Binanceの63.4億ドル流出はどう起きたのか――初期調査報告から攻撃経路を読み解く

2026年11月04日

この記事を簡単にまとめると（AI要約）

1. 初期報告が説明した範囲
2. 入口：偽の採用面接と開発ツールの置き換え
- (１) ６月：社員Aへの侵入
- (２) ９月：社員Bへの侵入と「課題」に仕込まれたコード
3. 侵害の拡大：別の社員の端末と展開権限
4. 送金：署名サービスの悪用とEthereumの委任
- (１) 署名サービスへの不正アクセス
- (２) Ethereumでは「委任」が使われた
- (３) 出金を止めても、委任は残った
5. 判明した範囲と、まだ分からないこと

要点
・Binanceの初期報告が説明した経路は、偽の採用面接で社員の業務用PCに入り、社内の端末と資格情報を数段階たどって、ウォレットの署名の操作に至ったというもので、暗号そのものを破る攻撃ではありません。
・署名サービスが悪用された結果、XRP・Solana・Bitcoinなどでは通常の出金処理の外で送金が行われ、Ethereumでは「EIP-7702」という委任の仕組みでホットウォレットが攻撃者のコントラクトに従わされました。
・出金停止だけではチェーン上に設定された委任は消えず、委任の解除に別の手順が必要だったことが、流出が長引いた理由の一つとして挙げられています。
・社内AIツールの悪用方法、署名サービスに至った仕組み、MPC（後述）での解除手順は開示されておらず、独立レビューもまだ終わっていません。

1. 初期報告が説明した範囲

11月２日の論考では、10月29日（UTC、日本時間では30日早朝）にBinanceで起きた暗号資産史上最大の流出事件を整理し、北朝鮮による暗号資産窃盗と、取引所ビジネスが抱えるテールリスクについて考察しました。その時点で分かっていたのは、DevOps（開発と運用をまたぐ職種）のエンジニアのノートPCが侵害され、内部のサービスコンテナを経て不正な出金指示が送られた可能性があることと、Ethereumではウォレットの権限委譲機能であるEIP-7702も悪用されたことであり、論考は、従業員一人のPCが侵害されただけで起きた事件とは断定できないと留保していました。

前稿ではあわせて、北朝鮮が長い時間をかけて従業員に近づくソーシャルエンジニアリング（人をだまして情報や操作を引き出す手口）の可能性に触れ、ウォレット管理システムを提供する企業の従業員に採用担当者を装って接触したDMM Bitcoinの事例も紹介しました。その後、Binanceは11月３日に初期調査報告を公表し、侵入がどの社員のどの端末から始まり、どの資格情報を使って署名の操作に至ったのかを時系列で説明しており、そこでは９月の偽の採用面接が、ウォレットへ至る侵入の起点として描かれています。本稿はこの報告に沿って攻撃経路を追うことに絞り、取引所経営への含意は前稿に委ねます。

Binanceは影響を受けた資産を約63.4億ドルとし（TRM Labsは流出時点の価格で約63.6億ドルと算出しており、Binanceは評価方法を示していません）、攻撃は「単一の侵害や単純なフィッシングではなく、多段階の作戦だった」と述べています。本稿が答えたいのは、社員一人のPCへの侵入が、なぜ顧客資産を動かす権限にまでつながったのかという問いであり、報告の説明を本稿で整理すると、経路は①入口、②侵害の拡大、③署名サービスへの到達、④送金、の４段階に分けられます（図表１）。

図表１ Binance初期報告が説明した攻撃経路