ブロックチェーン分析企業のTRM Labsは30日、世界最大手の仮想通貨取引所バイナンスから約63.6億ドル（約1兆13億円、1ドル＝157.43円換算）相当の仮想通貨が流出した事件について、北朝鮮のハッキング部隊TraderTraitorによる犯行と分析した。判断の確度は「高い確信」だという。
流出は日本時間30日午前5時5分に始まり、大半が約20分間に集中した。2025年2月のバイビット事件（約15億ドル）の約4倍にあたり、TRMによると仮想通貨の窃取として過去最大となる。バイナンス自身も被害額を約63億ドルと推計し、入出金を停止した。
資金はイーサリアム（ ETH ）やビットコイン（ BTC ）を含む10のブロックチェーンから引き出された。TRMの集計ではイーサリアム上が約37.9億ドルと最も多く、20万630ETHのほか18.75億USDTと8.23億USDCを含む。ビットコインは1万8270BTC（約14.7億ドル）、XRP Ledger（XRPL）では2億3346万 XRP （約2.96億ドル）が流出した。63.6億ドルは各送金を引き出し時点の価格で評価した額で、現在価格に引き直すと約62.3億ドルとなる。
TraderTraitorは、米連邦捜査局（FBI）がバイビット事件の実行犯として名指しした集団だ。TRMは、ミキシングサービスのTornado Cashから少額を引き出して実行用ウォレットを用意した点や、窃取の36時間以上前から準備が始まっていた点を挙げ、バイビット事件や2026年4月のケルプDAO事件と複数の特徴が一致するとした。一方、資金洗浄の手法は、ブリッジを多用したバイビット事件とは異なるという。
米チェイナリシスも30日、Xで北朝鮮の犯行と高い確信を持って判断していると表明した。2026年9月のビットゲットへのハッキングで北朝鮮が盗んだ資金と、バイナンスから流出した資金が混ざっているのを確認したという。同社のジョニー・レビン（Jony Levin）CEOも、過去の事件とのつながりからTraderTraitorによる犯行の可能性が高いとの見方を示している。
バイナンスは初期調査の結果として、エンジニアのノートPCが侵害され、攻撃者がサービス用のコンテナに入り込んで不正な出金を送信した可能性があると説明している。ウォレットの秘密鍵が漏えいした証拠はないという。根本原因はまだ公表しておらず、調査完了後に詳細な報告書を出す方針だ。
TRMはさらに踏み込んだ見方を示す。イーサリアム上では、ウォレットの操作権をスマートコントラクトに委ねる機能「EIP-7702」が悪用され、バイナンスのホットウォレットが攻撃者の管理下に置かれた。ホットウォレットとは、取引所が顧客の出金処理に使うインターネット接続型のウォレットを指す。
残る9チェーンでは、こうした仕組みを使わない通常の署名付き送金で資金が流出していた。チェーンも鍵の種類も異なるウォレットが、約30分のうちにそろって攻撃者向けの有効な署名を出している。TRMはこの点から、攻撃者がバイナンスのホットウォレット署名システムに任意の取引を署名させられる状態にあった可能性が最も高いとみる。
ステーブルコインの発行体は相次いで凍結に動いた。TRMによると日本時間30日午前9時30分時点で、テザーが約17.7億USDT、サークルが約8.25億USDCを凍結。リップル社の4,050万RLUSD、ワールド・リバティ・ファイナンシャルの2,780万USD1も凍結され、アービトラムのセキュリティ評議会は8,426ETHと7,460万ARBを攻撃者のウォレットから移した。凍結総額は日本時間30日午前9時30分時点で約27億ドルにのぼる。バイナンスはその後、凍結額が約30億ドルに達したと発表した。
攻撃者は凍結を避けるため、ステーブルコインを凍結できない資産へ急いで換えた。約3.25億USDTをマーケットメイカーなどに売って約12万2,300ETHを取得した。1ETHあたり約2,650ドルと、市場価格より10％以上高い水準での交換だった。レンディングプロトコルのAaveでは6,000万USDTを担保に約1万9,760ETHを借り入れた。
攻撃者は現在も42万ETH超と1万8,270BTC、計約24億ドルを発行体の手が届かない形で保有する。TRMは、資金が次の段階でクロスチェーンブリッジやOTC業者に流れるとみて追跡を続けている。
バイナンスのイー・ヒー（Yi He）共同CEOはXで、ハッキングによる損失をすべてバイナンスが補償すると表明した。原資は利用者保護基金のSAFUと自社資金とされる。国内で暗号資産交換業者として登録するバイナンスジャパンは同日、顧客資産への影響は現時点で確認されていないと発表し、取引を続けながら仮想通貨の入出庫を一時停止している。
