日本時間2026年10月30日早朝、暗号資産取引所バイナンスのホットウォレットが攻撃を受け、約63億ドル（約9907億円）相当の暗号資産が流出した。バイナンスは30日付の公式発表で被害を認めた。デジタル資産の盗難として過去最大規模とみられる。攻撃者は約15～20分で、複数のブロックチェーンをまたいで数十億ドル（数千億円以上）の資産を移した。流出は短時間に集中したものの、その後も資金移動が続いた。高度な攻撃者は、取引所のセキュリティーチームが対応するより速く資産を動かせる。暗号資産取引所は、利用者が預けたデジタル資産を本当に守れるのか。資金移動の速さは、明快で差し迫った問いを突きつけている。
問題はバイナンス固有の運営に限らない。暗号資産業界が長年抱えてきた構造的な弱点は、もはや見過ごせなくなっている。
※編注：Binance Japanは2026年10月30日、国内利用者の暗号資産は海外の被害対象となったホットウォレットとは別に保管しており、利用者資産への影響は確認されていないと発表した。同社は予防措置として暗号資産の出庫を一時停止したが、暗号資産の入庫・売買と法定通貨の入出金は通常どおり利用できるとしている。
2018年に明らかだった取引所の弱点は、攻撃が高度化した現在も残っている
2018年、大規模な暗号資産の盗難が相次ぎ始めた時期に、私はいくつかの事例を取り上げた。暗号資産の採掘に必要な計算能力を売買するサービス「NiceHash」、イーサリアムに関連する脆弱性の悪用、暗号資産取引所マウントゴックスの破綻である。当時から、多くの取引所やデジタルウォレットに、銀行など従来の金融分野では標準となっていた多層的なサイバー防御が欠けていることは明白だった。高額な暗号資産が防御の弱いシステムに保管され、取引を取り消すことも難しかった。暗号資産価格の急騰は、サイバー攻撃を専門とする者に強い動機を与えていた。詳しくは、拙稿「暗号資産のサイバーセキュリティー対策」を参照してほしい。
当時と比べ、攻撃組織の規模、資金移動の速さ、技術の高度さは大きく変わった。国家を背景とする組織、特に北朝鮮と関係する組織は、取引所のシステム基盤に侵入し、運用システムを攻撃し、巨額の資産を極めて効率的に移せる能力を繰り返し示してきた。バイナンスで起きた事件は、暗号資産業界がほぼ10年にわたり目にしてきた攻撃の高度化を、さらに加速させるものだ。
ソフトウェアの開発と運用を連携させるDevOps環境、インターネットに接続して資産を管理するホットウォレット、取引の電子署名を行うシステムは、今も攻撃を受けやすい。バイナンスは当初、開発・運用を担当する技術者のノートパソコンが侵害された可能性を示していた。その後の調査で別の侵入箇所も確認したと発表した。ウォレットの秘密鍵が漏れた証拠は見つかっておらず、侵入の経緯は引き続き調査中だ。攻撃者が十分な権限を奪えば、ブロックチェーンの取引記録を後から変更しにくい性質や、異なるチェーン間で資産を移せる仕組みが、かえって防御側に不利に働く。自動化した攻撃は数分で複数のブロックチェーンに資産を移せるのに対し、従来の事故対応は数時間単位だ。セキュリティー対応の速さが追いついていない。
