バイナンスハッキングで「回避可能だった」欠陥3つ発覚とCoinex創業者

Coinexの創業者であるHaipo Yang氏は、63億ドル規模のBinanceハッキング事件は、高度な技術ではなく、規律さえあれば防げた3つの回避可能なミスに起因するものだったと述べています。

著者

Shiraz Jagati

公開日: 2026年11月4日 8:45 GMT-5

主なポイント

ハイポ・ヤン氏は、共有デバイスの使用から名目上のみに過ぎないマルチシグ設定に至るまで、バイナンスにおける3つの失敗を挙げました。
バイナンスによると、被害を受けた63.4億ドルの資産のうち98％は10月31日までに自社資金で補填されたという。
Coinex自体は事業を縮小しており、Yang氏がセキュリティ上のリスクを理由に挙げたことから、出金は2026年12月22日まで受け付けています。

業界のベテランたちの見解

競合取引所Coinexの創業者も、暗号資産史上最大規模の盗難事件について見解を示し、バイナンスの侵害事件は「完全に回避可能だった少なくとも3つの重大な過ち」を露呈したと述べました。ヤン氏はさらに、これは高度な技術の欠如ではなく、運用上の規律の欠如による失敗であると付け加えました。

この発言は、バイナンスが10月29日にホットウォレットから約63億4000万ドルの資産が流出したとするセキュリティ侵害の余波に対処している最中に行われました。FBIは、この攻撃を北朝鮮の「Tradertraitor」グループによるものと断定しています。

3つの過ち

ヤン氏が挙げた3つの過ちは以下の通りです。

業務用と個人用のコンピュータが分離されていなかった：ヤン氏によると、開発環境と運用環境は「完全に隔離されていなかった」という。本番システムへのアクセス権を持つスタッフは、専用のデバイス（コーディング、チャット、ウェブ閲覧のすべてを別のマシンで処理する）を使用すべきだったと彼は主張した。この点は、バイナンスが最新の事後分析で明らかにした内容と直接一致している。
1つの認証情報で本番環境を稼働させていた：ヤン氏によると、本番サービスを運用するには1つの認証情報だけで十分であり、つまり1つの情報が漏洩しただけで攻撃者に完全なアクセス権が与えられてしまった。同氏は、Amazon Web Services（AWS）の「Session Manager」に類似したブラウザベースのセッションマネージャーを導入し、ハードウェアセキュリティキーを第2の認証要素として組み合わせることを提案した。そうすれば、1つの認証情報が盗まれたとしても、セキュリティ侵害には至らないという。
マルチシグは名ばかり。ヤン氏の3つ目の指摘は、Binanceのマルチパーティ計算（MPC）の仕組みに向けられました。これは署名権限を複数の当事者に分散させる手法です。同氏によれば、署名者は取引を実質的に検証していなかったため、1つのノードが侵害されるだけで単一の署名が行われたのと同じ結果となっていたといいます。同氏は、マルチシグが機能するのは、各署名者が上流からの要求を鵜呑みにするのではなく、独立して取引を確認する場合に限られると主張しました。

バイナンスによる出来事の説明

バイナンス自身の説明は、ヤン氏の批判の要点を裏付けています。共同CEOのリチャード・テン氏はCNBCに対し、偽の面接の後、攻撃者が「当社の内部AIツールを猛烈な勢いで突破し」、「ウォレット取引を承認するシステム」へのアクセス権を獲得したと語りました。ビットコイン.comニュースが報じたように、事後分析ではこの侵害が偽の就職面接と侵害された人工知能（AI）ツールに起因することが明らかになりました。

同取引所はその後、影響を受けたウォレットシステムを再構築し、端末を交換し、認証情報を無効化し、ウォレットサービスのリスク管理を強化しました。テン氏はまた、Fox Businessに対し、「当社は全責任を負う」と述べた一方で、影響を受けた資産の98％が補充されたことも指摘しました。

今回のハッキングをリスク管理の失敗と位置づける声は、ヤン氏だけではない。Zero Knowledge Groupの創設者オースティン・キャンベル氏は暗号資産メディアに対し、「暗号資産業界は、技術分野以外でのセキュリティを前提に構築されたことは一度もない」と述べ、その後、10億ドル規模の送金について24時間の保留を呼びかけた。

自らもリスクを負う批評家

ヤン氏の批判には異例の背景があります。9月、彼はCoinexが秩序ある事業終了を開始し、2026年12月22日まで出金を継続すると発表していたからです。当時、彼は取引所を運営する上でセキュリティやコンプライアンスのリスクを管理することがますます困難になっていると述べ、「限られた収益のために無制限のリスクを負うことは、もはや合理的な選択ではない」と付け加えた。つまり、バイナンスの失敗を分析したこの創業者は、自身の会社では同じリスクを負う価値はないと判断したのだ。

最後に付言しておきたいのは、ヤン氏が提唱する改善策はいずれも特別なものではないということです。つまり、デバイスの分離、ハードウェアキー、独立した署名者のチェックなどは、どの大手企業にとっても標準的なアドバイスです。バイナンスのようなリソースを持つ企業が、そうした隙を突かれて敗北したという事実は、彼の投稿に痛烈な印象を与えています。

いずれにせよ、その代償は甚大であり、ある分析によると、バイナンスは罰金やハッキングにより、5年分の利益の約半分を失った可能性がある。ハッカーが盗んだ資金を12,000ものウォレットに分散させたことを受け、他の取引所もヤン氏が投げかけたのと同じ問いに直面することになるだろう。すなわち、「基本的な対策は実際に整っているのか？」という問いである。