バイナンスから最大9100億円流出か｜取引所被害で史上最悪も

10月29日（協定世界時、以下UTC）未明、世界最大の仮想通貨取引所バイナンスのホットウォレット（インターネットに接続され、出金処理などに使われるウォレット）から、数十億ドル規模の資金が外部の新規アドレスへ移動しました。

User funds are safe!

It does look like a hack on Binance. Appreciate the quick freeze from Tether (~$971m) and Circle (~$823m).

I don't manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered.

— CZ 🔶 BNB (@cz_binance) October 29, 2026

バイナンス創業者のチャンポン・ジャオ（CZ）氏もX上で「ハッキングのように見える」と投稿しました。一方、バイナンス自身は調査中との立場で、日本時間10月30日朝の時点でハッキングや損失額を正式には認めていない状況です。

流出規模は、どの範囲を集計するかによって大きく異なります。最初の一括送金だけで約25億ドル相当とされ、ブロックチェーンセキュリティ企業のBlockaidは、イーサリアム、アービトラム、アバランチの3チェーンで約33億ドルの不審な流出を調査中としています。

I think the number is potentially up to $5.8B. Tether has blacklisted a large portion of this. https://t.co/BfscU7ENSo

— Conor (@jconorgrogan) October 29, 2026

オンチェーン分析家のSpreek氏は受信側ウォレットへの入金を約35.5億ドルと集計し、コインベースのコナー・グローガン氏は最大58億ドル（約9100億円）との見方を示しました。

ハッキングと確定すれば、2025年2月にバイビットで起きた約15億ドルの流出を上回り、取引所の被害として過去最大になる可能性があります。

流出の経緯と手口、EIP-7702による「委任」が起点か

イーサスキャンのデータによると、攻撃に使われたとみられるアドレス（0x7C86…5CA0）は、10月28日から29日にかけてトルネードキャッシュ（資金の出所を隠すミキシングサービス）から約0.1ETHずつ3回の入金を受けていました。

このアドレスは29日15時59分に、資金の引き出しを実行するスマートコントラクトを展開しています。同日中には、より小規模な3つのウォレットに対しても同じ手順が実行されており、本番前の試行だった可能性が指摘されています。

20時20分、ホットウォレット「Binance 14」がEIP-7702を通じてこのコントラクトに処理を委任する設定に切り替わりました。EIP-7702は2025年のイーサリアム大型アップグレード「Pectra」で導入された仕組みで、通常のウォレットに一時的にスマートコントラクトの機能を持たせることができます。委任の設定にはウォレット自身の秘密鍵による署名が必要で、一度設定されるとコントラクトのコードが追加の署名なしに資金を動かせるようになります。

その4分後の20時24分（日本時間30日5時24分）、Binance 14から約16万7464ETH、約16.15億USDT、さらにRLUSD、wBETH、XAUt、UNI、USD1など60種類以上のトークンが、単一の取引で新規アドレスへ送られました。24秒後には「Binance 16」から約2万8000ETH、20時41分には「Binance: Hot Wallet 34」から7.8億USDCが同じ宛先に送られ、20時59分にも4300万USDCが追加されています。主な流出は21時04分頃までにほぼ終わりました。

受信アドレスは数分のうちに約19万5460ETH（約4.5億ドル相当）を別の新規アドレスへ転送し、USDTについても少額のテスト送金を挟みながら複数のアドレスに分散させています。

バイナンスは10月28日にイーサリアムウォレットの定期メンテナンスを予告していたため、当初は内部の資金移動という見方も出ていました。しかし、ミキサー経由の資金調達や事前の試行といった特徴から、複数の分析者がメンテナンスでは説明しにくいと指摘しています。

Tether froze more than 1.567B USDT related to a potential Binance exchange hack.

Protecting the industry and our partners is our main priority.

Stay safe everyone.

— Paolo Ardoino 🤖 (@paoloardoino) October 29, 2026

ステーブルコイン発行体は1時間以内に動きました。テザーは当初約9.71億ドル相当のUSDTを凍結し、その後パオロ・アルドイノCEOが凍結額は15.67億USDTを超えたと明らかにしています。サークルのジェレミー・アレールCEOも法執行機関と連携して8億USDC超を凍結したと説明しており、凍結額は約8.23億ドルとされます

情報ソース：資料