被害額と盗難ビットコイン数でみる史上最大暗号資産ハッキングランキング

バイナンスの63億ドルの惨事――仮想通貨史上最大の盗難事件を徹底検証

仮想通貨は巨万の富や技術的ブレークスルーを生み出した一方で、数多くのセキュリティ災害も引き起こしてきた。攻撃の中にはブロックチェーンインフラの高度な脆弱性を悪用したものもあれば、盗まれた認証情報、漏洩した秘密鍵、あるいは数十億ドルの保護を任された人間の不手際を突いたものもあった。

バイナンスを巻き込んだ最新の事件は、こうした歴史的な比較を再び脚光にさらしています。最新の調査結果によると、2026年10月29日にバイナンスのウォレットから約63億～64億ドル相当のデジタル資産が流出し、金額ベースで史上最大の仮想通貨盗難事件となる可能性があります。 なお、これらの数値は依然として暫定的なものであり、ブロックチェーン分析企業による推定値を、完了したフォレンジック調査の結果と混同してはなりません。しかし、金額だけでは事態の全貌は語れません。 過去10年間にわたるビットコインの大幅な価格上昇を踏まえると、発生当時は比較的小規模だった事件でも、盗まれたBTCの数量で換算すると、今日の10億ドル規模の事件をはるかに上回る可能性があります。一方、当初盗まれた金額が必ずしも最終的な金銭的損害を反映するとは限りません。特に、資産が凍結されたり、回収されたり、補償されたりする場合です。

金額順にランク付けした暗号資産ハッキング事件トップ20

最初の比較では、現在の評価額ではなく各事件が発生した時点での推定米ドル価値に基づいて仮想通貨の盗難事件をランク付けしています。これには取引所の侵害、ブリッジの悪用、不正送金などが含まれますが、一部の事例では状況が複雑であるため従来のハッキングとして分類することが難しいものもあります。 回収額や補償額は、当初の被害額とは別扱いとしています。

まず目を引くのは、バイナンスと他のプレイヤーとの間に開いた大きな差です。報告されている63億ドルの損失額は、これまで金額ベースで業界最大の単一仮想通貨盗難事件と見なされていた2025年2月のBybitの侵害事件の被害額の4倍以上に相当します。しかし、こうした見出しとなる総額でさえ、精査が必要です。 例えば、BSC Token Hubの脆弱性悪用事件では、新たに発行されたBNBが約5億7,000万ドル相当関与していたが、実際に影響を受けたエコシステムの外へ持ち出された額はそれよりはるかに少なかった。同様に、Poly Networkの攻撃者は最終的に盗んだ資産の大部分を返還しており、これは当初侵害された資産の価値と、永久に失われた金額との間に大きな差があることを示している。

バイナンス、バイビット、そして10億ドル時代

10月29日のバイナンス事件は、報告されている取引所のセキュリティ失敗事例として新たな規模を示しました。ブロックチェーン調査員らは、イーサリアム、ビットコイン、トロン、ソラナなど、十数種類のブロックチェーンをまたぐ約63億ドルの送金を追跡しました。 オンチェーン調査員らはさらに、盗まれた資産の中に18,270 BTCが含まれていることを特定し、この攻撃を北朝鮮の「Tradertraitor」グループによるものと断定しました。一方、バイナンスは緊急準備金と企業資産を通じて顧客の残高を補償すると約束し、パートナー各社は影響を受けた資産約30億ドルを凍結したと報じられています。

2025年2月21日に発生したBybitへの攻撃は、これまで最大規模の事件として記録されていた。攻撃者は、イーサリアムのコールドウォレットからの送金中に取引承認プロセスを乗っ取り、権限を持つ署名者に対して悪意のある取引を正当なものに見せかけた。 約40万ETHおよび関連資産（評価額約14億6000万～15億ドル）が盗まれました。FBIはその後、この攻撃を北朝鮮の工作員によるものと断定しましたが、Bybitは顧客の出金に対応するため追加の流動性を確保しました。

Ronin、Poly Network、およびブリッジの脆弱性悪用

2022年3月のRonin Network攻撃では、一部のバリデーターキーが侵害されただけでブリッジ全体が危険にさらされることが示されました。攻撃者は9人のバリデーターのうち5人の制御権を掌握し、173,600 ETHと2,550万USDCを引き出しました。 評価日によって異なりますが、盗まれた資産の価値は約5億4,000万ドルから6億2,500万ドルに上りました。米国当局は、この作戦を北朝鮮の「ラザロ・グループ」によるものと断定しました。Poly Networkは2021年8月、別の種類の惨事を被りました。 クロスチェーンプロトコルのアクセス制御に欠陥があり、約6億1,000万ドル相当の不正送金が許されてしまった。しかし、大規模な仮想通貨盗難事件の多くとは異なり、攻撃者はその後、資産のほぼすべてを返還した。これにより、当初は壊滅的な損失と思われた事態が、業界でも極めて異例な回復事例の一つへと転じた。

2022年10月のBSC Token Hubのインシデントでは、200万BNBが不正に生成される脆弱性が悪用されました。これらのトークンの名目価値は5億7000万ドルから5億8600万ドルに迫っていましたが、介入が行われる前にエコシステムから流出したのはごく一部にとどまりました。 この違いが重要なのは、市場価格で評価された新規発行トークンが、必ずしも即座に換金可能な収益に相当するわけではないからです。

コインチェック、FTX、Mt. Gox

日本のコインチェックは2018年1月、攻撃者によるホットウォレットの侵害を受け、約5億2300万NEMトークンを失いました。当時の資産価値は約5億3000万ドルに上り、当時としては最大級の取引所侵害事件の一つとなりました。コインチェックはその後、自己資金を用いて被害を受けた顧客に補償を行いました。

FTXは2022年11月の破綻に際し、推定4億5,000万～4億7,700万ドル相当の暗号資産が不正送金された。これらの引き出しは破産手続きの最中、企業統制の著しい機能不全の中で発生した。この事件は広範な支払不能状態や顧客資産の不正使用疑惑と時期を同じくしていたため、一部の歴史的ランキングでは従来のハッキング被害比較の対象から除外されている。

さらに、Mt. Goxの事例があります。その歴史的意義は、当初のドル換算額だけでは到底測り知れません。同取引所は2014年、顧客および企業の保有分を含め、約85万BTCが紛失していることを公表しましたが、その後、古いウォレットから約20万BTCが発見されました。 当初の不足分は破産時点で約4億7300万ドルと評価されていたが、ビットコインの市場価格が上昇するにつれ、残りの約65万BTCの損失ははるかに重大なものとなっている。

Bitget、Wormhole、Liquid Network

Bitgetが報告した2026年9月のインシデントは、当初3億5,160万ドル相当と推定されていたが、調査チームが追加の被害資産を特定した結果、その後約3億8,750万ドルに修正された。提供された調査報告書では、出金インフラが侵害されたことが説明されており、同取引所は保護基金を用いて顧客の損失を補填する意向であると述べられている。 北朝鮮の関与については、公式に確認された事実ではなく、あくまで推測の域を出ません。Wormholeは2022年2月、攻撃者が署名検証の脆弱性を悪用し、必要な裏付け資産なしに12万のラップドETHを生成したことで、約3億2,000万～3億2,600万ドルの損失を被りました。 その後、Jump Cryptoが不足していた担保を補充したため、この攻撃による被害がユーザーにとって実質的な恒久的な損失となることは回避されました。 2026年9月のLiquid Networkのインシデントでは、約4,000 BTCが関与していましたが、提供された報告書では、犯行グループをホワイトハットハッカーと位置づけ、彼らは後に3,400 BTCを返還したとされています。 この件については慎重な対応が必要です。返還の主張は経済的影響を大幅に変化させるものであり、また、調査ではこの事象に関する一次情報に基づく完全な再構築が行われていません。

DMM Bitcoin、KelpDAO、Drift Protocol

DMM Bitcoinは2024年5月、4,502.9 BTC（当時約3億500万～3億800万ドル相当）を失いました。調査チームは、この盗難を、ウォレット管理プロバイダーを標的とした北朝鮮によるソーシャルエンジニアリング攻撃と結びつけました。 この日本の取引所は最終的に顧客への補償を手配し事業を清算しましたが、これは補償が約束された場合でもセキュリティインシデントがいかに事業の存続を脅かす問題になり得るかを示しています。2026年4月に報告された2件のインシデントにより、業界のセキュリティ関連費用はさらに推定5億7700万ドル増加しました。 KelpDAOはオフチェーンインフラに関連して約2億9,200万ドルの被害を受け、一方Drift Protocolは推定2億8,500万ドルから2億9,500万ドルの損失を被りました。捜査当局はDriftの事件について北朝鮮の関与を疑っていますが、提供された資料ではその帰属は暫定的なものにとどまっています。

Kucoin、WazirX、Cetus、Mixin、Euler、Nomad

2020年9月のKucoinの侵害事件では、ホットウォレットの秘密鍵が流出し、被害資産額は1億5,000万ドルから2億8,000万ドルと推定されました。 その後、同取引所は追跡や資産凍結、他プラットフォームとの協力により資金の大部分を回収したと報告しており、協調的な対応が攻撃による長期的な金銭的影響を軽減し得ることを示しています。

WazirXは2024年7月、マルチシグネチャウォレットが侵害された結果、約2億3,000万ドルから2億3,500万ドルの損失を被りました。この事件により出金や取引が中断され、事業再編や回復に向けた取り組みが開始されました。 この攻撃はラザロ・グループによるものとされ、カストディ体制そのものが精査の中心的な焦点となった。

残りの事例は、脆弱性が中央集権型取引所の枠をはるかに超えて広がっていることを示しています。2025年5月のCetus Protocolへの攻撃では約2億2300万ドルが流出し、2023年9月にはMixin Networkが約2億ドルの損失を報告しました。 Euler Financeは2023年3月、フラッシュローンを悪用した攻撃で約1億9700万ドルの損失を被りましたが、交渉の結果、盗まれた資金の約90％が最終的に返還されました。 一方、Nomad Bridgeは2022年8月、メッセージ検証の脆弱性が悪用され不正な引き出しが行われた結果、約1億9,000万ドルの被害を受けました。

ビットコインの最大規模の盗難事件は、まったく異なる実態を物語っている

ドル建てのランキングでは、暗号資産市場の時価総額が大幅に高かった最近の事件が上位に入りやすい。盗まれたビットコインの数量で過去の盗難事件を評価すると、順位は大きく異なる。そこでは、初期の取引所への侵入、ウォレットの不正アクセス、そしてBTCが現在の価格のほんの一部で取引されていた時期に発生した損失が上位を占める。

比較のため、以下のランキング表ではビットコイン1枚あたり7万8,000ドルの固定基準価格を採用しています。これらの計算は過去のBTC保有量に対する仮定上の評価額であり、攻撃者が依然として管理している資産や現実的に回収可能な金額の推定値ではありません。

この比較によって、これまでの歴史的な順位付けは完全に覆されます。Mt Goxが当初報告した85万BTCの不足分は、1コインあたり78,000ドルで換算すると663億ドルの仮定評価額となり、2026年10月のBinance事件の推定ドル価値の10倍以上となります。 旧ウォレット発見後に残っていた約65万BTCでさえ、同じ基準価格では507億ドルの価値を持つことになります。2016年のBitfinex盗難事件も、ビットコインで換算するとその規模が格段に大きくなります。 攻撃者は119,756 BTCを奪い、当時の価値は約7,200万ドルでした。本分析で使用した基準価格では、同量の価値は約93億4,000万ドルに相当しますが、その後、米国当局が盗まれたコインの大部分を押収しています。

Lubian Miningの事例もまた、特異ではあるが議論の分かれるケースである。Arkham Intelligenceは、2020年12月に、秘密鍵生成の脆弱性を原因として、同マイニング事業から127,426 BTCが盗まれたと主張している。 1コインあたり78,000ドルで換算すると、この盗難被害額は約99億4,000万ドルに相当します。しかし、所有権や犯行の手口、その後の米国による差し押さえ手続きに関する未解決の疑問があるため、これを取引所やマイニングプールへのハッキングとして決定的に立証された事例として提示すべきではありません。

さらに、2012年に複数の企業に影響を与えたLinode関連の盗難事件、2011年に「Allinvain」として知られるウォレットから25,000 BTCが消失したと報じられた事件、およびCryptsy、Bitstamp、Mintpalが関与した事件も含まれます。 これらの事例は当時のビットコイン価格では金額規模は小さかったものの、BTCの数量は現代の多くの攻撃事例と比較しても膨大です。2026年10月に発生したバイナンスの事件もビットコイン建ての比較に含める価値があります。同取引所は報告された資金流出の際に移転された資産のうち18,270 BTCを記録しています。 これは2019年5月にバイナンスから盗まれた約7,000 BTCとは別の事件です。この比較的新しい事件のビットコイン部分だけでも、基準価格78,000ドルで換算すると約14億3,000万ドルの価値に相当しますが、総額ははるかに幅広いデジタル資産によって構成されていました。

CZ氏、「ドル建てでの最大規模の盗難は、ビットコインの数量としては最大ではない」と述べる

バイナンス創業者で「CZ」の通称で知られるチャンペン・チャオ氏は、本レポートのために提供された声明で、ドル建て損失額とビットコイン数量の違いに触れました。彼の主張は、一見単純に見える一点に集約されます。すなわち、最も大きな見出しとなる数字が、必ずしもユーザー、市場、あるいは仮想通貨の供給量にとって最も重大な事件を示すわけではないということです。

「ハッキングの規模や、なぜビットコイン価格への影響が小さいのかといった議論をいくつか見かけました。63億ドルは米ドル建てでは最大ですが、BTC建てではそうではありません。 MtGoxは65万BTCだった」とZhao氏はXに投稿した。「他に考慮すべき重要な数値として、（BTCの総供給量に対する）ビットコインの割合、すなわち市場への影響がある。 この点でもMtGoxは5％以上と大きい。影響を受けたユーザー数、および影響を受けたユーザー資産の割合。MtGox（当時最大のCEX）とFTX（決して小規模ではない）はいずれも、ユーザーおよびその [assets]。」 CZは次のように付け加えました：

「最も重要なのは、誰が影響を受けたかです。プラットフォームが全損害を補償するのか？（被害者は1人だけ）、最近の2件のCEX事例やバイナンスの場合のように。明らかに、業界、バイナンス（そして私）にとっては依然として大きな災害です。痛手ではありますが、我々は生き残ります。最も重要なのは、ユーザーを守ることなのです。」

提供されたまま転載されたこの声明は、業界がセキュリティ上の失敗をどのように評価するかという点について重要な疑問を投げかけています。盗難総額は流出した資産額を示すものの、顧客が最終的にどれだけの損失を被るのか、影響を受けた企業が支払能力を維持できるのか、あるいは盗まれた仮想通貨のうちどれだけの額が回収可能なのかについては明らかにしていません。