バイナンスが推定影響額63億ドルを公表、従業員PC侵害の可能性
取引高で世界最大の暗号資産（仮想通貨）取引所バイナンス（Binance）が、大規模な資産の不正流出について、推定影響額が約63億ドル（約9,905億円）に上るとの初期調査結果を10月30日に発表した。同社は、システムの開発・運用を担当する技術者のノートPCが侵害された可能性も指摘した。
バイナンスによると、攻撃者はDevOpsエンジニアのノートPCを侵害し、サービスコンテナにアクセスした可能性がある。サービスコンテナとは、アプリケーションやサービスを独立した環境で動作させるための仕組みだ。同社は、攻撃者がこの環境を通じて不正な出金トランザクションを送信できた可能性があると説明した。一方、ウォレットの秘密鍵が漏洩した証拠は確認されていないとのことだ。
バイナンスは関連資産のうち約30億ドル（約4,717億円）を凍結したほか、暗号資産の入出金を一時停止した。また、同社は予防措置として「バイナンスアルファ（Binance Alpha）」の取引も一時停止していた。今回の問題による損失については、利用者資産を保護するための緊急保険基金「SAFU」と同社の資金で全額補填する方針だ。
同社はすでに影響を受けたアドレスの認可を取り消し、法執行機関やブロックチェーン分析企業などと協力して関連資産の追跡と回収を進めている。暗号資産の入出金はセキュリティ検査が完了次第、再開する方針だ。
今回の問題は、オンチェーン分析者のスプリーク（Spreek）氏が、バイナンス関連ウォレットからの不審な資産移動をXで報告したことで注目を集めた。
スプリーク氏が報告した取引では、バイナンスのウォレット「Binance 16」から約28,005.6ETHが外部アドレスへ移動していた。同氏は当初、通常のウォレット管理に伴う資産移動の可能性も考慮し、ハッキングとの断定を避けていた。しかし、その後も複数のウォレットから資産が移動し、関連アドレスではUSDTの売却とみられる取引も確認された。これらの動きを受け、スプリーク氏は不正流出の可能性が高いとの見方を示した。
資産移動の技術的な仕組みについては、ブロックチェーンセキュリティ企業フィラックス・システムズ（Phylax Systems）のオデュッセアス・ラムツィディス（Odysseas Lamtzidis）氏が、「EIP-7702」の委任機能が利用されたとの分析をXで公表した。EIP-7702は、通常のイーサリアムウォレットがスマートコントラクトのコードに処理を委任できる仕組みだ。委任先のコードには、ウォレットの資産移動などを実行する機能を持たせることができる。
同氏の分析によると、バイナンス関連ウォレット「Binance 14」では、10月30日午前5時20分59秒（日本時間）にEIP-7702による委任設定が導入された。その3分24秒後、別のアドレスが委任先のコードを呼び出し、約16万7,464ETHと、USDTを含む63種類のERC-20トークンを外部アドレスへ移動させた。移動した資産には約16億1,500万USDTが含まれていた。
さらに、委任されたウォレットが別のスマートウォレットに対して持っていた管理権限も利用され、7億8,000万USDCが移動したとのことだ。ただし、委任に必要な署名がどのように取得されたのかは明らかになっていない。また、バイナンスが示したPC侵害の可能性と、EIP-7702による資産移動の具体的な関係も判明していない。
バイナンスは調査完了後に詳細な技術報告書を公開するほか、問題への対応が完了した段階で更新版の準備金証明（Proof of Reserves）を公表する予定だ。準備金証明は、取引所が利用者から預かった資産を裏付ける資産を保有しているかを確認するための情報だ。
ステーブルコイン発行体などが資産凍結、Aaveも予防措置
USDTを発行するテザー（Tether）のパオロ・アルドイノ（Paolo Ardoino）CEOは、今回の問題に関連する15億6,700万USDT超を凍結したと公表した。また、USDCを発行するサークル（Circle）のジェレミー・アレール（Jeremy Allaire）CEOも、法執行機関と連携して8億USDC超を凍結したと説明した。
さらに、米ドル連動型ステーブルコインUSD1を手がけるワールド・リバティ・フィナンシャル（World Liberty Financial）は、暗号資産カストディ企業ビットゴー（BitGo）と協力して関連資産の凍結に対応した。また、バイナンスの共同創業者であるイ・ヘ（Yi He）氏は、リップル（Ripple）が米ドル連動型ステーブルコイン「RLUSD」の関連資産約2億ドル（約314億円）相当を凍結したと説明した。
今回の凍結対象となったUSDTやUSDCは、米ドルなどの法定通貨と価格が連動するよう設計されたステーブルコインだ。発行体はスマートコントラクトの機能を通じて、特定のアドレスからの送金を制限できる。一方、イーサリアムのネイティブ資産であるETHには、同様の権限を持つ発行体が存在しない。
こうした発行体による凍結とは異なり、アービトラム（Arbitrum）ではセキュリティ評議会が緊急措置を実行した。アービトラムは、同評議会が今回の問題に関連するアドレスから7,455万9,805ARBと8,425ETHを保全したと10月30日に公式Xで発表した。具体的には、対象資産を送金が制限された中間ウォレットへ移転したとのことだ。
アービトラムは、イーサリアムの取引処理を効率化するレイヤー2ネットワークだ。今回の措置により、元のアドレスから対象資産にアクセスできなくなった。また、中間ウォレットに移された資産を再び移動させるには、セキュリティ評議会による追加措置、またはアービトラムDAO（Arbitrum DAO）のガバナンス投票が必要となる。
このほか、暗号資産の貸し借りを提供する分散型金融（DeFi）プロトコルのアーベ（Aave）でも、予防的な市場凍結が実施された。Aaveのリスク管理に携わるラマリスク（LlamaRisk）が10月30日に公開した報告によると、凍結対象は「Aave V3」の16ネットワークにある175リザーブと、「Aave V4」の4ネットワークにある117リザーブに上る。一方、許可制の担保資産を扱う「Horizon」のRWA市場は対象から除外された。
今回の措置により、対象市場では新規の預け入れと借り入れが停止された。ただし、利用者は預け入れ済みの資産の引き出しや既存の借入金の返済を引き続き行えるほか、清算処理も継続される。ラマリスクは、攻撃者が流出資産を別の暗号資産に交換して市場を利用する可能性を考慮し、幅広い資産を凍結対象にしたと説明した。
なお、各社による資産の凍結や保全は、バイナンスへの返還が完了したことを意味しない。また、各社が公表した凍結額には重複が含まれる可能性があるため、単純に合算することはできない。
関連ウォレットがDeFiでETHを取得、Arkhamが関連資産を分析
暗号資産メディア「ディクリプト（Decrypt）」によると、今回の問題に関連するウォレットは、分散型取引所（DEX）「ユニスワップ（Uniswap）」を通じてETHを取得していた。具体的には、関連ウォレットがユニスワップの取引システム「ユニスワップX（UniswapX）」のコントラクトから約2万940ETHを受け取ったほか、別のウォレットでも約3,552ETHの受け取りが確認されたとのことだ。
一方、関連ウォレットはアーベに合計6,000万USDTを担保として預け入れ、約1万9,762WETHを借り入れていた。WETHは、ETHと交換可能なERC-20形式のトークンだ。この方法では、USDTを担保に残したままETH相当の資産を調達できる。ただし、借り入れたWETHには返済義務が生じる。
ラマリスクが確認した今回の問題に関連するアーベの借入ポジションは、この1件だった。10月30日午前10時（日本時間）時点の報告では、担保価値が約5,990万ドル（約94億円）、借入債務が約4,380万ドル（約69億円）となっており、担保価値が借入額を上回る状態が維持されていた。
こうした取引が注目されるのは、取得したETHやWETHにはステーブルコイン発行体の凍結権限が及ばないためだ。ただし、今回の取引が凍結を回避する目的で行われたかどうかは明らかになっていない。
関連ウォレットの保有資産については、ディクリプトが今回の問題に関連する2つのウォレットに合計約25万3,000ETHが保有されていたと報じた。内訳は約19万5,460ETHと約5万7,892ETHで、いずれも同記事が参照したオンチェーン分析に基づくものだ。
より広い範囲の関連アドレスについては、ブロックチェーン分析企業アーカム・インテリジェンス（Arkham Intelligence）が、今回の事案に関連すると判断したアドレス群を「binance-hacker-1029」として追跡している。10月30日午前の分析画面では、71のアドレスが関連付けられ、その保有資産の評価額は合計約57億7,179万ドル（約9,074億円）に達していた。主な保有資産には、約17億6,800万USDT、約18,270BTC、約47万5,113ETH、約8億2,456万USDCなどが含まれていた。
ただし、アーカムによるアドレスの分類は同社の分析に基づくものであり、すべてのアドレスが攻撃者の管理下にあると確定したわけではない。また、保有資産の評価額には凍結済みのトークンが含まれる可能性もある。そのため、この金額を確定した被害額や、攻撃者が自由に移動できる資産額とみなすことはできない。
Circle 🤝 @ACI_Worldwide Financial institutions are increasingly looking at how stablecoins can fit within the payment systems they already use. A new proof of concept in Colombia will explore how USDC settlement can operate alongside existing payment infrastructure and workflows. https://t.co/yb8hLnOWnD
— Circle (@circle) October 27, 2026
Our teams are aware of reports of a potential security issue and are actively investigating. User funds are completely safe. Our security teams are reviewing all relevant information with urgency, and we will provide updates through official Binance channels as soon as we have verified information. Users should remain cautious of scams and should not trust unofficial links, messages, or requests for account information.
— Binance (@binance) October 29, 2026
Unconfirmed, but possibly massive binance hack. Entire Binance wallet drained into new EOA. Contract call was funded by Tornado Cash https://t.co/DAHksHY8p7
— Spreek (@spreekaway) October 29, 2026
Update: https://t.co/G3Z72cuDXM They just approved AAVE. Contagion in full effect
— Odysseus | phylax.systems (@odysseas_eth) October 29, 2026
参考：CZ（X）・ Jeremy Allaire（X）・ Zach Witkoff（X）・ Arbitrum（X） ・Aave（X）・アーカム ・ディクリプト
画像：PIXTA