バイナンス1兆円ハッキング、なぜ止められず？4分で2億XRP送金

大手仮想通貨取引所のバイナンスは11月3日、10月29日に発生したハッキング事件の初期報告書を公表しました。影響を受けたデジタル資産は約1兆円相当に上るとしています。同社は損失を利用者に転嫁せず、自社で負担すると表明しました。10月31日時点で影響を受けた資産の98%を補充済みとし、流動性の低い残りの銘柄も買い付けを進めているとしています。

https://t.co/sU9dUqLQDH

— Binance (@binance) November 3, 2026

攻撃者は社内のウォレット署名サービスへの不正アクセスを悪用し、通常の出金手続きを経ずに送金を実行しました。日本時間10月30日午前5時5分からの4分間に、5つのホットウォレット（即時出金用にオンラインで管理する財布）から2億3346万XRPが送られました。その後、約97万500SOL、約4420万OP、1万8270BTCも流出しています。同社は出金停止などを進め、約4,500億円相当の資産を凍結・確保したとしています。

封じ込めを難しくしたのが、イーサリアムのEIP-7702（秘密鍵を渡さずにスマートコントラクトへ実行権限を委任できる仕組み）の悪用です。攻撃者はこの仕組みでウォレットの一部権限を自らのコントラクトに委ね、出金停止後も資産を動かせる状態にしました。

ウォレットはMPC（秘密鍵を分割して管理する方式）を採用しており、単一の鍵で即座に権限を取り消すことができない状況でした。最後の不正送金は日本時間30日午前8時56分に確定し、9時10分に委任が解除されています。

同社は侵入口の閉鎖や関連システムの再構築、AIによる異常検知の強化を実施したとしています。調査は継続中で、外部のセキュリティ企業による独立したレビューも予定されています。報告書では、米連邦捜査局（FBI）の最新情報として北朝鮮の関与にも言及しています。出金停止だけでは止められないオンチェーン上の権限への対応が、業界全体の課題となりそうです。