バイナンス流出した資金、4日足らずで1万2000ウォレットに分散

Ellipticの調査によると、バイナンスから盗まれた資金は4日足らずの間に約12,000のウォレットを経由しました。この一連の操作は11のブロックチェーンにまたがっていましたが、同社は現金化された金額はごくわずかだったと推定しています。

著者

Kevin Helms

公開日: 2026年11月2日 19:15 GMT-5

主なポイント

この作戦では、およそ25秒ごとに1つの新しいウォレットが使用されていました。
Ellipticは、AIエージェントの証拠ではなく、従来の自動化手法が用いられていたことを突き止めました。
11月2日時点では、盗難関連アドレスに約32億4,000万ドルが残っていました。

数千のウォレットが資金洗浄の痕跡を拡大

ブロックチェーン分析企業のEllipticは11月2日、Binanceから盗まれた暗号資産が、4日足らずの間に11のブロックチェーンにまたがる約12,000のウォレットを経由して移動したと報告しました。同社による12,000のウォレットを用いた資金洗浄作戦の分析では、10月29日に発生した64億3,000万ドルの盗難に続く4万件以上の取引が追跡された。Ellipticは次のように述べている。

「この資金洗浄は極めて複雑であり、明らかに自動化されている」

Chainalysisは10月30日、アドレス間の繰り返しの送金や、以前に使用されたウォレットへの戻し送金など、自動化された資金洗浄の疑いのあるパターンを特定していました。多くの受取アドレスは、より多額の残高を受け入れて転送する前に、取引手数料としてTronのネイティブ暗号資産であるTRXを正確に1 TRX受け取っていました。この繰り返される一連の動作は、ソフトウェアが盗んだ資金を再分配していることを示唆していました。

バイナンス共同CEOのリチャード・テン氏は10月30日に公開した動画で、今回の盗難には複数の侵入経路が関与し、承認制御が迂回されたと説明した。当初疑われたノートPCの不正アクセスにとどまらず調査範囲は拡大しており、自己破壊メカニズムによって攻撃ツールや痕跡が消去されたため、取引所の調査は困難を極めている。

自動送金が金庫とビットコインのミキシングへとつながる

Elliptic社は、決まったタイミング、固定された金額、無作為な再試行を確認しました。これらのパターンは、従来のソフトウェアスクリプトによるものであることを示唆しています。同社は、人工知能（AI）ソフトウェアが送金に関する意思決定を行っていたという証拠は見つかりませんでした。

攻撃者はまた、預け入れを受け付け、引き出しを処理するプロトコル契約であるレンディング・ヴォールトを利用し、アドレス間の直接送金を行わずに、あるアドレスから預け入れを行い、他のアドレスへ引き出すことを可能にした。ビットコインのミキシングは11月1日に始まり、11月2日早朝までに約28BTC（220万ドル相当）が18回のコインジョインを経由しました。コインジョインは複数のユーザーのビットコイン入力と出力を共有トランザクションに組み合わせることで個々の動きの追跡を困難にする仕組みです。

資産移動を試みた時期とThorchainの緊急スワップ停止措置が重なりました。ブロックチェーン間の暗号資産スワップを可能にする同プロトコルは、10月31日に10ETHに関わる会計不一致が発生したことを受け、安全対策を発動していました。Chainalysis社によると、この不具合がバイナンス盗難に関連する資金洗浄を意図せず遅らせたということです。

取引所、資金引き出し阻止へ圧力

連邦捜査局（FBI）は10月31日、バイナンス盗難事件を北朝鮮による犯行と断定し、その背後に北朝鮮政府が支援するハッカー集団「Tradertraitor」がいると特定しました。FBIは米国シークレットサービスおよびIRS刑事捜査局と連携し、流出した資金が主にイーサに交換されていることを確認しました。当局は取引所やインフラ事業者、分散型金融（DeFi）サービスに対し、リストに掲載されたアドレスが関与する取引をブロックするよう要請しました。介入方法は関与する資産によって一部異なります。ステーブルコインの凍結やブラックリストによる管理により、発行者は保有者がウォレットの鍵を管理していても、指定されたアドレスからのトークン送金を阻止できます。取引所では別途、入金を制限したり口座を凍結したりすることができ、発行者が管理する凍結機能のない暗号資産に対しても別の介入手段を提供しています。Ellipticのチャートは、10月29日時点の元の形態から交換や凍結を経て、11月2日時点の残高に至るまでの盗まれた資産の推移を追跡しています。これによると、28億5,000万ドルが凍結された一方、攻撃者は40のアドレスにわたり約14億3,000万ドル相当のビットコイン、857のアドレスにわたり13億7,000万ドル相当のイーサを保持し続けています。さらに、1,600万ドルがBitgetの脆弱性を突いて得られた収益を含むアドレスに流入しており、2つの盗難事件による資金の一部が合流したことを示唆しています。

elliptic what happened to the billions stolen from Binance — Binanceから盗まれた資産の分布。帯幅は盗難当時の価値を示し、右側のラベルは11月2日07:00（UTC）時点での推定価値を示している。出典：Elliptic。

ある暗号資産を別の暗号資産に交換しただけでは、それだけで現金化が成立したとはみなされません。Ellipticの推定によると、観測時点では盗難関連アドレスに約32億4000万ドルが残っており、その大部分はイーサとビットコインでした。同社は今後数か月にわたり、店頭（OTC）ブローカーを通じた現金化の試みがなされると予想しています。