Binanceハッキング:何が起きたのか、今何をすべきか、そして本当に身を守るものは何か

Binanceに資金を置いているなら、報道が曖昧にし続けているひとつの区別から始めましょう。これまでのBinanceの説明によれば、2026年10月29日の盗難は同社のシステム内部で起きました。これまでに公表された情報を見る限り、あなたが選んだパスワードも、2FAの方式も、あなた側のどの設定も、この事案には一切関与しておらず、どれも防ぐことはできませんでした。Binanceの説明では、不正な出金は同社のシステム内部から送信されたとのことです。あなたにとっての危険はハッキングの後に始まり、しかもあなたの側にあります。返金詐欺、偽のサポート担当者、悪意ある「請求ポータル」、そして大規模な侵害の後によく出回るトロイの木馬入りアプリです。この記事では、何が起きたのか、何がまだ不明なのか、そして各防御策が実際にどの脅威を止めるのかを整理します。本稿執筆時点で出金は停止されており、Binanceは04:36 UTCの更新から48時間以内の再開を見込んでいます。本記事の内容はすべて2026年10月30日06:40 UTC時点の状況を反映しています。

Binanceで実際に何が起きたのか?

TRM Labsは、約63.6億ドルが10のブロックチェーンにまたがってBinanceから流出し、その大半が10月29日20:05 UTCから始まるおよそ20分間で移動し、続いて23:05 UTC頃に第二波があったと推定しています。Ethereumは約37.9億ドル、Bitcoinは18,270 BTC、約14.7億ドルを占めました。Chainalysisは盗難時点の金額を59.12億ドルとし、同社の共同創業者は後に約64億ドルとTraderTraitorの関与の可能性に言及しました。TRMの計算では、これは2025年2月のBybitでの15億ドルの盗難の約4倍にあたります。

21:29 UTCまでにBinanceは「潜在的なセキュリティ上の問題に関する報告を認識している」と発表し、非公式のリンクやアカウント情報の要求を信用しないようユーザーに警告しました。同社は出金を停止し、10月30日02:25 UTC頃の主要声明で、推定総影響額は「約63億ドル前後」であり、これまでに約30億ドルがオンチェーンで凍結されたと述べました。Binanceによれば、初期調査は、この事案がDevOpsエンジニアのノートパソコンの侵害を伴う可能性を示唆しており、それにより攻撃者がサービスコンテナに到達し、不正な出金トランザクションを送信できたとのことです。Binanceは「ウォレットの秘密鍵の漏洩を示す証拠は一切見つかっていない」とし、この事案は「複数の要因に起因する」と述べています。同社は根本原因を含む包括的な報告書を約束しています。また、Binanceは修復完了後に最新のProof of Reservesを公表するとしています。

TRMによれば、資金はホットウォレット、つまり出金に素早く署名できるよう取引所がインターネットに接続したままにしているウォレットから流出しました。TRMの評価では、「最も可能性の高い説明」は、攻撃者がテスト用ウォレットでリハーサルを行ったうえで、Binanceのホットウォレット署名システムにトランザクションへ署名させたというものです。TRMはこの攻撃を北朝鮮のTraderTraitorグループによるものと「高い確度で」帰属させており、Chainalysisの共同創業者もTraderTraitorを指摘しています。いずれもアナリストによる評価です。FBIはBybitの盗難を同グループによるものと帰属させましたが、今回の事案について声明を出した政府はありません。

Binanceは、SAFUファンドと会社資金からすべての損失を補填するとし、「ユーザー資金は安全です」と述べています。これらはBinanceが自ら表明した約束です。規模感としては、CoinDeskの報道によれば、SAFUはビットコインで約10億ドルを保有し、2018年に設立されたもので、DefiLlamaによればBinanceはハッキング前に約1,440億ドルを保有していたため、盗難は資産の約4%にあたります。PTC Newsによれば、Binance.USは影響を受けなかったと伝えられています。

まだ確認されていないことは?

かなり多くあります。以下は確定した事実ではなく、未解決の問いとして扱ってください。

• 根本原因。ノートパソコンという説明はBinanceの初期的な示唆であり、Binance自身も複数の要因が関与したと述べています。侵害されたコンピューター1台で10のチェーンにまたがる署名を説明できるかは確立されていません。
• 最終的な損失額。Binance、TRM、Chainalysisの数字は食い違っており、今も変動しています。
• どれだけ戻ってくるか。凍結とは、Tetherのような発行体、あるいは一件についてはチェーンのセキュリティカウンシルが、盗まれたトークンのオンチェーンでの移動をブロックしたことを意味します。返還とは資金が元の場所に戻ることであり、返還は報告されていません。TRMは、発行体が約26.7億ドルを凍結したと推定しており、その内訳はTetherによる約17.7億USDT、Circleによる8.25億USDCを含みます。しかしTRMはまた、420,000 ETH超と18,270 BTC、約24億ドルが「いかなる発行体の手も届かない」状態にあると推定しています。CoinDeskの報道によれば、ビットコインは誰も凍結できない19のウォレットに分割され、04:23 UTC時点でコインを動かしたものはありませんでした。仮に凍結されたトークンがすべて戻ったとしても、約33億ドルが残り、SAFUの約10億ドルではその3分の1未満しかカバーできず、Binanceは残りを会社資金で補填すると述べています。
• 帰属。TRMとChainalysisはTraderTraitorを指摘していますが、今回の事案に関する政府声明は存在しません。
• ユーザーとデータ。Binanceの声明には、影響を受けたユーザー数の記載も、アカウントが個別に侵害されたという記述も、個人データについての言及もどちらの方向にもありません。
• 時期。Binanceは04:36 UTCに、出金サービスのセキュリティ刷新が完了するまでの間、出金は「48時間以内に再開する」見込みだと述べました。
• 入金。Binance自身の文言にはっきりとした矛盾があります。00:13 UTCと02:25 UTC頃の声明では、入金と出金が一時的に停止されたとしていました。04:36 UTCの更新では「入金は影響を受けておらず、通常どおり稼働を続けています」と述べています。Binanceはこの違いを説明していません。

Binanceを使っているなら、今すぐ何をすべきか?

これらのステップのどれも、今回のハッキングを防ぐことはできなかったはずです。しかしすべてが、攻撃者や詐欺師がこれからあなたに対してできることを減らします。

1. 公式チャネルのみを使う。Binanceは、最新情報についてBinanceの公式チャネルのみに頼るようユーザーに求めました。リンク、メールアドレス、電話番号、SNSアカウントを信用する前に、Binance Verifyに貼り付けて確認してください。Binanceのセキュリティのヒントには、同社が電話をかけたり、WhatsAppその他のソーシャルメディアでメッセージを送ったりすることは決してないと書かれています。本物のBinanceメールにあなただけが知るフレーズが付くよう、アンチフィッシングコードを設定しましょう。
2. 返金、請求、ロック解除のメッセージはすべて詐欺とみなす。Binanceによれば、同社が非公式チャネルを通じてプレゼントやアカウントのロック解除を持ちかける連絡を自ら行うことはなく、私的な連絡を通じて資金を要求することも決してありません。資金回収サービスも、装いを変えた同じ罠です。Revoke.cashが述べるとおり、「シードフレーズを必要とする正当な回収プロセスは存在しません」。回収を約束する相手に前払い料金を支払ってはいけません。
3. APIキーを監査する。取引ボットやポートフォリオトラッカーを接続したことがあるなら、キーを見直してください。BinanceのAPIガイダンスは、すべてのキーにIPホワイトリストを使用し、単一のキーにすべての権限を付与しないよう推奨しています。IPホワイトリストのないキーは出金を開始できず、ホワイトリスト未設定の非アクティブなキーは30日後に削除されます。見覚えのないものはすべて削除してください。
4. 出金ホワイトリストを有効にする。Binanceによれば、有効にするとホワイトリスト上のアドレスにしか出金できず、アドレスの追加には2FAが必要で、ホワイトリストの変更により出金が24、48または72時間停止される場合があります。Whitelist Withdrawal Limitは、新しく追加されたアドレスへの出金をさらに遅らせます。この待ち時間こそが肝心です。誰かがあなたのアカウントに侵入した場合に、時間を稼いでくれます。
5. デバイスとログイン履歴を確認する。Binanceはログイン試行の記録を保持しています。確認し、見覚えのないデバイスやセッションを削除してください。
6. パスワードと2FA、正直なところ。Binanceの声明はユーザーにパスワード変更を求めておらず、個人データについてもどちらの方向にも何も述べていません。それでも、別のサイトで使い回している場合、ハッキングに関するメッセージのリンクをクリックした場合、コードを誰かに読み上げたことがある場合は、変更してください。そして第二要素をアップグレードしましょう。Binanceは「SMS認証の代替手段として」パスキーまたは認証アプリをサポートしています。両者は同等ではありません。詳しくは後述します。

このようなハッキングの後にはどんな詐欺が続くのか?

有名な侵害の直後の数時間は、なりすまし犯にとって書き入れ時です。恐怖は人をクリックさせるからです。Chainalysisは、なりすまし詐欺が2025年に2024年比で1400%以上増加し、詐欺による平均支払額が2024年の782ドルから2025年には2,764ドルに上昇したと報告しています。次のようなパターンを想定してください。

• 返金メール。「期限前に補償を請求してください」。リンク先は偽のログインページで、あなたのパスワードと2FAコードをリアルタイムで収集します。
• サポートの電話。Binanceのセキュリティ担当を名乗る人物が、あなたのアカウントが危険だと告げ、「本人確認」の手順を案内します。Binanceは電話をかけることは決してないと述べています。
• 回収の専門家。資金を失った後、親切な見知らぬ人が有料で追跡を申し出たり、ウォレットを「同期」するためにシードフレーズを求めたりします。どちらの要求も行き着く先は同じです。
• ロック解除サービス。出金が停止されている間、早めに資金を引き出せる特別ルートの勧誘が来ることを想定してください。Binanceは、非公式チャネルを通じてアカウントのロック解除を提供することはないと述べています。

なぜ焦らせる手口が効くのでしょうか。FTCが指摘するとおり、暗号資産の支払いは通常、取り消しができず、盗まれたウォレットからの資金回収を手助けできる人は見つからない可能性が高いからです。詐欺師に必要なのは、たった一度の署名済みトランザクションです。

暗号資産を全般的にどう守るか?

まずトレードオフから始めましょう。コインを取引所に置いておくと、今回のような取引所側の侵害にさらされますが、その代わりに、Binanceが表明したように、プラットフォームが全額補償を約束する場合があります。自分で鍵を保有すれば取引所は完全に方程式から外れますが、残るすべてのリスクがあなたに移ります。Chainalysisは2025年に158,000件の個人ウォレット侵害と80,000人のユニークな被害者を数え、個人から7億1,300万ドルが盗まれたとしています。これは2024年のピークである15億ドルからは減少していますが、こうした損失を補填する取引所型の保証はありません。私たちはどこに資金を置くべきかを指図しているのではありません。リスクは資金と一緒に移動する、と伝えているのです。

どのような組み合わせを選ぶにせよ、次の習慣は有効です。

• ハードウェアウォレットが実際に何をするのかを知る。秘密鍵を別のデバイスに保管し、そこでトランザクションに署名するため、侵害されたコンピューターが鍵を持つことはありません。ただし、デバイスの画面で承認する内容を読む必要があるのは変わりません。
• シードフレーズはオフラインで保管する。紙か金属に書き、決して写真に撮らず、決してウェブサイトに入力せず、決して共有しないでください。それを求める人は、どんな名目であれ、あなたのウォレットを奪おうとしています。
• コードよりパスキーとハードウェアキーを優先する。パスキーは本物のウェブサイトに紐付けられます。WebAuthn標準の下では、クレデンシャルは単一の依拠当事者にスコープされ、そっくりの偽ドメインでは使用できません。認証アプリは良い手段ですが、巧妙なフィッシングページはそのコードをリアルタイムで中継できます。SMSは最も弱い選択肢です。NISTのガイダンスはSMSと音声による認証を制限付きの手段として扱っています。また、「パスワードはフィッシング耐性がない」とはっきり述べています。
• 出金アドレスをホワイトリストに登録する。対応しているすべての取引所で設定すれば、盗まれた認証情報だけではコインの送り先を変えられなくなります。
• 古いトークン承認を取り消す。DeFiを使うなら、承認は「スマートコントラクトにあなたの代わりにトークンを使う許可を与える」ものであり、Revoke.cashによれば、無期限に有効なままです。Revoke.cashまたはEtherscanのトークン承認ページで見直し、不要になったものを切ってください。
• 専用のメールアドレスを使う。取引所アカウントには他のどこでも使わないメールアドレスを使えば、無関係なサービスでの漏洩が攻撃者にあなたの暗号資産のログイン情報を渡すことはありません。
• ウォレットアプリは公式ソースからのみダウンロードする。アナリストが名指しするグループにとって、これは仮定の話ではありません。CISAのTraderTraitorに関する勧告は、暗号資産企業の従業員に対し「採用活動を装い、高額報酬の仕事を提示する」スピアフィッシングメッセージを送り、被害者にWindowsまたはmacOS上でトロイの木馬入り暗号資産アプリケーションをダウンロードさせる手口を説明しています。同じ手口を個人に向けたものが、偽のウォレットアップデートです。

パスワードマネージャーからアップデートの習慣まで、より広い基本については、当社のオンラインセキュリティハブと2026年10月サイバーセキュリティ週間まとめをご覧ください。

どの防御策がどの脅威を止めるのか?

手元に置いておく価値のある表です。まず取引所側の列から読んでください。

取引所側の列を見てください。取引所側の侵害に対しては、ほぼすべての行が「いいえ」です。これまでのBinanceの説明によれば、攻撃は同社のシステム内部で実行されたからです。唯一の「はい」はコインを自分で保有することですが、その行には固有のコストが伴います。Chainalysisが2025年に数えた158,000件のウォレット侵害は、取引所ではなく個人のウォレットで起きました。すべての列で勝てる行はありません。だからこそ、賢明なのはひとつを選ぶことではなく、重ねることです。

VPNは実際にどこで役立つのか?

VPNはこの表の1つの列に位置し、もう1つの列に部分的に関わります。Le VPNはデバイスとVPNサーバー間の通信を暗号化するため、同じカフェや空港のネットワークにいる人があなたの通信を読むことはできず、ISPはあなたがどのサービスを使っているかを見ることができません。自宅以外で取引所やウォレットを確認することがあるなら、これは重要です。当社の公共Wi-Fiセキュリティのガイドをご覧ください。Threat Protection(WindowsとAndroidではBlock Online Threats)は現行アプリのスイッチで、既知の悪意あるドメインのDNSベースのブロックを追加し、フラグ付きのフィッシングサイトへの到達を止められますが、1時間前に登録されたページはまだどのリストにも載っていない可能性があります。Data Breach Scannerは有効なサービスに含まれており、Le VPNアカウントのメールアドレスを既知の漏洩と照合し、見つかった場合はメールで通知します。

そして、VPNにできないことはこうです。すでにデバイス上にあるマルウェアは止められません。誰もフラグを立てていないフィッシングページはブロックできません。Binanceの説明によればこの侵害は同社のシステム内部で起きたため、VPNはこの侵害には一切関係しませんでした。取引所の利用規約や、取引所がどの国にサービスを提供するかを変えることもありません。また、新しいIPアドレスからの接続は取引所で追加のセキュリティ確認を引き起こす場合があるため、追加の確認画面を想定してください。暗号資産の構成の中でこのツールがどこに収まるのか、全体像についてはVPNと暗号資産のセキュリティの記事をお読みください。

Binanceが事後報告書を公表するまで、このハッキングに関する事実は同社の公式アカウントと名前の明らかなアナリストから得られるものです。メール、電話、DM、ポップアップなど、この件についてあなたに連絡してくるそれ以外の誰もが、あなたから何かを得ようとしています。