Binance史上最大63億ドル流出、北朝鮮関与説と安全保障

63億ドル流出が突きつける国家安全保障上の衝撃

世界最大の暗号資産交換所Binanceは、約63億ドルに及ぶセキュリティ事案を公表し、暗号資産の出金を一時停止しました。ブロックチェーン分析会社の推計が維持されれば、2025年に発生したBybitの約15億ドル流出を大幅に上回る、暗号資産史上最大の窃取事件となります。

事件の重みは、交換所の利用者が被る金融リスクだけでは測れません。複数の分析会社が北朝鮮系とされるTraderTraitorの関与を指摘しており、盗まれた資産が制裁回避や兵器開発を支える外貨に変わる可能性が浮上しているためです。

ただし、Binanceは実行主体を認定しておらず、政府機関による公式な帰属判断も記事公開時点では示されていません。本稿では、確認された資産移動、民間企業による帰属分析、今後の検証が必要な情報を分けながら、事件の全体像を読み解きます。

複数チェーンを一気に抜いた攻撃の全容

ホットウォレットを狙った正規署名の悪用

Binanceによると、初期調査ではDevOpsエンジニアのノートパソコンが侵害され、攻撃者が内部のサービスコンテナへアクセスした可能性があります。そこから不正な出金処理を送信されたとみられますが、ウォレットの秘密鍵が流出した証拠は確認されていません。

その後の調査では、最初に想定した端末以外にも侵入口が見つかりました。単純なパスワード窃取ではなく、端末、内部サービス、取引承認の仕組みをまたぐ複合的な攻撃だった可能性があります。詳細は、Binanceが今後公表するとしている技術検証報告を待つ必要があります。

分析会社によって対象チェーンの数には差があります。TRM Labsは10チェーン、Ellipticは11チェーン、Bitqueryは9チェーンからの流出をそれぞれ特定しました。この違いは情報の誤りを直ちに意味するものではなく、どの資産移動や二次流出を集計対象にするか、調査時点がいつかによって生じます。

Ellipticの分析では、10月29日20時5分ごろの協定世界時にXRPの移動が始まり、Solana、Bitcoin、Tron、Ethereumなどへ攻撃が広がりました。Ethereum上の流出額は約38億ドルと推計され、Bitcoinでは1万8270BTCが移されています。主要な資産移動は約20分に集中しましたが、後続処理を含めると数時間に及びました。

Bitqueryは、17のホットウォレットから正規の署名が付いた取引が送信されたと分析しています。Ethereumでは、スマートコントラクトのコードを一時的に利用できる「EIP-7702」の承認が悪用され、連続する取引番号に対応した50件の承認が用意されていました。この分析が正しければ、攻撃者は秘密鍵そのものを盗む代わりに、Binanceの署名システムへ不正な指示を通したことになります。

交換所が保有する秘密鍵を守るだけでは、こうした攻撃を防げません。署名を要求する内部システム、承認可能額、出金速度、送付先の異常検知を独立して管理する必要があります。今回の事件は、正規の署名が付いていても、取引の目的まで正当とは限らないという盲点を示しました。

凍結された30億ドルと回収額のずれ

Binanceは、影響額を約63億ドルと推定し、発行会社やブロックチェーン関係者との連携によって約30億ドルを凍結したと発表しました。Ellipticが確認した凍結額は約28億4000万ドル、Bitqueryの集計は約27億ドルです。ここにも、集計時点や「凍結」「保全」「回収」の定義による差があります。

凍結された資産の大半は、TetherのUSDTやCircleのUSDCなど、発行会社が特定アドレスの移転を止められるステーブルコインです。一方、BitcoinやEtherには、発行会社が残高を一方的に凍結する仕組みがありません。攻撃者が交換やクロスチェーン移動を終える前に対処できるかが、回収率を左右します。

重要なのは、オンチェーンで凍結された資産が、すでにBinanceへ返還されたわけではない点です。法執行機関との調整、アドレスの帰属確認、各ネットワークの手続きを経て、初めて実際の回収につながります。「約30億ドルを確保」と「約30億ドルを回収」は区別して読む必要があります。

BinanceはSAFUと呼ばれる緊急基金と自己資金で損失を補い、対策完了後に更新版のProof of Reservesを公開すると表明しました。CoinDeskへの説明では、補填に備えて約63億4000万ドル相当を確保し、そのうち約50億ドル分は流出したものと同じ種類の資産で保有しているとしています。ただし、補償能力の最終評価には、公開残高だけでなく負債、資産の流動性、回収資産の扱いも確認する必要があります。

TraderTraitor説を支える証拠と留保

過去の攻撃と重なる技術的な指紋

TRM LabsとChainalysisは、今回の攻撃について北朝鮮のTraderTraitorが関与した可能性が高いと評価しています。Ellipticも北朝鮮系攻撃者による犯行との見方を示し、Binanceから盗まれた資産の一部が、2026年9月のBitget事件に関連する資産と同じアドレスへ到達したことを確認しました。

長期間の準備、従業員や技術担当者への接触、交換所自身の署名処理を悪用する手口も、過去の北朝鮮関連事件と重なります。もっとも、ブロックチェーン上で確認できるのは資産の移動経路です。同じ資金洗浄網を利用した事実だけで、攻撃を実行した人物や指揮系統まで自動的に証明できるわけではありません。

比較材料となるのが、FBIが北朝鮮の犯行と認定した過去の事件です。FBIは2025年のBybit事件について、TraderTraitorが約15億ドルを盗み、Bitcoinなどへ交換して数千のアドレスへ分散したと発表しています。

日本でも2024年、DMM Bitcoinから当時約3億800万ドル相当が流出しました。FBIと日本の警察庁による共同分析では、攻撃者はLinkedIn上で採用担当者を装い、ウォレット管理企業の従業員へ採用試験を偽装した悪意あるプログラムを送付しました。その後、セッション情報を悪用して正規の取引依頼を操作したとされています。

端末や従業員を起点に正当な業務手順へ入り込み、最後は被害企業の仕組みに送金を承認させる点が共通しています。ただし、Binance事件の具体的な侵入経路は確定していません。過去事例との類似性は帰属判断を支える材料ですが、それ自体を最終証拠として扱うのは早計です。

制裁回避から兵器開発へ連なる資金循環

多国間制裁監視チームの報告書は、TraderTraitorを北朝鮮で最も高度な暗号資産窃取集団と位置付けています。同報告書によれば、関連する攻撃者は2024年1月から2025年9月までに約25億8000万ドルを盗み、外部のウォレット管理企業や資産保管事業者を狙うサプライチェーン攻撃を拡大しました。

TraderTraitorなどを含む複数の集団は、北朝鮮の対外情報機関である偵察総局の指揮系統と関連付けられています。「Lazarus Group」という名称が広く使われますが、実際には目的や手口の異なる複数の攻撃集団をまとめた呼称です。帰属を論じる際には、Lazarusという大きな枠とTraderTraitorという個別集団を区別する必要があります。

Chainalysisは、北朝鮮系攻撃者が2025年に少なくとも約20億2000万ドルを盗み、確認された累計額が約67億5000万ドルに達したと推計しています。多国間制裁監視チームも、2024年から2025年9月までの窃取額を約28億4000万ドルとし、2024年には暗号資産窃取が北朝鮮の外貨収入のおよそ3分の1に相当したと分析しました。

今回の約63億ドルが全額換金されたわけではなく、北朝鮮への帰属も公的には確定していません。しかし、仮にTraderTraitorの犯行と確認されれば、一度の攻撃で過去数年分に匹敵する規模の資産を狙ったことになります。凍結分を差し引いても、制裁執行側にとって無視できない資金量です。

北朝鮮のサイバー窃取は、通常の営利犯罪とは目的が異なります。国連や多国間制裁監視チームは、こうした活動を大量破壊兵器や弾道ミサイル計画を支える外貨獲得と結び付けています。ただし、個別に盗まれた資産が特定の兵器へ直接充てられたと断定するには、換金経路や調達網の追加証拠が必要です。

対応には、交換所のセキュリティ強化だけでなく、ステーブルコイン発行会社、ブリッジ運営者、店頭取引業者、各国捜査機関の連携が欠かせません。攻撃者が複数の法域とチェーンを移動するのに対し、捜査や資産凍結は国境と法制度に区切られています。この速度差が、北朝鮮にとって暗号資産窃取を魅力的な制裁回避手段にしています。

補償表明の裏で残る規制と運用の課題

Binanceが損失補填を表明したことで、直ちに利用者残高が失われる可能性は抑えられました。しかし、企業が補償できることと、安全管理が適切だったことは別問題です。今後は、単一端末の侵害が高額出金へ発展した理由、チェーン横断の異常を止められなかった理由、出金停止後も一部の処理が続いたとの分析を検証する必要があります。

交換所には、チェーンごとの管理ではなく、全社合計の出金額を監視する仕組みが求められます。高額取引の時間差承認、複数担当者による独立確認、署名サービスと業務システムの分離、承認権限の短期失効なども重要です。従業員端末だけでなく、ウォレット管理会社やクラウド環境を含むサプライチェーン全体が規制監督の対象になります。

ステーブルコイン発行会社が短時間で巨額資産を止めたことは、被害抑制の有効性を示しました。同時に、発行会社や一部ネットワーク運営者が、特定の残高を動かせなくする強い権限を持つ事実も可視化しました。犯罪対策上の利点と、恣意的な凍結を防ぐ手続きの透明性をどう両立させるかが、次の規制論点です。

Binance Japanは、顧客資産を国内法に沿ってコールドウォレットで分別管理し、被害を受けたグローバル側のホットウォレットとは分離されていると説明しています。記事公開前に確認できた告知では、国内顧客の損失は確認されておらず、暗号資産の出金のみ一時停止中です。暗号資産の入金と取引、法定通貨の入出金は通常通りとされ、暗号資産出金は告知から48時間以内の再開を見込んでいました。

ただし、これは調査途中の公式説明です。利用者は「日本法人に被害なし」という点と、「予防措置として出金を止めている」という点を分けて理解し、再開時刻を古い投稿や第三者の情報だけで判断しないことが重要です。

利用者が確認すべき四つの判断材料

利用者がまず確認すべきなのは、BinanceとBinance Japanの公式告知、暗号資産出金の再開状況、対象ネットワークごとの制限です。事件に便乗した偽の補償申請や本人確認を装う連絡が増える可能性があるため、メールやSNSのリンクから秘密鍵、パスワード、認証コードを入力してはいけません。

次に注視すべきなのは、Binanceの技術検証報告、更新版Proof of Reserves、凍結資産の実回収額、政府機関による帰属判断です。この四点がそろって初めて、侵入経路、補償能力、最終損失、北朝鮮関与説をより正確に評価できます。

長期保有資産を交換所へ置くか自己管理へ移すかは、二者択一の安全策ではありません。自己管理には秘密鍵の紛失や詐欺署名という別の危険があります。出金再開後も焦って全額を動かさず、送付先を再確認したうえで少額のテスト送金を行い、保管先を分散する判断が現実的です。

今回の事件が示した最大の教訓は、ブロックチェーン自体が停止しなくても、その入口を管理する企業の内部システムが国家規模の攻撃対象になることです。利用者保護と北朝鮮の制裁回避阻止を両立するには、補償額だけでなく、再発防止策と国際的な資産追跡の実効性を継続して検証する必要があります。

参考資料:

• Security Incident Update
• Binance Japanのセキュリティ事案対応
• Blockchain firms link North Korea to Binance hack
• Binance flags potential security incident
• Hackers steal $6.3 billion from Binance
• The largest theft in history: Binance hack analysis
• Binance Hack: On-chain Investigation
• Binance arranges funds to cover hack losses
• Binance hack: What we know
• North Korea Responsible for Bybit Hack
• FBI・警察庁によるDMM Bitcoin事件の帰属判断
• North Korea Drives Record Crypto Theft Year
• DPRK’s Violation and Evasion of UN Sanctions through Cyber Activities
• 国連安保理北朝鮮制裁専門家パネル報告の概要
• How Chainalysis Traced the Bitget Theft