バイナンスは2026年10月29日に約63億ドルのハッキング被害を受けました。史上最大の暗号資産流出の経緯、バイナンスの説明、ユーザーの対処法を解説します。
2026年10月29日（木）、世界最大の暗号資産取引所バイナンスが、記録上最大の暗号資産窃盗の被害に遭いました。ブロックチェーン分析企業TRM Labsによると、20:05 UTCにバイナンスのホットウォレットから資金の流出が始まり、窃盗の大半は約20分で完了しました。23:05 UTC頃には第2波が続きました。
最初の兆候は、バイナンスのウォレットから資金が流出しているのを見たユーザーやオンチェーン監視者から上がりました。バイナンスはTechCrunchに対し、潜在的なセキュリティ問題に関する報告を把握しており、セキュリティインシデントを受けて予防措置として複数のネットワークで出金を一時停止したと説明しました。その後、調査中はプラットフォーム全体で入出金が停止されました。
AP通信によると、FBIは10月31日（土）、攻撃を北朝鮮のハッカーによるものと断定し、2025年2月の15億ドル規模のBybitハッキングの背後にいたTraderTraitorと呼ばれる集団と結びつけました。TRM LabsとChainalysisはそれ以前からTraderTraitorの犯行と分析しており、TRMは「高い確度」での判断だとしています。
バイナンスは被害総額を約63億ドルと見積もっています。独立した推計は近い数字ですが、完全には一致しません。CNBCによると、TRM Labsは約63.6億ドル（各送金時点の価格で評価）、Chainalysisは約64億ドルとしています。
TRMによるチェーン別の内訳：
流出資産の多くがステーブルコインだったため、発行体は素早く対応できました。バイナンスは約30億ドルがオンチェーンで凍結されたとしています。TRMは10月30日00:30 UTC時点で約27億ドルの凍結を確認しており、その大半はテザー（約17.7億USDT）とサークル（約8.25億USDC）によるもので、リップル、World Liberty Financial、Arbitrum Security Councilも一部を凍結しました。ビットコインとイーサには凍結できる発行体がないため、これらは攻撃者の手元に残りました。凍結は回収と同じではありません。TRMのアリ・レッドボード氏はCNBCに、凍結資金を取り戻すには別途法的手続きが必要だと語っています。
バイナンスはまだ根本原因を公表しておらず、以下の詳細は公表後に変わる可能性があります。
Decryptによると、バイナンスは最初の発表で、DevOpsエンジニアのノートPCが侵害され、攻撃者が出金を送信するサービスコンテナにアクセスした可能性があると説明し、「ウォレットの秘密鍵が漏洩した証拠は見つかっていない」としました。翌日には「その後の調査で追加の侵入経路が判明した」と発表しました。リチャード・テン共同CEOは、攻撃者は「一人のエンジニアの権限を使っただけではなく」、「ワンクリックで済む単一の操作でもなかった」と補足しています。
調査者によると、攻撃者はイーサリアム上でEIP-7702を悪用しました。これはPectraアップグレードで導入された機能で、通常のウォレットが一時的にスマートコントラクトのコードを実行できるようにするものです。Hypernativeによれば、攻撃者は20:20 UTCに「Binance 14」と呼ばれる主要ホットウォレットを自らが管理するスイーパーコントラクトに委任する有効な承認を取得し、1回の呼び出しで約167,464 ETHと63種類のトークンを引き出しました。バイナンスは10月30日00:10 UTCにこの委任を取り消しました。残る9チェーンでは通常の署名済み送金で資金が流出しており、TRMはスマートコントラクトの不具合ではなく、バイナンスのホットウォレット署名インフラが侵害されたことを示すと分析しています。
TRMはまた、準備が少なくとも36時間前に始まっていたことも突き止めました。攻撃者の運用ウォレットは10月28日にTornado Cash経由で資金を受け取り、スイーパーのコードはバイナンスへの攻撃前に別のウォレットでテストとリハーサルが行われていました。
バイナンスのメッセージは一点で一貫しています。損失を顧客に負わせないということです。
「結論として、皆さまの資金は安全であり、すべての損失を当社が補填します。」— リチャード・テン（バイナンス共同CEO）、Xにて
バイナンスは損失をSAFU緊急基金と自社資金で補填するとし、10月30日にはそのために63.4億ドルを用意したと発表しました。テン氏は10月31日、盗まれた資産の90%を補充したと述べました。CNBCによると、11月1日時点でバイナンスは約95%を補填したとし、残る5%は調達に時間のかかる流動性の低いトークンだと説明しています。
テン氏はさらに、調査は「特定の個人に責任を帰していない」と述べ、「調査が完了し、すべての事実が確認され次第、詳細な技術的事後報告書を公開する」と約束しました。
資産を預けずにトレードする
バイナンスは11月1日（日）06:00 UTCから出金を段階的に再開しました。12:36 UTCまでに15のネットワーク・資産からなる第1段階が稼働し、残りはテストが続けられました。The Blockは、その時点でまだテスト中だったネットワークにカルダノ、チェーンリンク、ハイパーリキッド、ライトコイン、NEARが含まれていたと報じています。
再開後最初の9時間半で、バイナンスは出金46.5億ドル、入金10.1億ドルを処理したとしています。純流出は約36.4億ドルで、10月28日の準備金証明に示された資産1,710億ドルの2.1%にあたります。バイナンスによれば、出金量は当初急増した後「想定どおり落ち着きつつある」とのことです。第三者のデータは異なり、DefiLlamaのダッシュボードはより大きな純流出を示しましたが、バイナンスはこの数値に異議を唱えています。
バイナンスは、10月31日のスナップショットに基づきゼロ知識証明で算出した最新の準備金証明を公開するとしています。本記事執筆時点では未公開で、ハッキング後の取引所の財務状況を判断するうえで最大の未解決事項です。
現時点の情報では、バイナンスは損失を吸収できる体力があるようです。Fundstratのショーン・ファレル氏はCNBCに対し、今回の攻撃が深刻な支払能力リスクを生むようには見えないと述べており、出金再開時に報告された純流出は資産の約2%でした。ユーザーに損失の負担は求められていません。
残る疑問は支払能力ではなくセキュリティです。根本原因は未公表で、当初の説明はすでに修正され、TRMの10月30日時点の集計では約24億ドル相当のETHとBTCが攻撃者のウォレットに残っていました。バイナンスが「安全」かどうかは、事後報告書の内容と対策が実際に機能するかにかかっています。
今回のハッキングは暗号資産そのものの失敗ではなく、喜ぶべきことでもありません。国家の支援を受けたチームが、業界で最も充実したセキュリティ体制のひとつを相手に何日もかけて攻撃を準備し、バイナンスの対応はこれまでのところユーザーを守っています。その点は評価すべきです。
それでも、ひとつの構造的な事実が浮かび上がります。中央集権型取引所に資産を預けると、手にしているのはコインそのものではなく取引所に対する請求権です。資産の安全は、取引所のホットウォレット、署名システム、従業員の端末、そして財務体力に左右されます。今回は財務体力が63億ドルを補えるほど大きかった。2025年にはBybitが15億ドルの損失を補填しました。どちらの場合も、取引所が事態に対処している間、顧客は資金を動かせませんでした。
セルフカストディは、この層を取り除きます。ノンカストディアルウォレットなら、取引所のホットウォレットが資金を保管することはなく、一度の攻撃で空にされる共有プールもありません。リスクがゼロになるわけではありません。鍵と端末の管理は自分の責任になり、取引所の従業員を狙うフィッシング手口は個人も狙い、オンチェーンのプラットフォームにはスマートコントラクトやブリッジ固有のリスクがあります。それでも、どの取引所もあなたの出金を止めることはできず、取引所の署名システムが破られても、あなただけが持つ鍵には届きません。
Dexlyは、Hyperliquid上に構築されたノンカストディアルのトレーディングアプリです。自分で管理するウォレットから無期限先物と現物を取引でき、Dexlyが資金を預かることはありません。dexly.tradeでお試しください。
リスク警告： 無期限先物取引には大きな損失リスクが伴います。失っても問題ない資金のみで取引してください。Dexlyはノンカストディアルなインターフェースであり、資金と取引の判断はすべてご自身の責任となります。
資産を預けずにトレードする