号学的に有効な署名の付いた送金が行われていました。Ethereumでは、EIP-7702という機能が使われています。通常のアドレスが、署名した許可に基づいてスマートコントラクトのコードを実行できるようにする仕組みで、2025年5月のアップグレード「Pectra」で導入されました。この委任は、変更・解除するまで続きます。攻撃者はこれを使い、ホットウォレットを自分の引き出し口に変えたとTRM Labsは分析しています。
Binance自身は、根本原因をまだ公表していません。当初はDevOpsエンジニアのノートPCの侵害が関係した可能性を示していましたが、その後の調査で追加の侵入箇所が見つかったと説明し、今回の攻撃を「複雑なハッキング」と表現しています。鍵が盗まれなかったことや、侵入の全経路、個人の関与が確定したわけではありません。ただ、ノートPC1台の問題として片付けられる事案ではないことは、Binance自身の説明からも読み取れます。
36時間前から準備されていた
TRM Labsは、準備が少なくとも事件の36時間前に始まっていたことも示しています。10月28日の朝（UTC、以下同じ）、匿名化サービスTornado Cashから少額が3回引き出され、攻撃用のウォレットに入りました。29日には2つのウォレットで攻撃のコードを試し、3つ目で最終リハーサルを行い、その約4時間後にBinanceのホットウォレットへ設置しています。
TRM Labsは、北朝鮮のハッカー集団「TraderTraitor」によるものと高い確信度で分析し、Chainalysisも同じ集団によるものとみています。TraderTraitorは、FBIがBybitの件で名指しした集団です。日本で2024年5月にDMM Bitcoinから約482億円相当のビットコインが流出した件でも、警察庁とFBIが同じ集団を挙げています。一方、Ellipticは「可能性が高い」という表現にとどめ、政府や捜査機関による帰属の確認はないとしています。Binanceも実行者を特定していません。
1時間で止められたもの、止められないもの
流出した資産の約半分を止めたのは、ステーブルコインの発行体の動きでした。
TRM Labsの時系列では、最初の出金から約1時間後の21時01分にTetherが9億7,110万USDTを凍結し、3分後にCircleが8億2,300万USDCを凍結しています。続いてRipple、World Liberty Financial、Arbitrumのセキュリティカウンシルも動きました。Binanceは凍結額を約30億ドルとし、分析会社は27億〜28億ドル台と数えています。発行体や分析会社がそれぞれに動きながら情報を共有し、最初の流出から約1時間で凍結が始まりました。追跡と凍結の速さが被害の大きさを左右することを、はっきり示した例です。
ただし、凍結できたのは発行体が管理するステーブルコインが中心です。BitcoinやEthereumのネイティブなETHには、ステーブルコインの発行体のように個別のアドレスを凍結する中央の主体がありません。例外的に、Arbitrum上ではセキュリティカウンシルが緊急の権限で約8,400ETHなどを攻撃者の手元から移しました。TRM Labsは10月30日0時30分時点で、攻撃者が凍結できない42万ETH超と18,270BTC、約24億ドル相当を保有しているとしています。すでに資産の交換やチェーンをまたぐ移動も始まっており、分析会社は洗浄がさらに進むことを警戒しています。発行体が資産を止められることは、利用者を守る力であると同時に、ステーブルコインが中央の判断で動きを止められる資産だという性質の表れでもあります。
補償と、日本の利用者への影響
Binanceは、損失を利用者保護基金のSAFUと自社資金ですべて補償するとしています。63.4億ドル超の自社資金を確保し、うち50億ドル分は流出したのと同じ種類のトークンで持っています。同社はこれを影響額の約8割にあたると説明し、残りのトークンを買い集めています。準備金証明の結果は11月2日までに用意する計画で、公表されれば、利用者が自分の預けた資産の裏付けを確かめられるようになります。なお、取引所に預けた暗号資産に預金保険のような公的な保証はなく、今回の補償はBinanceの判断によるものです。
日本の利用者に関わるのは、Binance Japanの対応です。同社は10月30日、暗号資産の入出庫の一時停止を案内し、同日夕方の続報で、国内の顧客から預かる暗号資産は自社のコールドウォレットで管理しており、被害を受けたグローバルのホットウォレットとは別に保管されていて影響は確認されなかったと発表しました。この続報では、予防のため暗号資産の出庫だけを止め、入庫や売買、日本円の入出金は通常どおり使えるとし、出庫は48時間以内の再開を見込むとしています。bitFlyerも、安全が確認されるまでBinance宛ての暗号資産の外部送付を制限したと報じられています。
日本では、暗号資産交換業者に対し、利用者の暗号資産を自社の資産と分け、原則としてインターネットに常時つながっていない環境で管理することが求められています。ホットウォレットでの保管は必要最小限に限られ、その分には同じ種類・同じ量の暗号資産を別に確保しておく必要があります。Binance Japanの説明どおり、今回被害を受けたのは別法人であるBinanceのグローバルのホットウォレットで、国内の顧客資産は別に管理されていました。ただ、DMM Bitcoinの件が示したとおり、国内の交換業者も同じ集団の標的になってきました。金融庁は2026年4月の取組方針で、同年中に一部の交換業者の実運用環境で、攻撃者の手口を再現する侵入テスト（TLPT）を実施するとしています。
これから問われること
TRM Labsは対策として、EIP-7702による委任の監視や、署名の仕組みをチェーンごと・ウォレットの階層ごとに分けることを挙げています。今回の分析は、鍵を守ることに加えて、「何に署名させてよいか」を決める承認の設計が安全を左右することを示しています。
Binanceは、検証が済み、捜査に支障がないことを条件に、第2報から約48時間以内を目安に追加の技術的な調査結果を共有する見通しを示しています。最大手の取引所が、どこから入られ、どこで止められなかったのかを具体的に開示すれば、それは業界全体の教科書になります。出金の再開と準備金証明の公表とあわせて、その報告が待たれます。
【関連記事】
Bybitで15億ドル規模のハッキング—北朝鮮Lazarus Groupの攻撃か
今回まで過去最大だった2025年2月のBybitの約15億ドルの流出。FBIは今回と同じTraderTraitorの犯行と特定した。
DMM Bitcoin、北朝鮮ハッカー集団による440億円規模の暗号資産流出事件の全容が明らかに
国内の交換業者が同じ集団の標的になった2024年の事件。警察庁とFBIが特定した、ウォレット管理ソフトの提供元を経由した手口をまとめた。
金融庁が暗号資産交換業者にサイバーセキュリティ強化方針を公表、2026年にTLPT実証開始
金融庁が暗号資産交換業者向けに示したサイバーセキュリティ強化の方針。TLPTの実証や業界横断の演習の位置づけを解説した。
【編集部後記】
Arbitrumのセキュリティカウンシルが移した約8,400ETHは、いま特定のアドレスに留め置かれています。公式の実行報告によれば、この資金を動かせるのはArbitrumDAOのガバナンス投票だけです。
分散型をうたうネットワークにも、緊急時に資金を止める権限と、止めた資金の行き先を決める手続きがあります。Binanceへ返すのか、捜査機関に委ねるのか。その投票は、「誰が止め、誰が返すのか」という問いに対するひとつの実例になるはずです。
【用語解説】
ホットウォレット
インターネットに接続した状態で暗号資産を管理するウォレット。出金などの処理をすぐに行えるが、外部から攻撃を受けやすい。
コールドウォレット
インターネットから切り離した環境で、暗号資産の移転に必要な情報を管理するウォレット。日本の暗号資産交換業者は、利用者の資産を原則としてこうした方法で管理する。
秘密鍵
暗号資産の送金に署名するための鍵。これを持つ者だけが、そのアドレスの資産を動かせる。
EIP-7702
Ethereumの改善提案の一つ。通常のアドレスが、署名した許可に基づいてスマートコントラクトのコードを実行できるようにする。委任は変更・解除するまで続く。
Pectra
2025年5月に実施されたEthereumのアップグレード。EIP-7702などが導入された。
SAFU
Secure Asset Fund for Usersの略。Binanceが2018年に設けた、利用者保護のための基金である。
準備金証明（Proof of Reserves）
取引所が、利用者から預かった資産に見合う資産を保有していることを示す仕組み。利用者は自分の残高が集計に含まれているかを確かめられる。
ステーブルコイン
米ドルなどの法定通貨と価値が連動するよう設計された暗号資産。USDTやUSDCのように、発行体が特定のアドレスの資産を凍結できるものもある。
Tornado Cash
Ethereum上で送金の経路を追いにくくする匿名化サービス。
TraderTraitor
北朝鮮を背景とするとされるサイバー攻撃グループ。FBIや警察庁が、BybitやDMM Bitcoinからの暗号資産窃取に関与したと公表している。
TLPT
Threat-Led Penetration Testingの略。攻撃者の手口を再現した疑似攻撃で、侵入や検知、対応の可否を確かめる実践的なテスト。
【参考リンク】
Binance（外部）
世界最大の暗号資産取引所。今回のセキュリティ事案について、第1報・第2報をはじめとする続報を公式のお知らせページで公開している。
Binance Japan（外部）
金融庁に登録された国内の暗号資産交換業者。国内顧客の暗号資産を、グローバルとは別のコールドウォレットで管理していると説明している。
TRM Labs（外部）
米国のブロックチェーン分析会社。今回の流出について、準備の時系列、チェーン別の内訳、発行体ごとの凍結額をまとめた分析を公表した。
Chainalysis（外部）
米国のブロックチェーン分析会社。今回の流出を約64億ドルと推計し、北朝鮮のハッカー集団TraderTraitorによるものと評価した。
Elliptic（外部）
英国のブロックチェーン分析会社。流出額を64.3億ドルと推計し、凍結を逃れた資産の交換やチェーンをまたぐ移動を追跡している。
Arbitrum Foundation（外部）
Ethereumのレイヤー2ネットワークArbitrumを支える財団。セキュリティカウンシルが緊急の権限で資金を移した。
【参考記事】
North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History（TRM Labs）（外部）
流出額を63.6億ドルと推計。準備の時系列、EIP-7702の悪用、発行体ごとの凍結額をまとめ、TraderTraitorへ帰属させた。
The largest theft in history: North Korea likely behind the $6.4 billion Binance hack（Elliptic）（外部）
流出額を64.3億ドル、凍結額を28.4億ドルと推計。Bitget事件の資金との混在などを根拠に、北朝鮮関連の実行者の可能性が高いとした。
Binance Hack: Tracing the $6.4 Billion Theft to North Korea（Chainalysis）（外部）
約64億ドルの流出を追跡し、北朝鮮のTraderTraitorによるものと評価。数千件に及ぶ取引に自動化の痕跡があるとした。
Binanceグローバルでのセキュリティ事案を受けた、Binance Japanの対応に関するお知らせ（Binance Japan）（外部）
国内顧客の暗号資産は自社のコールドウォレットで別に管理し、影響はないと説明。暗号資産の出庫のみ停止し、48時間以内の再開を見込む。
暗号資産交換業等におけるサイバーセキュリティ強化に向けた取組方針（金融庁）（外部）
2026年4月3日公表。2026年中に一部の暗号資産交換業者の実運用環境で、脅威ベースの侵入テスト（TLPT）を実施するとした。
北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について（警察庁）（外部）
2024年12月公表。DMM Bitcoinから約482億円相当を盗んだのはTraderTraitorだと、FBIなどと連名で特定した。
