TL;DR
- 2026-10-29 21:18 UTC、CZ が Binance の被害を確認。損失は約
$6.3Bで、暗号資産史上最大の単独盗難であり、2019 年の件（$41M）の約154倍です。 - 2026-11-02 05:30 UTC 時点：出金は 11-01 から段階的に再開（
15ネットワーク、$BTCが先行）、盗まれた資産の90–95%を自社資産で補填済み、約$3Bが凍結されています。 - 問題は秘密鍵の流出ではなく、内部の署名・承認の経路が破られ、さらに EIP-7702 の委任でホットウォレットが一括して掃き出されたことです。FBI、TRM Labs、Chainalysis はいずれも北朝鮮の **TraderTraitor（Lazarus）**を指しています。
- 利用者の帳簿上の損失はゼロで、代償は取引所のバランスシートと信用に移りました。 出金再開後 24 時間の純流出は
$3.64B–6.33B（集計方法による）で、顧客資産$171Bの2–4%程度です。 - 注視すべきは「コインが取り戻せるか」ではなく、11-02 の準備金証明と 11-03 の ZK 検証が「1:1 の full backing」を口約束から検証可能な事実に変えられるかどうかです。
データは 2026-11-02 05:30 UTC 時点。価格は Binance 現物の
$BTC/USDTと$BNB/USDT。タイムラインは公開報道と公式発表の掲載タイムスタンプに基づき、オンチェーン動作の秒単位の順序は取引そのものに従います。元資料には、それ自身が示す価格と合わない百分率が二つあり、再計算しました（第 6 節）。
1. 全体像：8 年 5 件、広がり続ける攻撃面
Binance のセキュリティ史には明確な筋が一本あります。毎回「ホット側」で起きている —— ホットウォレット、API、クロスチェーンブリッジ、署名サービス。コールドウォレットは一度も正面から破られていません。 規模だけが数千万ドル級から数十億ドル級へ跳ね上がりました。
| 日時（UTC） | 事件 | 規模 | 手口 | 対応と結果 |
|---|---|---|---|---|
| 2018-03-07 | API キーが悪用され、薄い板に不正な売り注文 | 盗難なし | フィッシングで得た API 認証情報による相場操縦 | 出金停止、異常約定をロールバック、利用者資産は無傷 TechCrunch |
| 2019-05-07 | ホットウォレットから 7,000 $BTC |
当時で約 $41M |
ウイルス、フィッシング、API 情報の組み合わせで一度に出金 | SAFU が全額補償、出金は数日停止 BBC |
| 2019-08 | KYC 資料の流出と恐喝 | 直接の資金被害なし | 第三者ベンダー経路と推定 | 身代金を拒否し、公開懸賞で追跡 CoinDesk |
| 2022-10-06 | BNB Chain の BSC Token Hub ブリッジ | 200 万 $BNB を無から発行（$570M）、実際の流出は約 $100M+ |
偽のクロスチェーン証明でブリッジ契約を欺いて払い出させた | バリデーターがブロック生成を停止しハードフォークで修正。Binance は約 $100M が未回収としています CNBC |
| 2026-10-29 | 複数のホットウォレットと署名経路 | 約 $6.3B |
内部ネットワークへの侵入と EIP-7702 委任の悪用 | $6.34B を引当、約 $3B を凍結、11-01 から段階的に出金再開 |
二点だけ個別に書いておきます。
一つ目。2019 年のあの 7,000 $BTC は、今日の $78,336 で約 $548M に相当します —— 同じコインが 7 年で 13 倍です。「当時の $41M」が小さく聞こえるのに、今日のバランスシートでは別の桁になる理由がここにあります。
二つ目。2022 年は厳密には BNB Chain エコシステムのブリッジが攻撃されたのであって、取引所の口座が盗まれたわけではありませんが、市場は慣習的に「Binance 系」に数えます。
2018 年の API フィッシング、2019 年の認証情報窃取、2022 年の契約検証の欠陥、2026 年の署名基盤の陥落 —— 攻撃者は毎回コールドウォレットを迂回し、「出金」に最も近い層から入っています。
2. 2026-10-29：96 時間のタイムライン
オンチェーンの異変から公式確認までが 5 分、確認から国家級の攻撃という認定までが約 10 時間、ただし出金停止から実際の再開までは 60 時間近くかかりました。以下はすべて UTC です。
| 時刻 | 進展 |
|---|---|
| 10-29 約 21:10 | オンチェーン研究者 Spreek が警告。Binance 関連のイーサリアムウォレットが、Tornado Cash を原資とする契約呼び出しで新しいアドレスへ資産を移し、DEX で $USDT を売り始めた Cointelegraph |
| 10-29 21:18 | CZ が盗難を確認し、利用者資産は安全と表明。Tether が約 $971M、Circle が約 $823M を凍結 Reuters |
| 10-29 21:24 | 追跡により被害が複数チェーンにまたがることが判明。アナリストは「攻撃が継続中の可能性」と警告 |
| 10-29 22:18 | Glassnode による最初の定量推計 $5.3B。内訳は $USDT $1.66B、$BTC $1.45B、$USDC $767M |
| 10-30 00:10 | 被害を受けたホットウォレット Binance 14 が EIP-7702 の認可を取り消す |
| 10-30 02:08 | Binance が入出金を停止し、全額補償を改めて表明 |
| 10-30 05:51 | TRM Labs、Chainalysis、ZachXBT が北朝鮮の TraderTraitor に帰属。Binance と Bitget の被害資金が THORChain 経由で同一アドレスに集約 Cointelegraph |
| 10-30 09:31 | Binance が開示。感染した DevOps 用ノート PC と「追加の侵入点」が関与し、損失は $6.3B、$3B を凍結済み Decrypt |
| 10-30 11:00 | Blockaid：秘密鍵の流出はなく、署名基盤が欺かれた。EIP-7702 は原因ではないが被害を増幅させた Cointelegraph |
| 10-30 12:00 | Binance が $6.3B を正式に確認し、SAFU と自社資金で全額を賄うと表明 |
| 10-30 15:03 | 市場の反応：$BTC は $76,771、暗号資産全体の時価総額は −3.9% |
| 10-30 16:34 | CEO が工程表を提示：11-01 に出金再開、11-02 に準備金証明を公表。$6.34B の引当を発表し、うち $5B はすでに対応する資産 Cointelegraph |
| 10-30 19:56 | Binance が第二の侵入経路を確認。EIP-7702 の委任でホットウォレットの承認を迂回していた |
| 10-30 23:13 | トランプ氏が注視していると発言。FBI と米シークレットサービスが関与 |
| 10-31 15:36 | Binance が補填率 90% に達したと表明。10 銘柄が準備率 100% に回復し、SAFU から 7,500 $BTC を補充 Cointelegraph |
| 11-01 07:44 | FBI が北朝鮮の TraderTraitor を正式に名指しし、資金洗浄の遮断に民間の協力を要請 Cointelegraph |
| 11-01 07:02 | Binance が準備金証明のアドレス一覧を更新し、新しいウォレットを追加、以後の出金はすべてそこから。2,000 $BTC の「クジラ送金」は自社の新ウォレットだと He Yi が確認 |
| 11-01 08:01 | 最初の出金が再開、$BTC ネットワークが先行。15 ネットワークを対象とし、補填率は 95% と表明 crypto.news |
| 11-01 終日 | 出金が集中して処理され、追跡された純流出は集計方法により $3.64B から $6.33B まで幅がある（第 4 節参照） |
| 11-02 01:51 | THORChain がブロック再編成に伴う返金バグで 10 チェーンの swap を停止し、結果的に資金洗浄の速度を落とす Cointelegraph |
| 11-02 03:00 前後 | シークレットサービスが捜査継続中と表明し、提携機関とともに大半の資金を凍結したと説明 |
| 11-02 05:30 | $BTC $78,336、$BNB $710。事件前の高値からそれぞれ 3.8%、6.5% 低い水準 |
3. 手口：1 台のノート PC が 9 つのホットウォレットを開けるまで
この層はすでに三本の記事で分解してあるので、ここでは骨格だけを示します。
- 入口は人の端末であって、鍵ではありません。 Binance は、侵害された DevOps 用ノート PC から内部基盤に入られた可能性を認めています。BBC は Binance の共同 CEO の説明として、1 台のノート PC から一つの内部システムが開き、次が開き、やがて出金を発行する権限を信頼されたサービスに到達する —— その出金は正規の経路を通るので日常業務に見える、と伝えています BBC。Blockaid の判断はより端的で、署名基盤が破られたのであって鍵の流出とは考えていないというものです。根本原因の全体像は「Binance が根本原因を示した：破られたのは EIP-7702 ではなく、署名能力を持つサービス ID だった」にあります。
- 実行は EIP-7702 で増幅されました。 攻撃者は
50件の EIP-7702 認可を一つの取引に詰め込み、そのうち一件の nonce が対象アカウントと一致して受理され、Binance 14 が未検証のスイーパー契約に委任されました。Bonanza Factory は悪用された内部署名権限が9のホットウォレットに及んだと推定し、TRM は10チェーンからの資金を把握しています。準備過程とオンチェーンの証拠は「EIP-7702 攻撃チェーンの解剖：18 時間の準備、1 本の署名、1 体のボット」、署名ペイロードがどうアカウントコードになるかは「EIP-7702 の署名フロー：1 つのハッシュから書き換えられたアカウントコードまで」にあります。 - 最初の一撃は
$XRPでした。 TRM の再構成によれば、攻撃者が最初に空にしたのは2億3,346万$XRP（約$296M）で、所要時間は4分 Bloomingbit。これは無作為ではありません。$XRPは板が厚くクロスチェーンの経路も多く、凍結される前に動かすのに最も適しています。
だからこそ「追う」より「埋める」が重要になります。 盗まれた資産のうち $BTC 約 $1.45B はプロトコル層で凍結できず、止められるのはステーブルコインの部分です。そこで Binance は自社資産で顧客への不足分を埋めつつ、発行体と連携して凍結できる分を凍結する、という二本立てを選びました。
4. 資金の流れ、補填、現状
凍結の速さが 2019 年との最大の運用上の違いです。2019 年はほとんど何も回収できず、2026 年は 24 時間以内に半分近くを凍結しました。
| 項目 | 金額 / 状態 |
|---|---|
| 盗難総額 | $6.3B（TRM は $6.36B、Arkham の初期追跡は $5.84B、Glassnode の初推計は $5.3B） |
| 凍結または特定済み | 約 $3B：Tether $1.567B + Circle $800M+ + Ripple 約 $200M + プロジェクト側の凍結 |
| 自社資金の引当 | $6.34B、うち $5B は対応する資産でカストディ済み |
| 補填の進捗 | 90%（10-31）→ 95%（11-01） |
| 原資 | SAFU、先物保険基金の超過分、会社の金庫。事件後も追跡可能な保険類の資金が約 $1.85B 残存 crypto.news |
| 攻撃者の保有 | 報道では 18,270 $BTC を窃取。Coinbase の自社金庫の $BTC を上回る規模 |
| 資金洗浄の進捗 | 2 日間でブリッジ経由の送出が約 $242M（うち約 $140M が 4 本のブリッジ）。単発で 485,300 $SOL（$46.35M）、257 万 $LINK（$27.95M） |
| 出金の状態 | 11-01 08:01 から段階的に再開、15 ネットワーク、$BTC が先行。全出金が新しいウォレットアドレス経由に変更 |
| 準備金証明 | 全量の PoR は 11-02、ZK 検証は 11-03 の予定。本稿の基準時点では未公表 |
| 捜査 | FBI は北朝鮮に帰属。シークレットサービスは捜査継続中と表明。韓国 FSC は緊急会合を開き、コールドウォレット比率の引き上げを検討 |
流出の数字は集計方法で割れるので、分けて読む必要があります。 The Block は出金再開後の純流出を $3.64B と集計し、Cointelegraph は $5.8B を引きつつ、それが顧客資産およそ $171B のごく一部にすぎないと強調しています。DefiLlama の 24 時間純流出は $6.33B（別の時点では $5.86B）。差は「起点を出金再開時に取るか 24 時間窓に取るか」と「内部送金を除くかどうか」から生じます。方向性は一致しています。流出は大きいが、取り付け騒ぎにはなっていません。
CZ が出したもう一つの数字も見ておく価値があります。利用者の 98% が残ることを選んだ、というものです。これは広報の言い方ですが、「流出は顧客資産の 2–4% にすぎない」という事実と桁として整合します。
なお、開示に欠けているものは今も埋まっていません。「Binance はまだ署名ログを公開していない」が挙げた欠落 —— 署名側のログと事後検証 —— は、本稿の基準時点でも公表されていません。
5. 市場と信用の代償
価格の反応は「激しいが制御不能ではない」もので、2019 年のパニックとは構造が違います。
| 銘柄 | 事件前の高値（10-28） | 事件中の最安の読み | 11-02 05:30 | 高値からの下落 |
|---|---|---|---|---|
$BTC |
$81,400 |
$76,771（10-30 15:03） |
$78,336 |
最安で −5.7%、現在 −3.8% |
$BNB |
$759 |
$702（10-30） |
$710 |
最安で −7.5%、現在 −6.5% |
$BTCは 10 月を−7.32%で終え、12年ぶりに最悪の 10 月となりました。$BNBは「取引所株式の代替」として扱われるため$BTCより下げが大きく、取引所自身に向かった事件という値付けと整合します。- レバレッジの整理：全体の清算額は
$1.53–1.6Bで、中規模の振るい落としであり、システミックなデレバレッジではありません。 - 伝統的金融への波及：現物
$BTCETF の純流出は$643.2M。暗号資産関連株も下落し、Coinbase は13%超（Q3 減収も重なる）、Circle は9%超、Strategy は約8%、IREN は10%超の下げ。 - ナラティブ：スタンダードチャータードは資金の DEX 移行が加速すると見る一方、Bitwise の Matt Hougan は、この規模なら 10 年前は Binance と
$BTCを沈めただろうが今は違う、と述べています。
2019 年と比べると、あのときの $41M は「取引所が生き残れるか」という存続の疑いを招きました。今回の $6.3B が招いたのは「準備金は足りるのか、出金は詰まらないのか」という運用の疑いです。市場はすでに Binance を、ストレステストの対象となる金融機関として扱っており、消えるかもしれないウェブサイトとしては扱っていません。
6. この方法で分からないこと
元資料には、それ自身が示す価格と合わない百分率が二つあり、再計算しました。
$BNBの「事件前の高値より6.2%低い」は6.5%に直しました。 資料自身の二つの価格で計算すると$710 ÷ $759 − 1 = −6.46%です。6.2%が正しいなら事件前の高値は$757でなければならず、$759ではありません。二つのうち一方しか残せないので、本稿は価格を残して百分率を再計算しました。$BTCの「10-31 の安値$77,331、下落−5.0%」は採用しませんでした。 同じ資料のタイムラインには 10-30 15:03 の$76,771があり、その「安値」より低いからです。そこで本稿は最安の読みを$76,771とし、$81,400からの下落を−5.7%とし、各読みに時点を付けたうえで、どれが窓全体の最安値かは断定しません —— 日中安値はこの資料にありません。
さらに四つは、この方法そのものの限界です。
- タイムラインは「報道の時刻」であって「チェーンの時刻」ではありません。 表のタイムスタンプは発表や記事が出た時刻で、攻撃の実際の順序は取引そのものに従います。両者は数分から数十分ずれ得ます。
- 「約
$3B凍結」はその内訳で閉じません。 Tether$1.567B、Circle$800M+、Ripple 約$200Mを足すと$2.567Bで、残りは「プロジェクト側の凍結」と大まかに記されるだけで明細がありません。この数字は各方面の個別開示の継ぎ合わせであり、照合された数字ではありません。 - 盗難総額そのものに四つの基準があります（
$6.3B/$6.36B/$5.84B/$5.3B）。差は集計時点と評価方法によるものです。本稿は Binance の基準で$6.3Bを採りますが、それを分子に置くすべての比率はこの不確実性を引き継ぎます。 - 準備金証明が未公表なので、「full backing」は現時点で検証できません。 言えるのは Binance が
90–95%補填したと主張していることまでで、補填されたとは言えません。注視点の一つ目が存在する理由がこれです。
結論。 8 年を通して見ると、Binance のセキュリティモデルは機能していましたが、守っていた対象が違いました。コールドウォレットは破られず、SAFU は不履行を起こさず、補償も減額されていません —— 「コインが盗まれる」という軸では、この体系は成功しています。 しかし 2026 年の件が示したのは、攻撃者が標的を「金庫」から「出金に署名するペン」に替えたとき、ホットとコールドの分離も、マルチシグも、保険基金も効かなくなるということです。取引はシステムから見れば完全に正当だからです。
本当に変わった点は三つあります。第一に、規模が「会社が吸収でき、市場が無視できる」閾値を越えました。 $6.3B は顧客資産の 3.7% にあたり、SAFU と先物保険の超過分と金庫を三層に重ねてようやく埋まりました。これは繰り返し使えるバッファではありません。第二に、攻撃者が国家級の APT になりました。 Lazarus の累計窃取額は $11.87B に達し、守る相手は「犯罪集団」から「忍耐と予算とサプライチェーン侵入能力を持つ相手」に変わりました。第三に、信用の値付け方が変わりました。 市場はもう「補償するのか」を問わず、「補償できることを何で証明するのか」を問います。11-02 の準備金証明がどんな広報文より重い理由がこれです。
結論としての判断。 この件が Binance を終わらせることはありませんが、「取引所の盗難＝ブラックスワン」という古い枠組みは終わりました。ここから先、取引所の評価の錨は「検証可能な準備金と出金の耐久力」であって、取引高ではありません。
今後 72 時間で見るべき三点： ① 11-02 の全量 PoR が盗まれた全銘柄を網羅し、あの $6.34B の引当を含むか。主要銘柄のみなら不完全とみなす。② 11-03 の ZK 検証で利用者が自分で検証できるようになるか。これが「信じろ」から「検証しろ」への分水嶺。③ 出金が再び延期されるか、新たな上限が付くか。もう一度延びれば、$3.64B の流出は第二波の起点になります。
この事件の最初の記録は「Binance ホットウォレット陥落：正当な署名 1 本、8 分、56 億ドル」にあります。本稿は調査メモであり、投資助言ではありません。DYOR。