暗号資産取引所大手のBinanceで、複数のホットウォレットから最大58億ドル規模の資産が移動する事案が発生し、同社が調査を進めている。TetherのCEOであるPaolo Ardoinoは15億6700万USDT超、CircleのCEOであるJeremy Allaireは8億ドル超のUSDCを凍結したと明らかにしており、Binanceも出金を一時停止した。ただし、58億ドルという数字はブロックチェーン上の資産移動や関連アドレスを基にした推計であり、盗難が確認された金額ではない。BitcoinとTronを除く不審な流出額33億〜35.5億ドルから、Binanceが確認した凍結額25.4億ドルを差し引くと、残る金額は約7.6億〜10億ドルとなる。両者の集計範囲が一致するとは限らないため、これを実際の損失額とみなすことはできないが、58億ドルという最大流出額と、凍結後に残る可能性のある損失との間には大きな開きがある。
58億ドルという数字は何を意味するのか
問題が表面化したのは2026年10月29日だ。複数のBinanceホットウォレットから、新たに作成されたEthereumのアドレスへ巨額の暗号資産が送金された。暗号資産ジャーナリストのStarPlatinumによると、「Binance 14」と呼ばれるウォレットから約25.3億ドル相当の64種類のトークンが移動し、その24秒後には別のウォレットから1億7440万ドル相当の資産が送られた。さらに、3つ目のウォレットから7億8000万USDCが同じアドレスに送金され、一連の資産移動は合計約34.8億ドルに達したという。
一方、最大58億ドルという数字は、CoinbaseのConor Groganが示した推計に基づくものだ。ブロックチェーン分析企業Arkham Intelligenceも、「binance-hacker-1029」と名付けた55のアドレスを追跡し、その保有資産の合計を約57.8億ドルと算出している。ただし、BleepingComputerの報道は、この金額が確認済みの盗難額ではなく、追跡対象となっているウォレット全体の資産価値であることを明記している。報告された内訳はUSDTが約17.7億ドル、Bitcoinが約14.4億ドル、ETHが約8億7600万ドル、USDCが約8億2300万ドルで、合計約49億ドルとなる。残る約9億ドルについては、詳細な内訳が示されていない。
Binance自身は、現時点で損失額や侵入経路を公表していない。同社の広報担当者は、セキュリティ上の問題を調査していると説明する一方、ユーザー資産は完全に安全だと主張している。創業者のChangpeng Zhao（CZ）は、今回の事案について「ハッキングに見える」と投稿し、現在は経営に関与していないものの、株主としてユーザーの損失が全額補填されることを期待すると述べた。また、共同創業者のYi Heは出金を一時停止したことを明らかにし、安全が確認できるまで再開しない方針を示している。
不審な流出額33億ドルに対し、25.4億ドルの資産を凍結
今回の資産流出については、調査主体や対象となるウォレットによって異なる数字が報告されている。セキュリティ企業Blockaidは、Ethereum、Arbitrum、Avalanche上のBinanceホットウォレットから、約33億ドルの不審な資産移動があったとして調査を進めている。一方、StarPlatinumの分析では約34.8億ドル、別の分析者であるSpreekの集計では、ラベルの付いていない単一のウォレットへの流入額が約35.5億ドルとなった。いずれもブロックチェーン上の取引記録を基にした分析であり、Binanceが盗難額として認めた数字ではない。
資産の凍結額も、対応が進むにつれて増加した。CZは当初、Tetherが約9億7100万ドル、Circleが約8億2300万ドルを凍結したと投稿しており、この時点での合計は約17.9億ドルだった。その後、Binanceは外部で報告されている凍結額に食い違いがあると説明し、同社が確認した凍結総額を25.4億ドルと発表した。関係機関との協力によって、今後さらに凍結額が増える可能性もあるという。
Yi Heは別の投稿で、Rippleが約2億ドル、World Liberty Financialが2700万ドル相当のステーブルコイン「USD1」と、約200万ドル相当の4800万枚のWLFIを凍結したことに謝意を示している。ただし、これらの金額がBinanceの公表した25.4億ドルに含まれているかどうかは明らかになっていない。そのため、各社が個別に公表した金額を単純に合計すると、凍結額を二重計上するおそれがある。
今回、比較的短時間で巨額の資産を凍結できた背景には、流出した暗号資産の種類がある。USDTやUSDCなどのステーブルコインには、発行体がスマートコントラクトを通じて特定のアドレスを凍結し、その資産の移転を制限できる仕組みがある。一方、ETHやBitcoinには同様の発行体による凍結機能がなく、攻撃者の管理するアドレスに移れば、発行体の判断だけで送金を止めることはできない。
Cyber KendraがEtherscanの取引記録を分析したところ、最初の大規模な送金には約16億USDTが含まれ、その後の送金でも7億8000万USDCが移動していた。つまり、不審な資産移動の相当部分を、発行体が凍結できるステーブルコインが占めていたことになる。この資産構成が、巨額の凍結を可能にした重要な要因と考えられる。ただし、凍結は資産の移転を止める措置であり、資産がBinanceへ返還されたことを意味するものではない。
ここで、Blockaidが調査する約33億ドルの不審な流出額から、Binanceが確認した凍結額25.4億ドルを差し引くと、残りは約7億6000万ドルとなる。Spreekの集計した約35.5億ドルを使った場合、差額は約10億ドルだ。仮に1ドル155円で換算すると、7億6000万ドルは約1178億円に相当するが、この為替レートは説明のための仮定であり、当日の実勢レートではない。
もっとも、この計算には重要な制約がある。25.4億ドルという凍結額は複数の発行体やブロックチェーンにまたがる集計値である一方、33億〜35.5億ドルという流出額は主にEthereum系の取引を対象としている。両者の対象資産が完全に一致するとは確認できていないため、単純な差し引きが実際の未凍結資産額を正確に表すとは限らない。したがって、約7.6億〜10億ドルは一定の仮定に基づく暫定的な試算であり、確定した損失額ではない。
比較対象となるのが、2025年2月に発生した暗号資産取引所Bybitへの攻撃だ。米連邦捜査局（FBI）は2025年2月26日の発表で、北朝鮮の攻撃者が同月21日ごろに約15億ドル相当の暗号資産を盗んだと断定している。今回のBinanceの損失が仮に7億6000万〜10億ドル程度に収まれば、Bybit事件の約半分から3分の2の規模になる。ただし、この比較が成立するかどうかは、今後の資産追跡や回収状況に左右される。
BitcoinとTronの約20億ドルが損失額を大きく変える可能性
今回の見立てに対する最も重要な反論は、BitcoinとTron上でも巨額の資産移動が報告されていることだ。TFTCが引用した別の集計によると、Ethereumで約35.1億ドル、Bitcoinで18,270BTC（約14.4億ドル）、Tronで約6.3億ドルが流出したとされ、合計は少なくとも55.7億ドルに達する。Arkhamの追跡対象にも、約14.4億ドル相当のBitcoinが含まれている。これらのうち、BitcoinとTronの計約20.7億ドルが実際に攻撃者へ渡ったと確認されれば、想定される損失額は大幅に増えることになる。
仮に、先ほどの試算である7億6000万ドルにBitcoinとTronの約20.7億ドルを加えると、合計は約28億ドルに達する。これはBybit事件の15億ドルを大きく上回る規模だ。ただし、この計算はBitcoinとTronの資産移動がすべて攻撃に関連し、すでに集計した流出額と重複していないことを前提としている。現時点で、この前提が確認されたわけではない。
もう一つの懸念は、凍結後の損失額が当初の試算を上回る可能性だ。tech-ishの報道によると、CZは凍結後の損失を約10億ドルとする推計に対して、実際の損失はもう少し大きくなる可能性があるものの、補填するとの考えを示した。これは損失額が10億ドルを超える可能性を示唆する発言だが、正式な損失額の公表ではない。
それでも、BitcoinとTronを除いた暫定的な試算には一定の根拠がある。Ethereum上では巨額の資産が特定のアドレスへ送金された記録を追跡でき、TetherとCircleによる資産凍結も実際に行われている。一方、BitcoinとTron上の資産移動については、Binanceや捜査当局が攻撃者への流出と確認したわけではない。したがって、約7.6億〜10億ドルという見積もりは、BitcoinとTronを除外し、凍結額を対象となる流出額から控除できると仮定した場合に限って意味を持つ。
この見立てが崩れる条件は明確だ。Binanceが正式な損失額として15億ドル超を公表するか、18,270BTCおよびTron上の約6.3億ドルの資産移動が攻撃者に関連すると確認されれば、凍結後の損失がBybit事件を下回るという見通しを維持することは難しくなる。また、凍結された資産の返還が進まない場合にも、最終的な損失額や補填に必要な資金は当初の試算を上回る可能性がある。
Binanceの補填能力と、今後確認すべき損失額
ユーザー資産の補填に向けた資金源としては、Binanceが保有する緊急基金「SAFU（Secure Asset Fund for Users）」がある。tech-ishによると、SAFUは15,000BTCを保有しており、今回の事案が発生した時点の評価額は約11.8億ドルに相当する。仮に損失が7億6000万〜10億ドルに収まれば、基金の評価額だけを見れば補填できる規模だ。一方、BitcoinとTronの流出分を含めた損失が約28億ドルに達した場合、SAFUだけでは賄えない。なお、Binanceは今回の事案にSAFUを使用するかどうかを明らかにしておらず、基金の実際の補填能力はBitcoinの価格変動にも左右される。
今後の最大の焦点は、Binanceがどこまでを不正流出と認定し、最終的な損失額をいくらと公表するかだ。あわせて、侵入経路の特定、BitcoinとTronの資産移動の実態、凍結資産の回収可能性、出金再開の時期も確認する必要がある。最大58億ドルという数字は事案の潜在的な規模を表すものであり、そのまま確定損失額と解釈するべきではない。 一方で、25.4億ドルの資産凍結だけを根拠に被害が限定的だと判断するのも早計だ。最終的な被害規模は、資産移動の全容と凍結資産の処理が明らかになって初めて評価できる。