🔬 Deep Dive｜Binance の 63 億ドル流出、入口は DevOps 担当者のノート PC

10 月 30 日未明（日本時間）、世界最大の暗号資産取引所 Binance から、約 63 億ドル相当の資産が外へ流れ出た。Binance の初期調査によると、攻撃者は DevOps 担当者のノート PC を足がかりに社内のサービスへ入り、許可のない出金の取引を出させた。ウォレットの秘密鍵が漏れた証拠は無いとしている。

Binance

@binance

·Follow

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through Show more

10:55 AM · Oct 30, 2026

9.4K

Read 1.2K replies

単なる取引所のハッキングのニュースではない。資産を守る暗号の鍵は破られず、鍵を使って出金を作る社内の仕組みが、それを運用する人の端末から動かされた。暗号資産の流出として、これまで最大とされてきた 2025 年 2 月の Bybit（約 15 億ドル）の 4 倍を超える規模で、中央集権の取引所の弱点が暗号の外側にあることが示された。

この記事は、事件から 1 日のあいだに当事者が出した公式の発表で全体像を組み直し、破られた場所・補償・凍結・波及の 4 つの面から読む。発生直後の経過は Binance の流出についての記事、レイヤー 2 の凍結は Arbitrum の記事で扱っている。

第一に、破られた場所と、破られなかった場所

Binance が 30 日に出した「Security Incident Update」は、被害の見積もりを約 63 億ドルとした。初期調査で分かったこととして挙げたのは次の流れだ。

DevOps 担当者のノート PC が侵害された
攻撃者はそこからサービスのコンテナ（出金などの処理を動かす社内の実行環境）に入った
そのコンテナから、許可されていない出金の取引を出した
ウォレットの秘密鍵が漏れた証拠は見つかっていない

Binance は、影響を受けたアドレスの権限をすでに取り消した。詳しい技術的な事後報告は、調査が終わって事実の確認がそろってから出すとしており、日付は示していない。

ここが本筋だ。取引所の出金は、利用者が画面で操作するたびに人が鍵を取り出して署名するわけではない。社内のサービスが出金の依頼を受け、決められた手順で取引を組み、署名の仕組みへ回す。攻撃者が手に入れたのは鍵そのものではなく、その手順に「正規の依頼」を差し込める場所だった。鍵の保管がどれほど堅くても、鍵に仕事を頼める側を握られれば、資産は正規の手順で外へ出ていく。

前例はある。2025 年 2 月の Bybit の事件で、FBI は北朝鮮の関与を認定し、被害を約 15 億ドルとした。ウォレットの事業者 Safe は、攻撃が Safe の開発者の端末の侵害から始まったと声明で説明し、契約そのものに欠陥は見つからなかったとした。2 つの事件はどちらも、暗号を破らずに、仕組みを運用する人の端末から入っている。

同じ 30 日には、AI コードエディタの Cursor が、自社の拡張機能マーケットで Claude Code の拡張を装った改ざん版が配布され、最大 5,000 人の開発者に影響したと公表した。改ざん版は、開発者の端末に外から入る鍵を仕込もうとするものだった。Binance の事件との関係を示す公表は無い。それでも、開発者の端末が攻撃の主戦場になっていることを、同じ日に 2 つの発表が裏づけた。

第二に、補償の原資

Binance は最初の発表で、損失はすべて利用者保護基金 SAFU と会社の資金で補償すると表明した。30 日夜（日本時間）の公式 X の投稿は、その中身を数字で示している。

補償のために、会社の資金から 63 億 4,000 万ドル超をすでに確保した
そのうち 50 億ドルは、流出したのと同じ銘柄ですでに持っている
残りは市場と相対取引（OTC）で同じ銘柄を買い集めている。流動性の低い銘柄があり、決済に時間がかかる
この数字には凍結した資産を含まない。凍結済みは約 30 億ドル

補償を「同じ銘柄」でそろえるのは、利用者の残高を流出前と同じ形に戻すためだ。ドル換算で埋め合わせるだけなら現金で済むが、流出した数十種類のトークンを元の数量で戻すには、その銘柄を実際に持つ必要がある。取引量の少ない銘柄では、Binance 自身の買いが価格を押し上げかねず、時間をかけて相対で集めることになる。

63 億ドルの穴を、外部の救済を待たずに自己資金で埋めると即日に言えたこと自体が、Binance の資本の厚みを示している。同時に、それは業界の大手 1 社の財務が、利用者の損失を吸収する最後の砦になっているということでもある。Binance は、最終的にすべての利用者の資金を準備金の証明（Proof of Reserves）で公開して確かめるとしている。

第三に、凍結の連鎖

流出のあと、攻撃者の資金を止める動きは数十分の単位で始まった。

Circle: 日本時間 30 日 6 時 18 分、Jeremy Allaire CEO が、法執行機関と連携して 8 億 USDC 超を凍結したと投稿した
Tether: 6 時 25 分、Paolo Ardoino CEO が 15 億 6,700 万 USDT 超を凍結したと投稿した
Coinbase: 10 時 19 分、Brian Armstrong CEO が、侵害されたウォレットへの送金を止めていると投稿し、Binance に支援を申し出た
Arbitrum: Security Council（セキュリティ評議会）が、Arbitrum One 上の 8,425 ETH と約 7,456 万 ARB を凍結用のアドレスへ移した

ステーブルコインの発行体、ほかの取引所、レイヤー 2 の統治機関が、それぞれの持ち場で資金の通り道をふさいだ。Binance は凍結済みの資産を約 30 億ドルとし、業界の協力に謝意を示している。

一方で、止められない資産もある。Bitcoin と Ethereum 本体には、特定の口座の資金を止める仕組みが無い。取引所が入金を拒むなど、周辺で止めるしかない。約 63 億ドルのうち凍結できたのが約 30 億ドルにとどまる差は、止める手段を持つ資産と持たない資産の差でもある。

事件は、暗号資産の世界で「止めるボタン」が誰の手元にあるかを、具体的な名前で並べて見せた。被害者には救済の手段であり、利用者全体から見れば、発行体や評議会の判断で資金が動かされうるという仕組みの確認でもある。

第四に、国内と市場への波及

日本の利用者には、送れない・動かせないという形で届いた。国内の交換業者 Binance Japan は 30 日、すべての暗号資産の入出庫を一時停止した。売買は続けている。国内大手の bitFlyer は、Binance 宛ての暗号資産の送付を制限した。Binance 本体は出金を止めて安全確認を進め、のちの更新で、入金は通常どおり動いていると説明した。

市場では、BTC の先物（Hyperliquid）が 10 月 29 日（協定世界時）の始値 8 万 1,319 ドルから、終値 7 万 7,947 ドルまで約 4% 下げた。30 日には一時 7 万 6,443 ドルまで下げている。世界最大の取引所の出金が止まり、どの資産がどこまで流出したのかが分からない数時間が、そのまま値動きに出た。

取引所の守りは、鍵の保管から運用の権限へ

中央集権の取引所の安全は、長く「鍵をどう保管するか」で語られてきた。ネットから切り離したコールドウォレットに大半を置き、日々の出金に要る分だけをホットウォレットに出す。日本の規制も、交換業者に利用者の暗号資産の 95% 以上をネットから切り離した環境で管理するよう求めている。

今回の事件は、その物差しだけでは足りないことを示した。鍵の保管が守られていても、出金を作るサービスに入れる人の端末が破られれば、ホットウォレットの中身は正規の手順で出ていく。出金を作る社内の仕組みから 60 億ドルを超える資産を一度に動かせたこと自体も、世界最大の取引所の出金の量を支える設計と、事故が起きた時の被害の大きさが表裏であることを示している。

守るべき範囲は、鍵の金庫から、鍵に仕事を頼める人と端末、そこで動く開発ツールや拡張機能にまで広がった。開発者の端末を入口にした事件が Bybit から Binance へと続いた以上、取引所の安全を評価する目も、準備金の額や保管の比率から、運用の権限を誰がどの端末で持っているかへ移っていく。

次に見るもの

最初の確認先は、Binance がアナウンスページで出すとした技術的な事後報告だ。DevOps 担当者の端末がどう侵害されたのか、サービスのコンテナから出金を出せた権限の設計がどう変わるのかが、ここで初めて分かる。日付は示されていないため、出金の再開の告知と同じページを追う。

並んで見るのは、更新後の準備金の証明だ。Binance は対応が終わったあとに出すとしており、補償で買い集めた銘柄が残高の形で戻っているかを、利用者が自分で確かめられる。

北朝鮮の関与は、民間の分析で指摘されている段階だ。Bybit の事件では、FBI が発生の 5 日後に IC3 の公共広報（PSA）で北朝鮮の関与を認定した。今回も同じ窓口で公式の認定が出るかが、攻撃者を特定する確認点になる。凍結した ETH の行き先は、Arbitrum の公式フォーラムに出る DAO の提案で決まる。

ことば

ホットウォレット — 取引所が日々の出金に使う、ネットにつながった財布。すぐ払い出せる代わりに狙われやすい。今回は鍵ではなく、ここから出金を作る社内の仕組みが動かされた。
SAFU — Binance が 2018 年に設けた利用者保護のための基金。取引手数料の一部を積み立て、ハッキングなどで利用者が損失を受けた時の補償に充てる。今回は会社の資金と合わせて使うとしている。
準備金の証明（Proof of Reserves） — 取引所が利用者から預かった資産を実際に保有していることを、ブロックチェーン上の残高などで示す仕組み。補償が終わったかを、利用者が外から確かめる手段になる。

🔗 一次ソース