✅ レポートタイトル：バイナンス（Binance）のホットウォレット侵害とマルチチェーンにおける暗号資産窃取の分析

✅ レポートの要約

• • 2026年10月29日にBinanceのホットウォレットで発生したセキュリティ侵害により、10以上のブロックチェーンで合計約63億~64億ドル相当の資産が窃取された。
• • FBIおよび主要なブロックチェーン分析企業は、今回の攻撃を北朝鮮を背後に持つAPTグループTraderTraitorによる犯行と評価した。
• • 攻撃者はEthereumのEIP-7702権限委任機能を悪用してホットウォレットの資産を繰り返し窃取し、Binanceは出金停止や資産凍結、被害の全額補償などの対応を行った。

📌 バイナンスホットウォレット侵害事故の概要

• • 資産流出開始時刻：TRM Labsによると、2026年10月29日20:05 UTC頃、XRP Ledger上のBinanceウォレットから不正な資産移転が開始された。これはオンチェーンで観測された流出開始時刻であり、最初の内部侵入時刻は公開されていない。
• • 被害規模：Binanceは約63億ドルの被害を発表し、TRM Labsは当時の価格に基づき約63億6,000万ドル、Ellipticは約64億3,000万ドルと集計した。
• • 影響範囲：TRM Labsは、Ethereum、Bitcoin、Tron、XRP Ledger、Solana、Arbitrum、Optimism、Base、Avalanche、Polygonなど10のブロックチェーンにおける資産流出を追跡し、Ellipticは11月1日の更新でNEARなどを含む11チェーンの被害を集計した。
• • Attribution：FBIは10月31日、今回の資産窃取の責任主体を北朝鮮と発表し、背後グループをTraderTraitorと名指しした。ChainalysisとTRM Labsもまた、TraderTraitorによる犯行である可能性が高いと評価しており、EllipticはFBIの発表以前からTraderTraitorを有力な背後勢力と評価していた。
  • ◦ 脅威アクターTraderTraitorとは？ 暗号資産の窃取を目的に活動する北朝鮮系のAPTグループで、2022年4月に米国政府のセキュリティ勧告を通じて知られるようになった。主に暗号資産取引所、DeFiプラットフォームおよび関連企業を標的としてデジタル資産を窃取し、セキュリティ企業によってUNC4899、Jade Sleet、Slow Piscesなどの名称で追跡されている。
    • ◦ 関連レポート：TraderTraitorのGopherGrabberマルウェアに関する詳細分析
    • ◦ 関連レポート：北朝鮮系組織の資金洗浄インフラおよびネットワーク分析

📌 バイナンスホットウォレット侵害事故の内容

• • 1. Binanceが公表した初期調査結果および追加説明
  • ◦ Binanceは、DevOpsエンジニアのノートパソコンの侵害により、攻撃者がサービスコンテナにアクセスし、不正な出金取引を送信した可能性があるとしたが、当時はウォレットの秘密鍵が流出した証拠は確認されなかったと明らかにした。
  • ◦ その後、Binanceは追加の侵害箇所を確認したと発表し、攻撃が単一のエンジニアの権限によるものではなく、複合的なプロセスを経て実行されたと説明した。ただし、攻撃者の初期侵入手段および内部移動経路は公開されていない。
• • 2. オンチェーンで観察された事前準備および資産流出
  • ◦ TRM Labsは、攻撃者が10月28日以降Tornado Cashを通じて運用資金を受け取り、攻撃用コードを展開・テストしていた事前準備の痕跡を確認した。ただし、この記録だけでは内部侵入の時期や方法を判断することはできない。
  • ◦ 10月29日20:05(UTC)頃、XRP Ledgerからの資産流出が始まり、主要な流出は約20分間に集中した。その後23:05頃、AvalancheおよびPolygonでも追加の流出が観察された。
• • 3. EthereumのEIP-7702権限委任の悪用
  • ◦ 攻撃者は10月29日20:20頃、それぞれ異なる連続したnonceを指定した事前署名委任承認50件を1件の取引に含めて提出し、実行時点のnonceと一致する承認が適用された。
  • ◦ 委任されたホットウォレットでは攻撃者のスイーパーコントラクトコードが実行され、資産が窃取された。委任が維持されている間、新たに流入した資産も追加の署名なしに繰り返し移転された。
  • ◦ 当該ホットウォレットが他のBinanceスマートアカウントに対して保有していた実行権限も悪用され、8億2,300万USDCが追加で引き出された。ThreatMonによると、悪意のある委任は10月30日00:10:35に解除されるまで約3時間50分間維持された。
• • 4. 他のウォレットの有効な署名取引および侵害原因の評価
  • ◦ TRM Labsは、他のチェーン上のBinanceウォレットおよびEthereum上の別のホットウォレットでも、有効な署名を含む通常の資産移転取引を確認した。
  • ◦ 異なるチェーンおよび署名方式のウォレットで短時間内に取引が実行された点を根拠に、攻撃者がホットウォレットの署名システムに任意の取引への署名を要求できた可能性を指摘した。ただし、これは分析機関による推定であり、秘密鍵そのものが流出したかどうかは確認されていない。
• • 5. 窃取資産の転換および自動化が疑われる状況
  • ◦ 攻撃者は凍結可能なステーブルコインをETHなどに交換し、融資およびクロスチェーンサービスを利用して資金を移動させた。
  • ◦ Chainalysisは、短時間内の数千件の取引、反復的な1 TRXの支払い、循環送金パターンなどを根拠に、自動化された資金移動の可能性を指摘した。
  • ◦ また、窃取された資金が北朝鮮の犯行と評価された9月のBitget事件の窃取資金とオンチェーン上で混合された形跡を根拠に、今回の攻撃をTraderTraitorの犯行と評価した。
• • 6. Binanceおよび外部機関の対応
  • ◦ Binanceは出金を一時停止し、影響を受けたアドレスの権限を取り消したほか、ブロックチェーンパートナーと協力して関連資産を凍結したと発表した。
  • ◦ 10月30日時点の発表では、約30億ドルがオンチェーン上で凍結されたことを明らかにし、ユーザーの損失をSAFU基金および会社資金で全額補償すると発表した。

✅ 脅威検知の推奨事項と対策方法：

• • 検知
  • ◦ （異常出金）チェーン別および資産別の正常な取引量を基準として、短時間の大規模出金、新規受信アドレス、異常な手数料および取引パターンを検知し、複数のチェーンで同時に発生する異常出金についても相関分析を行う必要がある。
  • ◦ （署名リクエスト）署名サービスに入ってくるリクエストの呼び出し元だけでなく、チェーン、取引対象、金額、nonce、calldata、権限委任の有無をポリシーに基づいて検証する。同一アカウントの連続するnonceに対する大量のEIP-7702委任承認リクエストは、高リスクの兆候として扱うべきである。
  • ◦ （権限委任状態）ホットウォレットのオンチェーンコードおよび委任対象を監視し、承認されていない変更が発生した場合は直ちに警報を発する必要がある。
  • ◦ （開発者およびDevOps端末）端末の認証履歴と運用環境へのアクセス記録を収集し、新しい場所からのセッション再利用、サービス資格情報の使用、および異常なコンテナ変更を確認する必要がある。
• • 初動対応
  • ◦ （取引抑制）侵害が疑われるウォレットからの出金および署名リクエストを停止し、影響範囲を確認する必要がある。
  • ◦ （委任解除）出金停止とは別に、EIP-7702の委任状態を確認する必要がある。悪意のある委任が存在する場合は、事前に検証した手順に従って解除し、オンチェーンに反映されたか確認しなければならない。
  • ◦ （アクセス遮断および証拠保全）疑わしい端末およびサービスアカウントへのアクセスを制限し、認証記録、署名リクエスト、コンテナログおよび取引原文を保全しなければならない。
• • 資産追跡および協力
  • ◦ FBIおよび分析会社が公開する関連アドレスを取引モニタリングに反映し、資金移動経路を追跡しなければならない。
  • ◦ 発行者および運営者に凍結権限がある資産については、関係機関と緊急対応を進める必要があり、凍結や確保、実際の返還の有無は区別して管理しなければならない。
• • 復旧および再発防止
  • ◦ 署名リクエストを提出するシステムと、署名を承認するポリシーの権限を分離し、ウォレットごとの取引限度額および受信アドレスの検証を適用する必要がある。
  • ◦ 侵害されたウォレットが他のスマートアカウントに対して保有する実行権限まで点検し、チェーン別およびウォレット別の承認経路と緊急委任解除手順を検証しなければならない。