約63億ドル規模のBinanceハッキング事件の実行犯は、月曜日、盗まれたXRP全量2億3346万枚を6つの新しいウォレットへ移動させた。この再分散は、盗まれた資産間の重要な違いを浮き彫りにしている。同時に流出したステーブルコインとは異なり、ネイティブXRPには凍結権限を持つ発行者が存在しないのだ。

XRP Ledgerの記録によると、保管用アドレスは03:47 UTCから各1,000 XRPのテスト送金を6回行った。このテスト送金は、最初の大口送金の約5分前に行われたもので、この種の少額の事前送金は、送金先アドレスが資金を受け取れるかを確認するために一般的に使われる。03:52から04:00 UTCの間に9件の大口送金が続いた。最終的に5つのウォレットがそれぞれ約4,000万XRPを受け取り、そのうち3つは3,000万と1,000万の2回に分けて受け取った。6つ目のウォレットは3,346万を受け取った。元のアドレスには23.7 XRPが残されている。

月曜のXRP価格は約1.26ドルで、これらのコインの総額は約2億9400万ドルに相当する。Whale Alertは、「Binance Hack 2026」とラベル付けしたアドレスから4,000万XRP(約5,040万ドル相当)が一括送金されたことを取り上げた。

攻撃者はさらに、02:12 UTCに別の7つ目のアドレスへ1,000 XRPを送金していた。これらのコインは、大口送金が始まるまでの約80時間、保管用アドレスでほぼ動かされずに眠っていた。10月29日、Binanceの5つのウォレットが2億3346万XRP全量をそのアドレスへ約4分で送金していた。火曜日07:27 UTC時点の台帳データでは、6つの新しいウォレットからはまだ何も流出していなかった。台帳は公開されているため、これらのアドレスからの今後の資金移動は、発生した時点で確認できる。

盗まれたXRPが凍結できない理由

XRP Ledgerのドキュメントによれば、ネイティブXRPは台帳上で凍結することができない。Rippleは事件に関連して盗まれたRLUSDを凍結したが、その発行者による管理権限は自社のステーブルコインにしか及ばない。凍結権限は発行者が発行したトークンに付随するものであり、台帳のネイティブ資産にはそれを行使する発行者がいないのだ。現在の課題は、6つのウォレットを追跡し、取引所が入金を拒否することでXRPを回収することである。この分割は資金洗浄の一段階とみられる。6つの残高は、追跡すべき経路が増え、換金する際のロットが小さくなることを意味する。

オンチェーン追跡サービスのLookonchainは、盗まれた資金のうち約25万ドルが、取引所Gateへ12時間かけて分散入金されたと報じている。

事件のさらなる影響

今回の攻撃では、Tron上で約6億2800万ドル相当の資産が盗まれた。Tetherは約3億7870万USDTを凍結した ― これはRippleがRLUSDに対して行使したのと同じ発行者レベルの権限であり、ネイティブXRPには存在しないものだ ― しかし、アナリストのSomaXBTは、約2億4200万ドルが2日間でTron経由のルートから流出したと推定している。そのうち約1億4000万ドルは、RelayやTHORChainなどのサービスを経由しており、これらのノード運営者はFBIから資金の遮断を求められた。推定では、Relayの流量は約4,800万ドル、THORChainは4,400万ドルとされる。

Cryptopolitanの報道によると、業界全体で盗まれた資産の約30億ドルがすでに凍結されている。FBIは、国と関係のある北朝鮮のハッキング組織に付けた名称「TraderTraitor」を事件の背後にいると非難し、攻撃者は盗んだ暗号資産をEtherに換えていると述べている。しかし、北朝鮮の金与正氏は11月2日に発表した公式声明で、FBIの指摘を否定し、「突飛なレトリックであり、目新しいものは何もない」と述べた。

Binanceは、会社の資金によって影響額の約95%が補償済みであると説明し、さらにXRP残高については完全な裏付けがあると述べた。