盗まれた60億ドル超のうち、発行体が凍結できたのはステーブルコインの一部でした。残るETHやBTCには、止めるボタンを持つ発行体がいません。FBIが10月31日に公開した628件のアドレスは、その止められない資産を、交換や中継を担う事業者の手で断るためのリストです。
米連邦捜査局（FBI）は2026年10月31日、交換所Binanceから10月29日ごろに60億ドル超の暗号資産が盗まれた事案について、北朝鮮に責任があると発表した。FBIはこの活動を「TraderTraitor」と呼ぶ。FBIは米シークレットサービス（USSS）、内国歳入庁の犯罪捜査部門（IRS-CI）とともに、盗まれた資産が主にイーサリアム（ETH）に替えられていることを確認し、DeFiやインスタント交換を使った洗浄が続くと見ている。
3機関は、THORNodeやRPCノードの運営者、インスタント交換、DeFi、分析会社などに、洗浄に使われるアドレスとの取引や、そこから派生する取引の遮断を求め、Ethereum 608件、Bitcoin 19件、Solana 1件のアドレスを公開した。
From: 
North Korea Responsible for $6 Billion+ Binance Attack（FBI）
【編集部解説】
10月31日の第1報の時点で、北朝鮮のTraderTraitorによる犯行という見立ては、TRM LabsやChainalysisといった分析会社の評価でした。資金の追跡や凍結は、事案の直後から分析会社や発行体によって進められています。今回の続報で注目したいのは、米国の捜査機関が公式に帰属を示したうえで、その追跡に使えるアドレスの一覧を公に出したことです。
発表まで2日、アドレスは約12倍
FBIは2025年2月のBybitの事案でも、同じ形の公表をしています。このときは2月21日ごろの窃取から5日後の2月26日に発表し、Ethereumのアドレス51件を公開しました。今回は窃取から2日で発表し、公開したアドレスは628件です。ETH、BTC、SOLの3種類にわたります。
USDTやUSDCは、第1報で見たとおり、盗まれた分の一部が事案の直後に発行体によって凍結されました。凍結の前にETHなどへ替えられた分もあります。一方、ETHやBTCそのものには発行体がいません。TRM Labsによると、10月30日0時30分（UTC）の時点で、攻撃者の手元には発行体による凍結が及ばない42万ETH超と18,270BTC、約24億ドル相当が残っていました。FBIの「主にETHに替えている」という記述は、資産が止めにくい側へ寄せられていることを示しています。
アドレスの一覧は、発行体が凍結できない資産についても、事業者が関連する取引を見つけ、自分のサービスで断るための手がかりになります。一覧を公開しただけで、ブロックチェーン上の送金が止まるわけではありません。止める場所は、交換や中継を担う事業者の側にあります。
要請の宛先にも違いがあります。Bybitの際は、RPCノードの運営者、交換所、ブリッジ、分析会社、DeFiなどでした。今回は、THORNodeの運営者とインスタント交換が新たに名指しされました。THORChainは異なるチェーンの資産を直接交換できる仕組みで、TRM Labsは、BybitやKelpDAOの事案のあとにTHORChainが洗浄に使われたと分析しています。過去の資金の流れを踏まえて、出口になりそうな場所を先に指名したと読めます。
洗浄はすでに動いている
オンチェーン分析のLookonchainは11月1日、Ethereum系のネットワークで130を超えるトークンが売られ、約12万3400ETHと169万USDCに替えられたと報告しました。また、約97万SOL（約9590万ドル）をBitcoinに替える動きがあり、投稿前の1時間で約48万7000SOLが動いて、チェーンをまたいで交換するRelay Protocolが使われているとしています。TRM Labsが集計したSolanaでの流出は970,500SOLで、規模はほぼ同じです。
Lookonchainが示したSolanaのアドレスは、FBIが公開したSolanaのアドレス1件と同じものです。FBIはこの一覧を、盗まれた資産を持つか過去に持ち、TraderTraitorが運用するか密接に関係するアドレスとしています。ただし、ここで紹介した個々の交換の取引を、捜査機関が確かめたかどうかは公表されていません。
FBIが見込んでいた「DeFiやインスタント交換を使った次の段階」は、発表の翌日にも進んでいたことになります。FBIの発表は要請であり、公開されたアドレスに照らして取引を断るかどうかは、名指しされた事業者それぞれの対応に委ねられます。
出金再開、約9時間半で純流出36.4億ドル
Binanceは11月1日、BTC、ETH、SOLなど15のネットワーク上の指定した銘柄から、出金を段階的に再開しました。公式の告知では、06時00分から09時00分（UTC）を第1段の開始の予定としていました。残るネットワークと銘柄は、準備ができしだい加えるとしています。補填は、10月30日の第2報で約8割、31日に9割、11月1日に約95%まで進みました。残る約5%は上位10銘柄以外の、流動性の低いトークンで、買い集めを続けています。
The Blockによると、Binanceは出金再開から約9時間半で、出金が46.5億ドル、入金が10.1億ドル、差し引きの純流出が36.4億ドルだったと公表しました。10月28日時点の準備金証明で示した資産1710億ドルの2.1%にあたります。Binanceは、出金の量は想定どおり落ち着いてきているとしています。一方で、The Blockが米東部時間11月1日午前11時22分に見たステータスページでは、掲載された552銘柄のうち531銘柄の出金が止まったままでした。
準備金証明の完全版は、10月30日の第2報では11月2日までに出すとされていました。31日の第3報では、同日0時（UTC）のスナップショットを公開したうえで、ゼロ知識証明の生成に40〜50時間かかるとして、11月3日（UTC）までの完成を見込むと改めています。一方、The Blockは11月1日、更新した報告書は11月2日に出る予定と報じており、公式の告知との違いはまだ整理されていません。Binanceによると、対象の10銘柄では、完全な証明ができた時点で、利用者がスナップショット時点の自分の残高が負債の集計に含まれ、資産が少なくとも1対1で裏づけられていることを確かめられるようになります。
DMM Bitcoinと同じ相手
TraderTraitorは、2024年5月にDMM Bitcoinから約482億円相当の暗号資産を盗んだ集団として、警察庁、FBI、米国防総省サイバー犯罪センター（DC3）が2024年12月に特定した相手でもあります。警察庁によると、TraderTraitorはLazarus Groupの一部とされています。TRM Labsの10月時点の年初来の推計では、北朝鮮が関わる暗号資産の窃取は今回の事案を含めて74億ドルにのぼり、世界の暗号資産のハッキング被害額の85%を占めます。この集計には、北朝鮮への帰属がまだ確定していないBitgetの事案も含まれています。
侵入の入口について、Binanceは当初、DevOps担当者のノートPCが侵害され、そこからサービスのコンテナに入られて不正な出金を出されたとの見方を示し、その後の調査で別の侵入箇所も見つかったとしています。原因の全容は、まだ公表されていません。TRM Labsは北朝鮮の手口を、採用担当者や投資家を装って偽のコーディング試験を送り、開発者の端末から鍵や認証情報を得て、取引に署名する仕組みへたどり着く流れとして整理しています。DMM Bitcoinの事案では、企業向けのウォレットソフトウェアを提供するGincoの社員に、採用担当者を装った人物から、採用前の試験を装う悪意のあるPythonコードへのURLが送られました。警察庁によると、社員はこのコードを自分のGitHubのページにコピーし、その後、侵害されました。
今回の発表は、捜査機関による帰属とあわせて、民間の事業者が取引の可否の判断にそのまま使える情報を示したものです。凍結できる資産は発行体が止め、凍結できない資産は、公開されたアドレスをもとに出口の事業者が断る。窃取から2日で、その分担のための共通のリストが公的な発表として示されたことに、この続報の意味があります。日本の交換業者や、交換の仕組みを運営する人たちにとっても、628件の一覧は手元で照合できるリストになります。
【関連記事】
Binance、約63億ドル流出で出金停止 秘密鍵漏えいの証拠なく全額補償へ
今回の事案の第1報。EIP-7702の悪用、36時間前からの準備、発行体による凍結の速さと、日本の利用者への影響をまとめた。
【解説】AI開発基盤9社が10月に侵害を公表、狙われたのはAIの鍵 NorthflankとChainalysisも
今回の帰属を評価した分析会社Chainalysisも、10月に社内システムへの侵入を公表した。Binanceとは無関係とした。
Bybitで15億ドル規模のハッキング—北朝鮮Lazarus Groupの攻撃か
2025年2月のBybitの事案。FBIはのちに、今回と同じTraderTraitorによるものと発表し、アドレスを公開した。
DMM Bitcoin、北朝鮮ハッカー集団による440億円規模の暗号資産流出事件の全容が明らかに
2024年の国内の交換業者の事案。警察庁とFBIなどは、のちに約482億円相当の窃取とし、TraderTraitorと特定した。
【編集部後記】
FBIの宛先に名前のあったTHORChainでは、2025年2月のBybitの事案のあと、ノードの運営者がETHの取引を止める投票をし、数分のうちに覆されました。止めるには3票、戻すには4票で足りる設定だったと、関係する開発者は説明しています。その直後、中心的な開発者の一人が離れました。
今回の628件の一覧を受け取るのも、会社ではなく、ノードを動かす一人ひとりの運営者です。前回は数分で戻った判断を、今回は誰がどう下すのか。分散した仕組みの出口の閉じ方が、改めて記録に残っていきます。
【用語解説】
TraderTraitor
FBIが、暗号資産の窃取を重ねる北朝鮮のサイバー攻撃の活動に付けた呼び名。警察庁は、北朝鮮当局の下部組織とされるLazarus Groupの一部と説明している。
THORChain／THORNode
THORChainは、BitcoinとEthereumのように異なるチェーンの資産を、仲介する交換所なしで直接交換できる仕組み。THORNodeは、そのネットワークを動かすノードである。
RPCノード
ウォレットやアプリから届いた取引をブロックチェーンへ送り、残高などの情報を返す中継のサーバー。事業者が運営することが多い。
インスタント交換
ある暗号資産を別の暗号資産へ、その場ですぐ交換できるサービス。チェーンをまたいで資金を動かせるため、洗浄に使われることがある。
DeFi（分散型金融）
銀行や交換所のような仲介者を置かず、ブロックチェーン上のプログラムで交換や貸し借りを行う金融サービスの総称。
発行体による凍結
USDTやUSDCのように企業が発行するトークンでは、発行体が特定のアドレスの残高を動かせなくできる。ETHやBTCそのものには発行体がおらず、この方法は使えない。
準備金証明（Proof of Reserves）
交換所が、利用者から預かった資産と同じかそれ以上の資産を持っていることを示す仕組み。利用者は自分の残高が集計に含まれているかを確かめられる。
ゼロ知識証明
中身を明かさずに、ある主張が正しいことだけを相手に示す暗号の技術。準備金証明では、他の利用者の残高を見せずに集計の正しさを示すのに使う。
オンチェーン分析
ブロックチェーンに記録された取引を追い、資金の流れや、アドレスの持ち主の手がかりを調べること。
【参考リンク】
North Korea Responsible for $6 Billion+ Binance Attack（FBI）（外部）
FBIが10月31日に出した警告。北朝鮮への帰属と、遮断を求めたETH・BTC・SOLの計628件のアドレスを載せている。
Security Incident | Recovery Update #4（Binance）（外部）
出金を段階的に再開すると伝えた11月1日の告知。第1段の15のネットワークと銘柄、補填が約95%に達したことを示している。
Proof of Reserves（Binance）（外部）
Binanceの準備金証明のページ。銘柄ごとの裏づけの割合と、利用者が自分の残高が含まれているかを確かめる手順を載せている。
Internet Crime Complaint Center（IC3）（外部）
FBIのインターネット犯罪の通報窓口。Bybitの事案で北朝鮮を名指しした2025年2月の公共広告も、ここで公開されている。
TRM Labs（外部）
ブロックチェーンの分析会社。今回の流出を高い確信度でTraderTraitorによるものと評価し、チェーンごとの内訳を公表した。
THORChain（外部）
異なるチェーンの資産を直接交換できる分散型の仕組みの公式サイト。FBIは今回、そのノードの運営者にも取引の遮断を求めた。
【参考記事】
North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History（TRM Labs）（外部）
流出は10のチェーンで約63.6億ドル。10月30日の時点で、攻撃者は発行体の凍結が及ばない約24億ドル分を持つと分析した。
North Korea Has Stolen USD 12.8 Billion in Crypto, USD 7.4 Billion of It in 2026（TRM Labs）（外部）
北朝鮮の窃取は2017年以降で128億ドル、うち2026年は74億ドル。採用試験を装う手口と、資金の洗浄の経路を整理した。
North Korea Responsible for $1.5 Billion Bybit Hack（FBI／IC3）（外部）
2025年2月26日、Bybitの約15億ドルの窃取を北朝鮮によるものとした公共広告。Ethereumのアドレス51件を載せた。
Binance sees $3.64 billion in net outflows after reopening withdrawals following record hack（The Block）（外部）
出金再開から約9時間半で出金46.5億ドル、入金10.1億ドル。純流出36.4億ドルは資産1710億ドルの2.1%と報じた。
Binance hacker moves $46M in stolen SOL for Bitcoin swaps via Relay（crypto.news）（外部）
Lookonchainの分析で、約97万SOLをBitcoinに替える動きと、1時間で約48万7000SOLが動いたことを伝えた。
北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について（警察庁）（外部）
DMM Bitcoinの約482億円の窃取をTraderTraitorと特定した2024年12月の発表。採用試験を装った手口を示した。
