暗号資産取引所Binanceへのサイバー攻撃は、記録に残る同種の窃盗としては史上最大となる可能性がある。Binanceは、盗まれた資産を63億米ドル（47億ポンド）という途方もない額と見積もっている。
2026年10月29日、分析企業各社は、同取引所が使用するウォレットから、複数のブロックチェーンネットワークにまたがって大量の暗号資産が移動されたと報告した。ブロックチェーンネットワークとは、利用者によって共同で運営される、取引を記録するためのデジタルシステムである。資金の大半は、約20分の間に移動された。
これを受けてBinanceは入出金を一時停止し、損失は緊急保護基金と自社の資産で補填するとユーザーに伝えた。Binanceによれば、影響を受けた資産のうち約30億米ドルが10月30日までに凍結された。しかし、資金を凍結することは、それを回収することと同じではない。
11月1日時点で、Binanceは盗まれた資産の95%を回復させたとしている。しかし、その多くは同取引所が保有するさまざまな基金や、自社の企業財務資金から拠出されたものである。同取引所は現在、出金を段階的に再開し始めている。また、調査が完了した後に完全なインシデント報告書を公表すると約束している。
調査担当者らは、各種の兆候が北朝鮮とつながりのあるサイバー犯罪者を示していると述べている。しかし、証拠が完全に確立されるまで、攻撃者の特定は暫定的なものにとどめるべきである。では、攻撃者はどのようにしてBinanceに侵入したのだろうか。
明らかになりつつある説明は、BitcoinやEtherといった個々の暗号資産に用いられる基盤のブロックチェーンへの攻撃が成功したというよりも、主としてBinance内で出金を承認するシステムが侵害されたことを示している。
Binanceは当初、あるエンジニアのノートPCが侵害され、それによって攻撃者が内部サービスにアクセスし、不正な取引を開始できた可能性があると示唆していた。しかし、その後の声明では、システムのほかの部分も侵害されていたことが示された。したがって、ノートPCの侵害をすべての説明とみなすのは時期尚早であろう。
参考になるのは、銀行の金庫室のたとえである。攻撃者は、いつ資金を払い出すかを金庫に指示するシステムを操作できるのであれば、金庫そのものを破る必要はないかもしれない。暗号資産取引所では、いわゆる署名インフラがこの承認機能を担っている。
調査担当者らは、攻撃者が正当な承認を取得または悪用できたことで、取引所が管理するウォレットから資産を移転できたとみている。Binanceは、ブロックチェーン上の出金取引を承認するために使われるウォレットの秘密鍵が漏洩した証拠は見つかっていないとしている。
これに関して報告されている要素の1つが、EthereumのEIP-7702機能である。これは、従来の暗号資産ウォレットに、通常は備わっていない機能を与えるものである。調査担当者らは、この機能に関連付けられた承認によって、攻撃者が制御するコードが資産を移動できるようになっていたとみられることを確認した。
これらの資産には、最初の侵害の後に入金された資金も含まれていた。しかし、このこと自体は、Ethereumの基盤となるコンセンサスメカニズムに欠陥があることを立証するものではない。コンセンサスメカニズムとは、分散型ネットワークによって合意される、取引に関するルール一式である。
暗号通貨はどれほど安全なのか
中心的な教訓は、ブロックチェーンのセキュリティと、その周囲に構築されたより広範なエコシステムのセキュリティとを区別しなければならないということである。ブロックチェーンは、きわめて堅牢で改ざん耐性の高い取引記録を維持しているかもしれない。その一方で、取引所、ウォレットプロバイダー、その他の仲介業者は脆弱である可能性がある。
従業員の認証情報の侵害、不備のあるアクセス制御、悪意のあるコード、取引承認プロセスの弱点は、いずれもサイバー犯罪者にとっての侵入口となりうる。
これはまた、多くの暗号資産サービスが分散化されていないことも浮き彫りにしている。多くの取引所は、カストディ（資産保管）の体制、ガバナンス、顧客資産の管理において高度に中央集権化されている。こうした集中は、単一障害点を生み出しうる。ブロックチェーンの分散型という性質は、その上で事業を営む企業に実効的なガバナンスが必要であることを否定するものではない。
窃盗の速さと国境を越える性質は、法執行をさらに複雑にしている。盗まれた資産は、異なるブロックチェーンネットワークを通じて移動されたり、他のトークンに交換されたり、分散型金融のプロトコルを経由して流されたりしうる。
ステーブルコインと呼ばれる種類の暗号資産（米ドルのような法定通貨にやや似た働きをする）の発行体の中には、自らの管理下にあるトークンを凍結できるものがある。これが、Binanceの窃盗による損失を抑えるのに役立った。BitcoinやEtherのような暗号通貨は、一般に、発行体によって同じようには凍結できない。こうした違いは、追跡、回収、投資家保護にとってきわめて大きな意味を持つ。
AIを利用したサイバー犯罪への懸念も高まっている。AIエージェントは、自動化された金融システムへの攻撃の速度、規模、巧妙さを高める可能性がある。しかし現時点では、AIエージェントが今回のハッキングを実行したという確立された証拠はない。より広範なリスクを、確認された原因と混同すべきではない。
投資家と金融の安定
投資家にとって今回の事件は、暗号資産を保有することが、その市場価格へのエクスポージャー以上のものを伴うことを改めて思い起こさせるものである。カストディリスク、サイバーセキュリティリスク、オペレーショナルリスク、「カウンターパーティリスク」（組織が、義務を履行しない可能性のある他の団体や個人に対して抱えるエクスポージャー）、そして法的リスクも存在するのである。
投資家は、誰が自分の資産を保有しているのか、顧客資金が分別管理されているか（すなわち、取引所やブローカーが暗号資産を日々の運営資金に充てていないか）、どのようなセキュリティ対策や回復の仕組みがあるのか、そして取引所が破綻した場合にどのような法的保護が適用されるのかを理解しておくべきである。
また、従来の銀行業務の一部で利用できる預金保険や中央銀行のセーフティネットを、暗号資産の保有でも享受できると考えるべきではない。
金融の安定へのより広範な影響は、従来の銀行業と暗号通貨との結びつきの程度によって決まる。従来の金融機関は、ブロックチェーンネットワークにみられる分散型台帳技術（分散型のコンピューターネットワーク全体でデータを保存・共有するデジタルシステム）を、トークン化（データセキュリティ機能の1つ）、支払い、決済に活用することをますます模索している。また、一部の銀行は、Bitcoin、Ether、その他のデジタル資産への投資機会の提供も仲介している。
それでも、金融機関、ファンド、決済システムが暗号資産市場とのつながりを深めるにつれて、オペレーション上のショックや損失がシステム全体により広く波及する可能性がある。
実践的な対応
暗号資産、分散型金融、金融規制に関する私の研究は、イノベーションには説明責任、実効的なガバナンス、そして相応の安全策が伴わなければならないことを一貫して強調している。
4つの優先事項が際立っている。第1に、取引所には厳格なサイバーセキュリティおよびオペレーショナル・レジリエンスの基準が必要である。これには、独立したセキュリティテスト、厳密に管理されたアクセス権限、安全な署名システム、取引限度額、継続的な監視、そしてBinanceの窃盗のようなインシデントに対応するための信頼できる計画が含まれる。
第2に、規制当局は「分散型」といったラベルを額面どおりに受け入れるのではなく、実際の管理およびガバナンスの体制を評価すべきである。カストディや運営上の支配を行使する事業体には、明確な義務が課されるべきである。
第3に、顧客資産の分別管理、透明性のあるカストディ慣行、明確なリスク開示、実行可能な倒産処理および回復の仕組みを通じて、消費者保護を強化しなければならない。補償の仕組みは、当然あるものと想定されるのではなく、明確に説明されるべきである。
第4に、国際協力は不可欠である。規制当局、法執行機関、取引所、ステーブルコイン発行体、ブロックチェーン分析事業者は、不正な送金を追跡し、証拠を保全し、法的に可能な場合には資産を凍結するために、迅速に連携できなければならない。
今回の事例は、技術的な高度さは健全なガバナンスの代わりにはならないという、より広範なメッセージを浮かび上がらせている。デジタル金融への信頼は最終的に、そのインフラのレジリエンス、それを管理する者の説明責任、そして利用者とより広範な金融システムを守る規制枠組みの実効性にかかっているのである。
