バイナンス63億ドル流出、北朝鮮ハッカー「20分攻撃」の全貌

史上最大級の流出が突きつけた交換所リスク

世界最大手の暗号資産交換業者Binance（バイナンス）で、約63億ドル相当の暗号資産が不正に移動しました。主要な資産移動は約20分で進み、従来最大だった2025年のBybit被害を大きく上回ります。

重要なのは、ブロックチェーン自体の暗号が破られた事件ではない点です。攻撃者は、交換所が複数のウォレットから送金を承認する仕組みに入り込み、正規に見える署名付き取引を大量に実行したとみられます。

TRM Labs、Chainalysis、Ellipticは北朝鮮系のTraderTraitorによる攻撃との評価を相次いで公表しました。ただし、11月1日未明の時点で政府機関やバイナンスは実行主体を正式認定しておらず、帰属評価と捜査上の確定は分けて考える必要があります。

20分で十チェーンを横断した侵害の構造

被害額の差から読む攻撃時系列

TRM Labsによると、攻撃は10月29日20時05分（協定世界時、日本時間30日午前5時05分）ごろに始まりました。最初にXRP Ledger上の五つのウォレットから資産が移動し、Solana、Bitcoin、Tron、Ethereumなどへ攻撃が広がりました。主要部分は約20分で進み、数時間後にはAvalancheとPolygonでも追加の移動が確認されています。

「20分」は事件全体の継続時間ではなく、大半の資産が集中的に抜かれた時間帯を指します。バイナンスの被害推計は約63億ドル、TRM Labsは63億6000万ドル、Ellipticは64億3000万ドルと算定しています。価格の評価時点や対象ウォレット、ブロックチェーンの集計範囲が異なるためです。

TRM Labsは、Ethereum関連だけで約37億9000万ドル、Bitcoinでは1万8270BTCが流出したと分析しています。単一チェーンの障害ではなく、異なる署名方式を持つウォレットがほぼ同時に動いた事実が、交換所内部の共通基盤に焦点を当てる根拠となっています。

署名基盤を突いたEIP-7702の悪用

バイナンスは当初、DevOpsエンジニアのノートパソコンが侵害され、攻撃者がサービス用コンテナへアクセスした可能性を公表しました。その後の調査では複数の侵入口が見つかった一方、ウォレットの秘密鍵が漏れた証拠は確認されていないとしています。

Ethereum上では、2025年のPectraアップグレードで導入された「EIP-7702」が使われました。通常のウォレットにスマートコントラクトの機能を委任できる正規仕様ですが、悪意あるコントラクトへ委任すれば、ウォレット内の資産を操作される危険があります。

攻撃者は異なる連番情報に対応する50件の署名済み承認を事前に用意し、実行時点のウォレット状態と合う一つを成立させたとTRM Labsは分析しています。委任成立から3分24秒後には、16万7464ETHと多数のトークンが攻撃者側へ移されました。

他のチェーンでは、正規の署名が付いた通常形式の送金が連続しています。このため、EIP-7702そのものの欠陥というより、攻撃者がバイナンスの署名システムに不正な命令を通せる状態を作った可能性が高いとみられます。利便性を高める新機能と、社内承認基盤の設計が組み合わさった攻撃です。

追跡側と攻撃者による凍結競争

流出直後には、資産を凍結できる側と、凍結できない通貨へ換えようとする攻撃者の競争が始まりました。USDTやUSDCなどのステーブルコインは発行企業が特定アドレスを凍結できますが、BitcoinやETHには同じ権限を持つ発行者が存在しません。

Chainalysisによると、攻撃者は5億ドル相当のステーブルコインを移し、そのうち3億2500万ドル相当を約20分かけて2億8500万ドル相当のETHへ交換しました。大幅な価格差を受け入れてでも、凍結不能な資産へ逃がすことを優先した形です。

TRM Labsは初動で約27億ドル、Ellipticは約28億5000万ドルの凍結・差し押さえをオンチェーンで確認しました。バイナンスは業界各社との連携により約30億ドルを凍結したと説明しています。ただし、凍結は攻撃者が動かせない状態にしただけで、バイナンスへの返還や回収が完了したことを意味しません。

北朝鮮帰属の根拠と交換所経営への波及

三社の分析が重なる帰属根拠

TRM Labsは、オンチェーンとオフチェーンの情報を基に「高い確度」でTraderTraitorによる犯行と評価しました。Chainalysisは、流出資金の一部が北朝鮮関与を疑われるBitget事件の資金と同じアドレスで混ざったことを、最も強い接点として挙げています。Ellipticも同じ資金混在を確認しています。

攻撃の36時間以上前から、資金追跡を難しくするTornado Cash経由の少額送金や、攻撃コードの試験が行われていました。事前署名をまとめて取得し、短時間に複数チェーンで資金を動かす手順も、北朝鮮系の過去の攻撃と重なります。

もっとも、資金経路の一致は同一の運用インフラを示しても、実行者個人や政府の指揮命令を直接証明するものではありません。バイナンス事件については政府機関の正式認定がなく、現段階では民間分析会社による技術的な帰属評価です。

TraderTraitorの人的侵入モデル

米連邦捜査局（FBI）は2025年、Bybitから約15億ドル相当を奪った攻撃を北朝鮮のTraderTraitorによるものと正式に認定しました。盗んだ資産をBitcoinへ交換し、多数のアドレスと複数チェーンへ分散する手口も確認されています。

米サイバーセキュリティ・社会基盤安全保障庁（CISA）などは以前から、北朝鮮系攻撃者が暗号資産企業の従業員へ接触し、改ざんされたアプリや採用課題をダウンロードさせる手法を警告してきました。狙いはブロックチェーンの暗号解読ではなく、秘密鍵やクラウド認証情報、送金承認権限を扱う人と端末です。

今回もノートパソコンの侵害が端緒だった可能性がありますが、それだけで10チェーンの送金を説明できるかは未解明です。端末からコンテナ、認証情報、署名サービスへどのように権限を広げたのかが、今後の技術報告で最も注目されます。

市場急落と交換所の補償能力

事件後、Bitcoinは一時7万6368ドルと約6週間ぶりの安値を付け、Etherは3％超下落して2178ドルまで下げました。バイナンスの独自トークンBNBも24時間で約6.4％下落するなど、暗号資産関連株を含めてリスク回避が広がりました。

一方、バイナンスはSAFUと呼ばれる緊急準備基金、先物保険基金、会社資金を使い、利用者の損失を全額補填すると表明しています。10月31日の更新では、被害資産の90％相当を補充し、BTC、ETH、USDTなど主要10資産について100％の裏付けを確保したと説明しました。

これは盗まれた資産の90％を回収したという意味ではありません。バイナンスが自社資金などで同じ種類の資産を買い戻し、利用者残高を支える財務対応です。巨額損失を吸収できる資本力を示す半面、補填資金の内訳や準備基金の再構築には継続的な検証が必要です。

米財務省は、北朝鮮のサイバー窃取や偽装IT労働者による収益が、同国の大量破壊兵器・弾道ミサイル計画を支える構造を指摘しています。ただし、今回盗まれた資金が実際に兵器開発へ渡ったと確認されたわけではありません。追跡と換金阻止が安全保障上の焦点となります。

補償表明の先に残る三つの検証課題

第一は根本原因の特定です。バイナンスは秘密鍵流出を否定していますが、複数チェーンで有効な署名が作られた以上、署名依頼の生成、承認、実行を分離する統制が機能したかを説明する必要があります。端末侵害だけでなく、サービス間の権限や異常送金を止める上限設定も検証対象です。

第二は財務の透明性です。バイナンスは10月31日時点の準備資産スナップショットを公開しましたが、完全なゼロ知識証明の生成には40～50時間を要するとしています。準備資産証明は特定時点の裏付けを確認する手段であり、攻撃経路の解明や危機時の流動性まで保証するものではありません。

第三はサービス復旧の安全性です。グローバル版は11月1日の出金再開を目指すと発表しました。Binance Japanは国内利用者の資産を別系統のコールドウォレットで管理し、被害は確認されていないと説明していますが、予防的に暗号資産の出金を停止しています。予定時刻よりも、再開範囲と追加対策を確認することが重要です。

利用者と企業が直ちに確認すべき防御策

利用者は、出金再開や補償を装うメール、SNS投稿、偽サポートに注意が必要です。公式サイトを直接開いて告知を確認し、パスワードの使い回しを避け、フィッシング耐性の高い多要素認証を設定することが基本となります。資産を一つの交換所へ集中させない判断も有効です。

暗号資産事業者には、ウォレットごとの送金上限、チェーン別の署名基盤、通常と異なる委任承認を止める監視が求められます。特にEIP-7702では、想定外のコントラクトへの委任や連続する複数の署名要求を、即時対応が必要な侵害指標として扱うべきです。

投資家が注視すべきなのは、短期の価格反発だけではありません。出金の安定再開、全資産の補充完了、凍結資産の返還額、第三者検証を伴う準備資産証明、技術的な事後報告の五つです。今回の事件は、暗号資産の安全性がブロックチェーンだけでなく、企業の端末管理と署名インフラに左右される現実を示しています。

参考資料:

• Security Incident Update
• Security Incident Update #2
• Recovery Update #3: 90% of Stolen Assets Replenished
• Binance Japanによるセキュリティ事案への対応
• North Korea Steals USD 6.36 Billion From Binance
• North Korea Has Stolen USD 12.8 Billion in Crypto
• The $6.4 Billion Binance Hack: Tracing the North Korea Link
• The largest theft in history: North Korea likely behind the Binance hack
• Binance seeks to shore up confidence after record heist
• The $6.3 Billion Binance Hack Was Pulled Off in Just 20 Minutes
• Long accused of abetting crypto crimes, Binance is now victim
• North Korea Responsible for $1.5 Billion Bybit Hack
• TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies
• Pectra EIP-7702 guidelines
• Treasury Targets DPRK Malicious Cyber and Illicit IT Worker Activities