バイナンスへのハッキング被害は名目ベースで推定63億ドルに上り、暗号資産史上最大の攻撃であり、過去最高記録だったバイビットの4倍以上の規模となる。これを受け、同取引所は出金を停止し、全損失を自社で補償する方針を表明した。

バイナンスは、デジタル資産の取引と顧客資産の保管を一体化した中央型暗号資産取引所を運営している。分散型プロトコルとは異なり、顧客の預け入れ資産は会社自身が管理するウォレットに保管されている。2023年、同社は米国で資金洗浄防止規則違反の罪を認め、43億ドルの罰金を支払った。創業者のチャンポン・Zhao(趙長鵬)氏は退任し、2025年には米大統領により恩赦が与えられた。

同取引所は2019年にも、インターネットに接続されたウォレットであるホットウォレット(オフラインのコールドストレージとは対照的)へのハッキングで約7,000 BTCを失った。当時の価値は約4,000万ドルだった。緊急用基金のSAFU(Secure Asset Fund for Users)が全額を補填した。ただし、バイナンスは今回の63億ドルという数値について、窃取が確認された金額ではなく、影響の推定値であるとしている。オンチェーンでは、分析企業Arkhamが約60億ドル相当のビットコイン、イーサ、ソラナ、ステーブルコインを55のアドレスに紐付けている。

バイナンスのハッキング被害はバイビットの4.2倍

過去の最高記録はバイビットのものだった。2025年2月、攻撃者は同社のコールドウォレットの一つから約15億ドル相当のイーサを盗み出しており、バイナンスの推定額はその約4.2倍となる。バイビットでの侵入経路は、SafeWalletのソフトウェアサプライチェーンの侵害だった。数日後、FBIはこの攻撃を北朝鮮の仕業とし、その活動をTraderTraitorと呼称した。

TRM Labsのデータによると、2025年には約150件の攻撃で攻撃者は合計約29億ドルを窃取しており、バイナンス単独の被害額だけでこの年間合計の2倍を超える。比較すると、次に規模の大きいロンイン、Poly Network、コインチェックなどの事例は、約5億3,000万〜6億2,000万ドルと小さく見える。

主要な事例のいくつかは、取引所ではなくブロックチェーンプロトコルを標的としたものだった。2022年3月、ゲーム「Axie Infinity」の基盤であるブロックチェーンRoninから約6億2,000万ドル相当の資金が流出し、米財務省は北朝鮮のラザルスグループの関与を指摘した。Poly Networkでは2021年8月、複数のブロックチェーン間の脆弱性により約6億1,000万ドルの被害が発生したが、攻撃者はほぼ全額を返還した。2022年10月のBNB Chainのエクスプロイトも、名目で約5億7,000万ドルと同程度の規模だが、当時バイナンスのZhao創業者は流出額を約1億ドルと見積もっていた。Wormholeは2022年2月に約3億2,000万ドルを失い、Jump Tradingの暗号資産部門であるJump Cryptoが後に資金を補填した。

取引所では、コインチェックが2018年1月にホットウォレットから暗号資産NEM約5億3,000万ドル相当を失った。ビットゲットは2026年9月、ホット・ウォームウォレットから3億5,000万ドル超の流出を報告した。Mt. Goxは2011年から2014年にかけて約85万BTCが消失したとしており、当時の価値は約4億5,000万〜5億ドルだった。同取引所は2014年初頭に破産を申請し、その直後に古いウォレットから約20万BTCを発見した。

引用された金額はいずれも当時のドル価値を反映しているため、比較はあくまで名目ベースである。ただし、現在のビットコイン価格で評価すれば、破綻した取引所の損失はバイナンスの推定額をはるかに上回ることになる。Bybit、コインチェック、ビットゲット、Mt. Goxも中央型取引所として運営されていたが、名目ベースでバイナンスほどの損失を被った取引所はない。

侵入経路の可能性として浮上した侵害されたノートパソコン

初期の調査によると、DevOpsエンジニアのノートパソコンが侵害されたことで、攻撃者がサービスコンテナ(プラットフォームの個別サービスが稼働する隔離されたソフトウェア環境)にアクセスできた可能性がある。攻撃者はそこから不正な出金を実行できたとみられる。コンピュータをどう乗っ取ったのかは依然不明である。

バイナンスは、ウォレットの秘密鍵が漏洩した証拠は見つかっていないと述べた。同取引所は該当アドレスの認可を取り消し、法執行機関とブロックチェーン分析企業に協力を依頼した。また、障害に関する詳細な技術分析と、取引所が主張する顧客資産を実際に保有していることを示すための証明である準備金証明の更新を発表した。

TRM Labsはこの攻撃を、以前バイビットのハッキングの背後にいた北朝鮮のグループTraderTraitorによる犯行である可能性が高いと評価している。Chainalysisも北朝鮮が犯人である可能性が高いと高い確度で見ている。同社は、資金が9月のビットゲットのハッキングによる盗難資金と混ぜ合わされたことを証拠として挙げている。この攻撃でも、ビットゲットのGracy Chen CEOは北朝鮮が犯人である可能性が非常に高いと指摘していた。とはいえ、バイナンスのハッキングに関する両者の帰属はいずれも民間分析企業の評価にとどまる。これまでのところ、バイビットの事例で行われたような当局による見解は示されていない。

特筆すべきは、攻撃者が盗んだ資金の一部を運用に回したことである。攻撃者は分散型レンディングプロトコルAave(ユーザーが資産を担保として預け入れ、それを担保に借入を行えるサービス)に6,000万USDTを預け入れ、この担保を基に約4,460万ドル相当のラップドイーサを借り入れた。Aaveはその後、影響を受けたマーケットを制限した。

さらに、正確な被害額はまだ確定していない。Chainalysisは当初最小で59億ドル、その後64億ドルと見積もっており、最新の数値はバイナンス自身の推定をわずかに上回っている。

バイナンスがすでに凍結した資金の規模

バイナンスはこれまでに所在確認または凍結された資金を約30億ドルとしているが、Xへの投稿では検証済みの凍結額として25億4,000万ドルを挙げた。最大の割合を差し押さえたのはステーブルコイン発行体である。トークンを発行しているため、個別のアドレスをブロックできるからだ。テザーは約15億7,000万ドル、サークルは約8億2,300万ドルを凍結しており、2社の発行体で合計約24億ドルに相当する。テザーのPaolo Ardoino CEOとサークルのJeremy Allaire CEOが凍結を確認した。さらに、バイナンスの共同創業者であるHe Yi(何一)氏によると、リップルも自社のステーブルコインRLUSDで約2億ドルを停止した。

その結果、約33億ドルの行方は依然として不明である。当初、この金額の所在に関する新たな情報はなく、約束された技術分析や準備金証明の更新とともに、今回の事件における中心的な未解決問題となっている。バイナンスはSAFU基金と自己資金から損失を補償する計画だ。比較として、今回の総被害額は2019年の損失の100倍以上である。

「バイナンスはハッキングによる損失をすべて補償します。」 — He Yi(何一)氏、バイナンス共同創業者

出金は追って通知があるまで停止されており、その間、顧客はプラットフォームから資金を移動できない。同取引所はBinance Alphaでの取引も一時停止しており、48時間以内の再開を示唆したが、確約はしていない。

ビットコイン、BNB、暗号資産関連株が下落

暗号資産市場はこの事件を受けて下落した。報道後数時間で、ビットコインは6週間ぶりの安値に、イーサは2カ月ぶりの安値に下落し、下落幅は計測時点によって異なった。一方、バイナンスエコシステムのトークンであるBNBは、その利便性がプラットフォームに大きく依存しているため、はるかに大きく下落した。

ウォール街では、CoinbaseやStrategyを含む暗号資産関連株が、時間外取引で売り圧力に直面した。ステーブルコインUSDCの発行体であるサークルの株価も下落した。同社は事前に盗難資金の一部を自ら凍結していた。全体として、BNBと暗号資産関連株の下落率は、ビットコインやイーサよりも大きくなることが多かった。