3つのブロックチェーン分析企業が、今週発生したBinanceへのハックを北朝鮮によるものと断定した。このうち最大手2社であるTRM LabsとChainalysisは、北朝鮮のハッキンググループ「TraderTraitor」を犯人と特定し、両社ともこれを記録上最大の暗号資産窃盗事件と位置づけている。

TRM Labsは、「堅牢なオンチェーンおよびオフチェーンのインテリジェンス」に基づき、「高い確信度」でこの断定を行ったと述べた。同社によれば、窃取額は約63億6,000万ドルで、木曜日の米東部時間午後4時5分から始まる約20分間のうちに大部分が、10のブロックチェーン上のBinanceウォレットから流出した。これは、FBIが同一グループによるものとしている2025年2月の15億ドルBybitハックの約4倍にあたるとTRMは指摘している。

総額を約64億ドルと算定したChainalysisは、最も有力な証拠となったのは、Binanceから盗まれた資金が、北朝鮮の関与が指摘されていた先月のBitget攻撃の不正収入とリアルタイムで混ざり合うのを調査員が確認した場面だったと述べた。Chainalysisの広報担当者はCNNに、北朝鮮がハックの背後にいることについて「高い確信度」があると語った。

シンガポールに拠点を置くPangolin IntelligenceもCNNに対し、「このハックに関連するオンチェーン活動を分析し、過去の既知のインシデントから収集した情報と照合した結果」、北朝鮮のハッキング部隊が責任を負っていると確信していると語った。北朝鮮は過去にもハッキング疑惑を否定している。

攻撃の仕組み

TRMとChainalysisはともに、攻撃者の運用ウォレットが暗号ミキサーであるTornado Cashを通じて資金調達されていたと述べた。TRMは、これに加えて窃取のはるか前から始まっていた準備段階などの特徴が、Bybitハックや4月のKelpDAO攻撃といった過去の北朝鮮関連攻撃と一致していると述べた。

Ethereum上で攻撃者は、EIP-7702デリゲーション——EthereumのPectraアップグレードで導入された、通常のウォレットがスマートコントラクトコードを実行できるようにする機能——を利用し、事前に用意した50件の事前署名済み承認によって、Binanceのホットウォレット(インターネットに接続されたウォレット)を自身が管理するスイーパーへと変えた。TRMによると、スイーパーとはアドレスに送られた資金を自動的に転送する仕組みである。他の9つのチェーン上のBinanceウォレットは、通常の署名付き転送を通じて攻撃者に資金を送金した。TRMの見立てでは、これはBinanceのホットウォレット署名インフラの侵害を示唆している。

Binanceは、調査が侵害されたエンジニアのラップトップから始まったと述べたが、その後「追加の侵害ポイント」を発見したと明らかにしている。Bybit攻撃も単一の侵害されたマシンから始まった。当時Decryptが報じたように、北朝鮮のハッカーはSafeの開発者のコンピュータを侵害した後、ウォレットプロバイダーSafeのインフラに悪意あるコードを仕込んでいた。

急速な資金洗浄、凍結額の拡大

攻撃者は、保持し続けられない資金の洗浄を素早く進めている。Chainalysisは「前例のない資金洗浄パターン」を観測しており、短時間に数千件のトランザクションが発生していることから、自動化を用いてアドレス間で資金を繰り返し circulating させているとみられるとしている。

TRMによると、攻撃者はさらにUSDTをマーケットメーカーに売却し、レンディングプロトコルAave上でUSDTを担保にETHを借用して発行体の凍結と競争しており、現在は42万ETH超と18,270 BTCを保持している。これは約24億ドル相当で、ETHにもBTCにも凍結権限を持つ発行企業が存在しないため、いずれの発行体の手も届かない。

Tether、Circle、Ripple、World Liberty Financialは約26億7,000万ドル相当のステーブルコインを凍結し、Arbitrumのセキュリティ評議会は8,426 ETHと7,460万ARBを凍結したとTRMは述べている。Binanceは凍結総額を約30億ドルとしている。

Binance、ユーザー損失の補填を約束

Binanceはユーザーの影響を受けた資産の回収を開始しており、追加資金の追跡、凍結、回収に向けて、法執行機関、発行体、ブロックチェーンインテリジェンス企業、業界パートナーとの協力を継続している。

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

金曜日の更新で同取引所は、この事件に対応するため63億4,000万ドル超の自己資金を確保したと発表し、そのうち50億ドルは盗まれたトークンそのものとしてすでに保有していると述べた。残りは市場および店頭取引のチャネルを通じて購入中で、「一部のトークンは流動性が低い可能性があるため、時間がかかることがある」とBinanceは説明した。これらの数値には凍結された資産は含まれていない。購入がどの程度迅速に完了できるか、侵害の全容、および盗まれた資金のさらなる凍結や回収が可能かどうかは、調査の継続に伴い依然として未解明のままである。

「我々はこの嵐を乗り越えます」とBinanceは述べた。

長年の脅威

北朝鮮のハッカーは長年この取引所を標的にしてきた。2025年8月、Binanceの最高セキュリティ責任者Jimmy SuはDecryptに、北朝鮮の攻撃者が毎日Binanceへの採用を試みていると語り、彼らを暗号資産企業にとって最大の脅威と位置づけた。

窃取が始まる前日の水曜日、米国財務省は、数百万ドル規模の暗号資産を動かした北朝鮮IT労働者スキームに関して、10個人と1法人に制裁を課した。