📡 Signal｜Binance の流出資金、凍結できない32.5億ドルが残る

ブロックチェーン分析の Elliptic は11月1日 (UTC 8時) の最終の更新で、Binance から10月29日に盗まれた64億3,000万ドルのうち、凍結・押収を確かめられたのは28億5,000万ドル、44%だと集計した。凍結の94%はステーブルコインで、Bitcoin・XRP Ledger・Solana・NEAR で盗まれた資産は1つも凍結されていない。

発行体が止められる資産はほぼ止まり、止める主体のいない資産だけが残った。Elliptic によると、攻撃者の手元には凍結できない資産が約32億5,000万ドル、800を超えるアドレスに散らばっている。FBI が北朝鮮の犯行と認定し、資金の遮断を求めた経緯は11月1日の Signal で書いた。本稿はその後の資金の動きを追う。

凍結できたのは、発行体のいる資産だけ

Tether の CEO パオロ・アルドイノ氏は事件当日の10月29日、Binance の流出に関わる15億6,700万 USDT 超を凍結したと投稿した。Elliptic の集計で凍結の大半が USDT と USDC、それも Ethereum と Tron の上にあるのは、この2社が自社のトークンを止める権限を持っているからだ。

残りの32億5,000万ドルの内訳は、約58万4,000 ETH (13億2,000万ドル)、1万8,327 BTC (14億2,000万ドル)、2億3,300万 XRP など。どれも発行体がいないので、誰かが止めるには、資金が通る取引所や交換サービスの側で断るしかない。

ビットコインはまだ動いていない。Elliptic によると、盗まれた1万8,270 BTC は短い送金の連鎖で19のアドレスに分けられ、多くは1,000 BTC ずつ置かれている。11月1日朝の時点で、どの取引所やサービスにも送られていない。FBI が一覧に載せたビットコインのアドレスも19だった。

Tron では、凍結される前に替える

凍結の網から逃げる動きが最も速かったのは Tron だ。Elliptic によると、攻撃者は Tron の上で6億1,270万 USDT を盗み、そのうち2億3,400万 USDT を交換所の SunSwap で6億3,800万 TRX に替えた。TRX は Tron のネイティブのトークンで、発行体が止めることはできない。

Chainalysis は10月31日、攻撃者がステーブルコインを DeFi の仕組みに預け、凍結できない預かり証のトークンに替えたうえで、新しいアドレスから引き出す手口を Tron の上で追っていると投稿した。TRM Labs は、3億 USDT が貸し借りの仕組み JustLend に預け入れを始めたウォレットへ移ったと書いている。

そこから資金は Tron の外へ出ていく。Elliptic の10月31日の更新では、Tron の主な分配用のウォレットから約1億9,600万ドルが約200のウォレットへ送られ、31時間にわたって1時間ごとに送金が続いた。The Block は、オンチェーンの分析者 SomaXBT の集計として、2日で約2億4,200万ドルが Relay、THORChain、Chainflip、Symbiosis などを通って Tron の外へ出たと報じた。FBI の一覧には Tron のアドレスが含まれていない。

経路にいる事業者も手探りだ。Symbiosis は11月1日、Binance の事件に関わる資金を通そうとする試みを見つけ、Binance と連絡を取っていると公表した。そのうえで「審査は通常の流れのために作られており、速く動く巧妙な試みを追う作りではない」として、仕組みに穴があったことを認めた。

THORChain を止めたのは、要請ではなく事故

FBI が遮断を求めた筆頭の THORChain は、いまほとんどの取引が止まっている。ただし、止めたのは FBI の要請ではない。Chainalysis によると、10月31日の朝に Ethereum で1ブロックの巻き戻し (reorg) が起き、THORChain が10 ETH を預けた利用者に誤って二重に返金した。これが緊急の一時停止につながり、北朝鮮の資金洗浄役を含むすべての利用者がチェーンをまたぐ交換を使えなくなった。

編集部が THORChain のノードの公開データを見た UTC 11月2日0時2分の時点で、つながる13のチェーンのうち、Bitcoin・Ethereum・Tron・Solana を含む10のチェーンで取引が止まったままだった。動いているのは Avalanche・Base・XRP Ledger の3つだけだ。

共同創業者のチャド・バラフォード氏は FBI の告知の後、THORNode の運用者は「すでに公開され、リアルタイムで手に入る以外の情報を何も持っていない」と投稿した。指定されたアドレスを遮断するかどうかには触れていない。取引が再開する日が、運用者の対応が問われる日になる。

次に見るもの

• THORChain の取引の再開 — ノードの公開データや THORChain の公式の告知で、Tron と Ethereum の取引が戻るか。戻った時に、FBI の一覧のアドレスからの交換が通るか
• mempool.space の19のビットコインのアドレス — 1,000 BTC ずつの塊がいつ、どのサービスへ動き始めるか
• FBI のサイバー部門の告知ページ — Tron のアドレスが一覧に加わるか

ことば

• ステーブルコインの凍結 — USDT や USDC の発行体が、特定のアドレスにあるトークンを移せなくする操作。発行体が契約の中に止める権限を持つため、ETH や BTC にはない手段になる。
• reorg (チェーンの巻き戻し) — いったんブロックチェーンに載ったブロックが、別のブロックに置き換えられること。取引の記録が一時的に変わるため、それを前提に動いた仕組みが誤作動することがある。
• ピールチェーン — 大きな残高から少しずつ切り離して、次々と新しいアドレスへ送っていく送金の連鎖。資金の追跡を手間取らせるために使われる。

🔗 一次ソース

• Elliptic の分析記事 (11月1日 UTC 8時の最終の更新・凍結28億5,000万ドル)Elliptic
• Elliptic の分析記事 (10月31日・Tron の分配用ウォレットの自動送金)Elliptic
• Chainalysis 公式 X の投稿 (10月31日・THORChain の緊急停止)
• Chainalysis 公式 X の投稿 (10月31日・預かり証のトークンを使う手口)
• TRM Labs の分析記事 (10月30日・JustLend への預け入れ)trmlabs.com
• パオロ・アルドイノ氏 (Tether CEO) の X の投稿 (10月29日)
• チャド・バラフォード氏 (THORChain 共同創業者) の X の投稿 (11月1日)
• Symbiosis 公式 X の投稿 (11月1日)
• FBI サイバー部門の告知 (10月31日・アドレス一覧つき)fbi.gov
• The Block の報道 (11月1日・SomaXBT の集計)theblock.co