バイナンスハッキング2026：史上最大の仮想通貨ハッキング
バイナンスは顧客に対し、資金は安全だと伝えていた。しかし、資金が抜き取られたウォレットは、4週間前に公開された、顧客の資産を裏付ける取引所自身のリストに記載されていた。この2つの主張は同時に真実である可能性があり、この2つの主張の間の矛盾こそが、2026年のバイナンスハッキング事件を理解する上で最も重要な点である。
まず事実から。10月29日夜、世界最大の仮想通貨取引所であるバイナンスのホットウォレットから、攻撃者が約10のブロックチェーンにわたって資金を抜き取った。バイナンスによると被害額は約63億ドルで、そのほとんどが約20分で移動したという。これは仮想通貨ハッキング事件としては史上最大規模で、2025年のバイビットの盗難事件の約4倍に相当する。バイナンスは入出金を一時停止し、すべての損失を補償すると表明した。
以下の数値は変動する可能性があります。このニュースは2日前に報じられたものであり、バイナンスはまだ事後分析を発表していません。すべての数値は10月30日と31日時点のスナップショットとしてお考えください。
バイナンスハッキング事件2026で何が起こったのか、分刻みで解説します。
スピードこそが今回の武器だった。しかし、そのスピードは忍耐によって得られたものであり、その忍耐こそが、今回の作戦を幸運な偶然ではなく、プロフェッショナルなものに見せているのだ。
10個のブロックチェーンにまたがる20分間
ブロックチェーン分析会社TRM Labsによると、攻撃者は10月28日朝、コインの出所を隠すミキシングサービスであるTornado Cashを通じてウォレットへの資金提供を開始した。これは、Binanceから1枚のコインが流出する少なくとも36時間前のことである。
最初の資金流出は10月29日20時05分（UTC）にXRP Ledgerで発生した。ビットコインは20時20分（UTC）に続いた。同じ時刻に、攻撃者はイーサリアム上のBinanceホットウォレットに50件の認証リクエストを送信した。約3分半後、そのウォレットは1回のトランザクションで資金が全滅した。その後も資金流出は23時56分（UTC）まで続き、23時05分頃にはAvalancheとPolygonでも第2波の資金流出が発生した。
協定世界時（UTC）の真夜中直前、すべてが終わった。
63億ドルはどこから来たのか
資金は一箇所からではなく、少なくとも10のネットワーク上のホットウォレットから送金されていた。これは、攻撃者が複数のチェーン上で同時にバイナンスの出金システムに何らかの形でアクセスしていたことを示している。
| ブロックチェーン | 押収された資産 | おおよその値 |
|---|---|---|
| イーサリアム | 約200,600 ETH、18億7,500万 USDT、8億2,300万 USDC、8,850万 RLUSD | 約38億ドル |
| ビットコイン | 18,270 BTC | 約14億7000万ドル |
| トロン | 6億1270万USDT + 4640万TRX | 約6億2800万ドル |
| XRPレジャー | 2億3346万XRP | 約2億9600万ドル |
| ソラナ | 970,500ソル | 約9600万ドル |
| 仲裁人、楽観主義、ベース | 混合 | 約3900万ドル |
| 雪崩 / 多角形 | 混合 | 約2800万ドル／約1000万ドル |
出典：TRM Labs、データは10月30日00:30（UTC）時点。
ニュースでは被害額がそれぞれ異なると報じられていますが、それはごく普通のことです。Binanceは約63億ドル、 TRM Labsは盗難発生時点で63億6000万ドル、Chainalysisは約64億ドル、Ellipticは11のチェーン全体で64億3000万ドルとしています。この差は、価格設定のタイミングや各社がどのチェーンを含めるかによって生じるものであり、何が起こったかについては誰も異論を唱えていません。
EIP-7702がBinanceホットウォレットをいかにして悪用したか
バイナンスへのハッキングにおけるイーサリアム関連の部分は巧妙で、最も注目を集めている。しかし、それだけでは完全な説明とは言えない。
簡単に言うと、ホットウォレットとコールドストレージです。
取引所は、店舗が現金を保管するのと同じように暗号資産を保管します。その大部分は金庫に保管されますが、暗号資産の世界ではこれは「コールドストレージ」と呼ばれ、秘密鍵はオフラインで保管され、意図的に移動速度が遅くなっています。少額の暗号資産はレジに保管され、顧客が迅速に引き出せるようになっています。このレジはホットウォレットと呼ばれ、取引所のシステムに接続されており、必要に応じてトランザクションに署名することができます。
ホットウォレットは、総資産のごく一部を保管するためのものです。しかし、バイナンスのような規模の取引所では、そのごく一部でも数十億ドルにもなり得ます。
50の署名と理論の穴
EIP-7702は、2025年5月のPectraアップデートで実装されたイーサリアムのアップグレードです。ウォレットが承認書に署名すれば、通常のウォレットがスマートコントラクトコードに操作を委任できるようになります。銀行口座の委任状のようなものです。
攻撃者はまさにその手法を用いた。TRM Labsの報告によると、攻撃者はそれぞれ異なるトランザクションカウンターに紐づけられた50個の署名済み承認書を用意し、そのうちの1つがウォレットの現在の状態と一致するようにした。そして実際に1つが一致した。ホットウォレットはその後、攻撃者の「スイーパー」コードを実行し、トークンを一度に送金した。バイナンスの共同CEOであるリチャード・テン氏は、この委任によって取引所の通常の承認管理が回避されたと述べた。
私にとって納得できないのはここです。EIP-7702はイーサリアムと互換性のあるチェーンにのみ存在します。18,270 BTCがビットコインウォレットから流出した経緯や、トロンとXRPの資金がどのように移動したのかを説明できません。これらの移動には通常の署名付き送金が必要だったため、攻撃者はバイナンスの署名インフラ自体にアクセスしたと考えられます。
バイナンス自身の見解も既に変化している。盗難発生から数時間以内に投稿された最初のアップデートでは、DevOpsエンジニアの所有する1台のノートパソコンが侵害され、サービスコンテナへのアクセス権限を奪われたことが原因だとし、「秘密鍵の漏洩の証拠はない」と述べていた。その翌日、同取引所は「追加の侵害箇所を発見した」と発表した。どちらの説明も必ずしも間違っているわけではない。しかし、24時間で内容が変わるような話は、確固たる結論を出す前に事後検証を待つべき理由となる。
Binanceはあなたの資金は安全だと言っています。細かい規約をよく読んでください。
一般ユーザーにとって、2026年のバイナンスハッキング事件は、取引所がアップデートのたびに繰り返す一文に集約される。バイナンスのメッセージは一貫しており、顧客資金は安全であり、取引所は緊急資金と会社資金からすべての損失を補償するというものだ。取引所が支払いを怠る理由は何もない。問題は、これがどのような約束なのかということだ。
SAFUがカバーできることとできないこと
バイナンスは、ハッキング被害への対応として63億4000万ドルを確保したと発表した。そのうち約50億ドルは既に被害を受けたトークンで保有されている。残りは市場や店頭取引を通じて買い戻している。凍結された資産はこの金額には含まれていない。
セキュア・アセット・ファンド・フォー・ユーザーズ（SAFU）はよく話題に上るが、その規模は多くの人が想像するよりも小さい。バイナンスはSAFUを約10億ドルと説明しており、同社のオンチェーン・ビットコインウォレットには約1万5000BTCが保管されている。これは金曜日の価格で約11億7000万ドル相当となる。ファンドストラットのショーン・ファレル氏は、SAFUが凍結解除された損失の約3分の1をカバーできると推定している。残りはバイナンス自身のバランスシートから捻出される。
バランスシートが健全であれば、それは素晴らしい結果と言えるだろう。しかし、SAFUの規約ではバイナンスに支払いに関する「完全な裁量権」が与えられており、BBCが引用した弁護士らは、この約束は法的拘束力を持たない可能性があると警告している。数十億ドルを裏付けとした約束は、あくまで約束であって契約ではないのだ。
準備金証明問題
準備金証明とは、取引所が顧客の預託額と同額以上の暗号資産を保有していることを示すために使用するウォレットの公開リストのことです。CoinDesk はBinanceの10月1日の報告書を確認したところ、資金が枯渇したイーサリアムウォレット「Binance 14」がリストに載っていることを発見しました。
バイナンスへのハッキングで盗まれた約204,500 ETHは、バイナンスが顧客の裏付けとして登録していたイーサリアムの約5.6%に相当します。このイーサリアムが補充されるまで、ETH準備金は顧客残高の100%超ではなく、約94%にとどまっていました。バイナンスはこれを迅速に補充する可能性があり、USDCによる裏付けは108%に達していました。しかし、「顧客資金は影響を受けなかった」という表現は、「顧客が損失を被ることはない」と解釈する方が適切であり、これは異なる主張です。
公平を期すために言えば、ファレル氏は重大な支払能力リスクはないと見ている。彼の判断基準は単純だ。引き出しがどれだけ早く再開されるか、そして資金流出が秩序正しく行われるかどうかだ。
バイナンスがハッキング被害で凍結：ステーブルコインは復活したがビットコインは復活しなかった理由
凍結はこの話の中で唯一うまくいった部分であり、その理由は暗号通貨の純粋主義者たちがしばしば嫌うものだ。
USDTやUSDCなどのステーブルコインは、トークン契約を管理する企業によって発行されます。これらの企業は、トークンを凍結、焼却、再発行することができます。TRM Labsは、以下の対応を記録しました。TetherはUTC 21:01に資金を凍結し、Circleは21:04に、Rippleは22:01に、World Liberty Financialは22:10に、そしてArbitrumのセキュリティ評議会は真夜中過ぎに資金を凍結しました。
Ellipticの試算によると、現在凍結されている金額は28億4000万ドルで、これは盗難額の約44％にあたり、ほぼすべてがステーブルコインである。Binance自身の推定では、その額は30億ドル近くに達している。
ビットコインとイーサリアムには発行者が存在しない。誰もそれらを停止させることはできない。TRMの推定では、約24億ドル相当のBTCとETHが依然として攻撃者の支配下にある。捜査官は公開ブロックチェーン上でこれらのコインを追跡し、取引所で傍受を試みることはできるが、それには時間がかかる。
凍結された資金も、すぐに返還されるわけではない。CNBCの取材に対し、TRM Labsのアリ・レッドボード氏は、凍結は「資金の移動を止める」ものであり、回収には裁判所の命令が必要だと述べた。Chainalysisのリサーチ責任者であるエリック・ジャーディン氏は、資金の返還には「数ヶ月から数年かかる可能性がある」と語った。
バイナンスへのハッキング事件が史上最大規模の事件の一つに数えられる理由
見出しは記録の規模に焦点を当てているが、TRM LabsとEllipticのアナリストたちは、その背後にあるパターンをより懸念している。なぜなら、彼らは今年に入ってから何度も同様のパターンを追跡しているからだ。
| 事件 | 日付 | 盗まれた金額 | 帰属 |
|---|---|---|---|
| バイナンスホットウォレット | 2026年10月29日 | 約63億ドルから64億3000万ドル | TraderTraitor（TRM、Chainalysis） |
| バイビット | 2025年2月21日 | 約14億6000万ドル | 北朝鮮（FBI） |
| 浪人橋 | 2022年3月23日 | 約6億2500万ドル | ラザルス・グループ（米国財務省） |
| ポリネットワーク | 2021年8月10日 | 約6億1100万ドル | ハッカーが資金を返還 |
| BNBチェーンブリッジ | 2022年10月6日 | 約5億7000万ドルが発行された | 出典不明 |
| ビットゲット | 2026年9月24日 | 約3億8750万ドル | 北朝鮮（Chainalysis） |
| 昆布DAO | 2026年4月18日 | 約2億9200万ドル | TraderTraitor (TRM) |
| ドリフト | 2026年4月1日 | 約2億8500万ドル | 北朝鮮関連（TRM） |
| バイナンス | 2019年5月7日 | 7,000 BTC（約4,000万ドル） | 出典不明 |
TRM LabsとChainalysisは、北朝鮮政府が支援するハッキング部隊であるTraderTraitorによる攻撃であると高い確度で断定している。証拠の一部はオンチェーン上にあり、Binanceの収益は1か月前にBitgetから盗まれた資金と混ざっていた。Ellipticはより慎重な姿勢を示しており、どの政府もまだ正式な犯人特定を行っていない。Binance自身も犯人の名前を公表していない。
この手口はよく知られている。長期間の準備、事前に署名された取引、そして誰も反応できないうちに一気に大量の攻撃を行う。同じパターンがBybit、KelpDAO、Bitgetでも見られた。TRMの計算によると、北朝鮮は2017年以降128億ドル相当の仮想通貨を盗み、そのうち74億ドルは2026年だけで盗まれたもので、これは今年ハッキングで盗まれた金額の約85%に相当する。業界はこの手口を少なくとも20ヶ月前から知っていた。それでも世界最大の取引所でこの手口が通用したのだ。
バイナンスハッキング事件後の市場と政治ニュース
仮想通貨市場の基準からすると、市場は比較的冷静にこの打撃を受け止めた。CNBCの報道によると、金曜日のビットコインは4.1%下落して約77,446ドル、イーサリアムは4.4%下落、 BNBは6%下落して約701ドルとなった。CoinGlassのデータによると、24時間で16億ドル以上のレバレッジ取引が清算された。
政治的な反応は迅速だった。FBIは事件を把握していると述べ、米シークレットサービスはCircleと協力していると発表した。CFTCのマイケル・セリグ委員長は、今回のハッキングは、米国人にサービスを提供する海外取引所に登録を義務付けるという10月5日の提案の「まさに我々の主張を裏付けるものだ」と述べた。別の企業であるBinance.USは、影響を受けていないと述べた。
バイナンスユーザーが、出金が一時停止されている間に取るべき行動
バイナンスのハッキング事件後、今週ユーザーが実際に直面する脅威は詐欺師によるものとなるでしょう。彼らは主要な仮想通貨ハッキング事件が発生するたびに、「出金が再開しました」という偽のメッセージや、ログイン情報や復旧フレーズを要求する「返金」フォームを送りつけてきます。
バイナンスは、11月1日（日）に引き出しを再開し、11月2日（月）までに準備金の完全な証明を公開することを目指していると述べています。それまでの間、いくつかの賢明な対策を講じましょう。
- Binanceの公式アプリ、またはご自身で入力したウェブサイトのみをご利用ください。ダイレクトメッセージ、メール、検索広告に記載されているリンクは無視してください。
- アカウントのAPIキー、ログイン済みデバイス、出金ホワイトリストを確認し、身に覚えのないものはすべて削除してください。
- 復旧フレーズや2段階認証コードは絶対に共有しないでください。正規のサポート担当者が尋ねることはありません。
- 出金が再開されたら、ネットワークとアドレスを二重に確認してください。急いで送金すると、損失の原因となります。
さらに、長期的な視点で見れば、より深い教訓も得られます。長期間保有する予定の仮想通貨は、取引所に預けておく必要はありません。自分で管理するハードウェアウォレットを使えば、こうしたデジタルリスクは完全に解消されますが、新たなリスクが加わります。それは、秘密鍵の管理責任が自分自身に課せられるということです。
バイナンスハッキング2026の結論：約束であって、保証ではない
バイナンスはおそらく全ての顧客に全額返金するだろう。資金力もあるし、そうするだけの商業的な理由も十分にある。それが安心できる点だ。
厄介なのは、ユーザーが法的義務ではなくバイナンスの意思に頼らざるを得ない状況にあること、そして取引所が情報漏洩の経緯について既に一度説明を変えていることだ。事後検証によって、これが単なる不良ノートパソコンの問題だったのか、それとも世界最大の取引所が取引に署名する方法に根本的な問題があるのかが明らかになるだろう。
バイナンスのハッキング事件後、あなたの暗号資産を保管しているプラットフォームに問いかけるべき重要な質問があります。もし明日、そのプラットフォームが数十億ドルもの損失を出した場合、あなたは一体いくら、誰から補償を受ける権利があるのでしょうか？もしこの質問に答えられないのであれば、今週中に確認しておくのが良いでしょう。
