暗号資産(仮想通貨)専業11年目の墨汁うまい(@bokujyuumai)です。10月30日、暗号資産取引所最大手のバイナンス(Binance)がハッキングされ、約1兆円相当に上るUSDCやUSDTなどのステーブルコイン、ビットコイン(BTC)やイーサリアム(ETH)、その他DeFiなどの多くの暗号資産が盗まれました。
本稿ではバイナンスハッキングの概要と影響、なぜハッキングが起きてしまったのかについてわかりやすく解説します。
バイナンスで2度目のハッキング
世界最大の暗号資産(仮想通貨）取引所バイナンス(Binance)は日本時間2026年10月30日、複数のホットウォレットから約63億ドル、日本円にして9928億円相当もの暗号資産が不正に流出する史上最大規模のハッキング被害を受けました。
わずか数時間でUSDCやUSDTなどのステーブルコインを中心に、イーサリアムやビットコイン、トロン(Tron: $TRX)、XRP Ledger($XRP)、ソラナ(Solana: $SOL)、アービトラム(Arbitrum: $ARB)など複数のブロックチェーンから資産が流出、被害額上位だけでも約24.9億USDT、18,270BTC、約8.23億USDC、約20万ETH、2.33億XRP、約97万SOLのほか、RLUSD、wBETH、XAUt、UNIなどに及び、イーサリアム上だけでも60種類を超えるトークンが被害にあったのです。
その後テザー社(Tether)やサークル社(Circle)などが約30億ドル相当のステーブルコインなどの資産を凍結したものの、ハッカーはすでに一部をETHなどへロンダリングしており、被害はバイナンスだけでなくDeFiにも波及しています。今回は史上最大となったバイナンスのハッキングで一体何が起きたのか、その影響と原因について詳しく見ていきましょう。
広範囲の影響とDeFiへ波及
今回のバイナンスのハッキングは当初ホットウォレットから高額資産が次々に送金され、バイナンス側などから即座の反応がなかったことで当初はホットウォレットからの一時的な資産移動であるかのように見えていました。
一方で即座に反応したのがUSDCを発行するサークル社、USDTを発行するテザー社であり、バイナンスの公式発表がある前にステーブルコインの即座の凍結という対応を行ったのです。
一方でこの尽力も虚しく、バイナンスのハッカーはその前にAaveでUSDTを担保にするトランザクションを実行、結果的に6000万USDTを担保に70億円相当の19,761ETHを借入することに成功しています。
ここで問題となるのは、Aave側では担保となるUSDTが無価値ではなく、清算時にはETHの貸し手に対する補填のためにUSDTで自動購入する仕組みとなっている一方、
「そもそもの担保は盗まれたUSDTであり、USDT自体は不正に使用されたものであって、凍結されることを防ぐためにロンダリングされたETHの法的な所有権が誰にあり、責任を誰が負うのか」
という問題が生じることになるのです。
Aaveは一時的にさらなるロンダリングを防ぐために停止していた一方、半年前に起きたKelpDAOの事件を考慮すると今後は法的責任の所在とその解決が焦点となっていくでしょう。
またKelpDAOのハッキング時に同様の経験をしたイーサリアムL2のアービトラム(Arbitrum: $ARB)はバイナンスから盗まれた7455万ARBと8426ETHを安全に資産凍結、ARBガバナンスがコントロールする安全なアドレスへと凍結の対応を完了しています。
バイナンスハッキング原因
ではバイナンスがどのようにハッキングされたのか見ていきましょう。現状で判明していることは
・ホットウォレットの秘密鍵が流出したわけではない
・イーサリアムのバグでもない
・何らかの方法でエンジニアの管理パソコンに侵入された
・不正出金に必要な署名を実行できる権限を得た
という点です。
現状バイナンスは原因を特定できていませんが、ビットコイン及びトロンのネットワーク、さらにはイーサリアムなど複数のブロックチェーン上で不正出金していることなどからこれらの可能性が高いということになります。
またイーサリアムに2025年のペクトラアップデートで実装されたEIP-7702、簡易アカウント抽象化(Account Abstraction = AA)の脆弱性などではなく、バイナンスハッカーが被害のあったホットウォレットにsweep()というトークン送金処理を正規の署名手順で実行させ、より効率よく盗み出したという背景があります。すなわちより洗練された攻撃であり、これまでの不正出金と異なって1兆円規模の被害となったのは、バイナンス側の対策不足であったとも言えるのです。
一方イーサリアムでは効率的に盗むことができ、なおかつ大半の暗号資産はイーサリアム上であるため被害額が約6000億円、ビットコインは全部盗まれ約2300億円、トロンは約1000億円となっています。
バイナンスは今後どうなる？
既に日本ユーザーはバイナンスの日本法人しか使うことができず、今回被害にあったのはバイナンス・ドットコム、すなわち日本法人には影響がありません。
ですがバイナンスは2019年5月にも45億円相当のビットコインを盗まれており、さらに2023年には米司法省からマネーロンダリング対策義務違反により刑事訴追され、結果的に創業者で元CEOのCZことチャンポン・ジャオ氏が退任しています。
この結果として米司法省の制裁金6367億円を支払っており、独立機関によるコンプライアンス準拠、監視や監査費用が200億円近くかかっていると推計できます。凍結資産を考慮しても1兆円の費用をこれまでの運営やその他費用とは別に捻出していることになるのです。
ユーザー資産を補填するSAFUファンドが保有する15,000BTC、約1,852億円相当をすべて補填に充てたとしても、凍結資産を差し引いた約5,200億円に対するカバー率は約35%にとどまります。
残りはバイナンス社のファンドから捻出するとしていますが、AIを活用したより高度かつ洗練された攻撃が増えていく中、イタチごっこというよりも既に攻撃が優位になっていることを考慮すると、ビジネス上のリスクは非常に高いと考えられるでしょう。
これらを考慮すると、タックスヘイブンを利用したいわゆる無国籍暗号資産取引所が、各国の規制強化とともに衰退していく未来は確実だと墨汁うまいは考えています。
｜トップ画像：Adobe Stock
【次に読む】
» 史上最大のハッキングからの学び、暗号資産を安全に使うために──交換所・自己保管・DeFiで見直す資産管理の基本【エックスウィン】
» バイナンス、ハッキング被害額を約1兆円と発表
» 【墨汁うまい氏寄稿】ビットゲット約559億円ハッキング、それでも「ハッキングは買い」と考える理由
