人類史上最大の強盗事件とされる最も恐ろしい点は、暗号技術が設計どおりに機能していたことだ。2026年10月29日の夜、誰もマスター秘密鍵を解読してはいない。代わりに、攻撃者は侵害されたDevOpsエンジニアのノートPCを経由して内部のサービスコンテナに到達し、バイナンスの署名インフラに自己空rendingを指示したとされる。

約20分で、63億ドルがビットコイン、イーサリアム、ソラナ、XRPを含む10のブロックチェーン上から消えた。この事件は、2025年2月に北朝鮮のラザルスグループがビットコインから約15億ドルを引き出したという従来の不名誉な記録を塗り替えた。バイナンスの事件はこちらで報じられている：https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

オンチェーンのアラートがXに飛び交うなか、バイナンスの共同創設者チャンポン・ザオ（CZ）は、目立って抑制された投稿で最初の公式認識を示した：「ユーザーの資金は安全です！バイナンスへのハッキングのように見えます。Tether（約9億7,100万ドル）とCircle（約8億2,300万ドル）の迅速な凍結に感謝します。」投稿はこちら：https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19。

数分後、ザオはこう付け加えた：「私はもうバイナンス（.com）の運営には関わっていませんが、株主として、すべてのユーザー資金が全額補償されると期待しています。」

10月30日金曜までに、盗まれたステーブルコインとトークンの約30億ドルがオンチェーンで凍結された――総額の半分弱である。FBIとTRM Labsはこの窃盗を北朝鮮のTraderTraitor部隊によるものと高確度で結び付けた。

攻撃は、市場が14億9,000万ドルのレバレッジポジションの強制決済を呑み込み、ビットコインが7万8,000ドルを下回ったさなかに発生した。バイナンスのリチャード・テンCEOは動画メッセージで応じ、63.4億ドルの企業による補填を約束した。

「当社はハッキングによるすべての損失を会社の資金で補償することを約束します。皆様の資産は安全です」とテンは述べ、流出は企業のホットウォレットのみに影響したと強調した。「当社は顧客の資金を一切使用しないため、顧客資金は影響を受けていません。」

しかし、バイナンスの強盗を暗号資産に限定された失敗と見なすことは、より広い構図を見逃すことになる。10月29日の流出は、31日間に及ぶ世界的サイバーセキュリティ崩壊の終幕にすぎなかった。「ブラック・オクトーバー」として知られるようになったこの月を通じて、ウェブサーバー、銀行、デジタル資産インフラを守る防御の境界線が同時に崩れた。

PHP2Shell――基盤の亀裂

バイナンスのウォレットが流出する7日前、ザオはXに、後に予言的と思われる警告を投稿した。「偏執症的と言われても構いませんが、数日以内はどんなウェブサイトを訪問する際にも細心の注意を払ってください。ウェブ管理者の一部はセキュリティパッチを常に最新にしているとは限りません」と、ザオは10月21日に書き、PHPプログラミング言語で新たに公表された2件の脆弱性に言及した。関連レポートはこちら：https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/。

翌日、彼はエンジニアリングの格言を続けた：「暗号ウォレットに100%安全なものはありません。バグのないソフトウェアは存在しません。100%安全な技術はありません。」2つ目の投稿はこちら：https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19。

ザオの警告の背景にあった脆弱性はPHP2Shellとして知られ、CVE-2026-109618およびCVE-2026-109619として追跡されていた。2つのuse-after-freeメモリバグはCVSS v4.0で重大度9.2の評価を受け、バージョン5.4から8.5.11までのPHPコアランタイムのデフォルトインストールすべてに影響した。

PHPはインターネットのサーバーサイドインフラの約70%を支えている。この脆弱性により、認証されていない攻撃者がリモートコードを実行し、ウェブサイトのアプリケーションコードが動作する前にサーバーのメモリ――セッショントークン、TLS秘密鍵、データベースパスワードなど――を露出させることが可能になった。

悪用は10月17日頃に始まったとされ、PHPグループが10月21日に緊急パッチをリリースする4日前だった。パッチ適用版は8.5.12、8.4.27、8.3.36、8.2.35で、影響を受けるサーバーの運用者が露出を塞ぐために導入すべきリリースである。CloudflareのCTOデイン・クネヒトは直ちに「初期の攻撃が発生している」と報告し、ウェブアプリケーションファイアウォールは一時的な応急策にすぎないと警告した。

「これはハッカーにとって金鉱です」と、Malwarebytesの詐欺・AIリサーチ globalヘッド、シャハク・シャレフは語った。「彼らは実際のウェブサイトを乗っ取り、そのサイトの信頼性を利用してフィッシングを行ったり、信頼された経路から悪意のあるソフトウェアを配信したりできます。可能性は無限です。」

暗号資産取引所や最新のフィンテック企業は、コアシステムをGo、Rust、TypeScriptで構築することが多い。しかしHalbornのセキュリティ研究者は、それらのシステムを取り巻くマーケティングサイト、サポートポータル、バックオフィス管理パネルではPHPが依然として広く使われていると指摘した。それらのサービスの多くには、有効なAPIキーとウェブフックのシークレットが含まれている。

この基盤となるウェブインフラが圧迫されるなか、脅威アクターは10月を通じて、あらゆる大陸で認証情報を収集し、機関への侵入を進めた。

南アフリカでは、病理検査大手のAmpath Laboratoriesがランサムウェアグループ「ByteToBreach」の攻撃を受けた。同じ脅威アクターは年初に、スターリング銀行や企業登録委員会（CAC）を含むナイジェリアの機関を標的にしており、8,000万件の患者記録を持ち出したと主張している。

攻撃者は伝統的金融と小売の企業も標的にした。韓国では、ハッカーが中国製のAIツールを使って月半ばまでに16の金融機関に侵入し（6万8,000件の記録を窃取）、その後、大信証券（3万8,490件の記録が露出）、未来アセット、そして10月28日には暗号資産取引所Bithumbの内部グループウェアを攻撃した。

イタリアでは、詐欺師がAIで生成した弁護士の声の3分間のクローンを使い、フィデウラム（インテーザ・サンパオロのプライベートバンキング部門）の幹部を欺いて、1億800万ドルを海外口座に送金させた。日本では、IT大手GMOインターネットが外国為替およびクラウドサーバーの侵害後、5,000万ドルの身代金要求に直面した。小売大手の無印良品（MUJI）は2,726万件の顧客記録を露出し、キャセイパシフィックはサプライヤー侵害で5万3,000件の予約記録を失った。

バイナンスが攻撃される前から、デジタル資産セクターは追加のインシデントに直面していた。ハードウェアウォレットメーカーのLedgerは10月12日、第三者販売代理店CryptoBilis経由で販売されたデバイスに隠されていた不正なLTE eSIMインプラントが、8,600万ドルのユーザー資金を吸い上げていたと公表した。

10月20日には、競合ウォレットメーカーのKeystoneが、第三者トラッキングの侵害により2万5,964件の購入者記録と製造検証鍵が露出したため、未販売の1万8,835台のデバイスを廃棄せざるを得なかったと明らかにした。10月28〜29日までに、CoinbaseはアナリティクスベンダーAmplitudeを通じて顧客データが露出したことを確認した。予測市場Polymarketは、英国のモニタリングベンダーDebugBearのハイジャックされたスクリプト経由で、700以上の口座から265万ドルが流出したため、国際取引を停止した。

3つの構造的変化

2026年10月にセキュリティの失敗が世界的に同時発生した理由を説明する、3つの構造的変化がある。

第一に、ワークフローの乗っ取りが、直接的な鍵の窃盗に取って代わりつつある。ザオが10月21日に書いたように、「AIは損害を与えるためにビットコインの暗号技術を破る必要はありません。漏洩したデータだけで、より多くのフィッシングやソーシャルエンジニアリングなどが可能になります。」

バイナンスでは、攻撃者は秘密鍵を盗んでいなかったとされる。彼らはエンジニアのワークステーションを侵害して出金要求を行うサービスコンテナに到達し、そのコンテナへの署名レイヤーの暗黙の信頼を悪用した。アクセスを得た後、彼らはイーサリアムのEIP-7702機能――通常のブロックチェーンアカウントにスマートコントラクトのようなプログラマビリティを与えるプロトコル機能――を武器化し、数分でクロスチェーン流出を自動化した。

第二に、攻撃的AIが自律化した。10月、サイバー犯罪組織は、市販の大規模言語モデル上に構築されたエージェント型AIプラットフォーム――最小限の人間の監視で多段階タスクを連鎖的に実行できる自律システム――を展開し、未パッチのPHP2Shellサーバーをスキャンし、ConnectWiseのバックアップ経由でActive Directoryの乗っ取りを自動化し、人間のチームがパッチを適用するより速く、ラテンアメリカとアジアの400を超える金融機関を標的にした。

第三に、サードパーティベンダーを取り巻く境界線が崩壊した。PolymarketのDebugBearスクリプトやCoinbaseのAmplitudeトラッカーは、対象企業に到達するために使われた外部ツールの一例である。RailwayとLiteLLMでのクラウド認証情報の漏洩も同じ弱点を示した：組織は、技術スタックに追加されたツールを通じて繰り返し侵害されたのである。

ブラック・オクトーバーが証明したのは、1台の未パッチのPHPサーバー、汚染されたベンダースクリプト、あるいは侵害されたエンジニアのノートPCが金庫に自己空のコマンドを下せるならば、10億ドル規模の準備金や軍事グレードのコールドストレージでもエコシステムを守れない、ということである。