【63億ドル流出】バイナンスのハッキング手口を解説｜偽の採用面接から始まった4カ月

暗号資産取引所のBinance（バイナンス）は2026年11月3日、10月29日に受けたサイバー攻撃の初期調査結果を公表しました。影響を受けた資産は約63億4,000万ドルで、1ドル=150円で換算すると約9,500億円にのぼります。

攻撃は一度の侵入で起きたものではありません。改ざんされたインストーラー、偽の採用面接、社内AIツールの悪用を組み合わせ、約4カ月かけてホットウォレットの操作権限にたどり着いています。この記事では、Binanceの公式レポートをもとに、攻撃の流れと、個人や企業が教訓にできる点を整理します。

Binanceハッキング事件の概要
ハッキングの手口を時系列で解説
なぜすぐに止められなかったのか
手口から読み取れる3つのポイント
Binanceの対応と今後の対策
私たちが教訓にできること
1. エンジニア・会社員として
2. 暗号資産の利用者として
まとめ
関連記事

Binanceハッキング事件の概要

項目	内容
不正送金の発生日	2026年10月29日（UTC）
影響を受けた資産	約63億4,000万ドル
凍結・阻止できた資産	約28億5,000万ドル（照合と価格変動で変わる可能性あり）
利用者への補填	10月31日時点で、影響を受けたトークン資産の98%を補填済み。利用者に損失は負わせないとしている
初期調査結果の公表	2026年11月3日（Binance公式Xの記事）
攻撃者	FBIが北朝鮮の関与を公表。Binanceは外部機関の判断として紹介し、自社の調査は継続中としている

Binanceは、攻撃者に悪用されないよう、技術的な詳細と防御策の一部を公開していないと説明しています。以下は公表された範囲の内容です。

ハッキングの手口を時系列で解説

公式レポートに登場する社員は3人です。レポートの表記にならい、ここではエンジニアA・B・Cと呼びます。

エンジニアA：ウォレットのDevOps（運用基盤）担当
エンジニアB：ソフトウェアエンジニア。偽の採用面接の標的になった
エンジニアC：ウォレットのソフトウェアエンジニア

第1段階（2026年6月）：改ざんされたHomebrewのインストーラー

エンジニアAは、人気のAIコーディングツールを導入する際に、改ざんされたHomebrew（macOS向けのソフトウェア管理ツール）のインストーラーを使ってしまいました。正規のツールを装ってマルウェアを入れる、サプライチェーン型の手口です。

Binanceの社内チームはこの異常を検知し、端末の交換と認証情報の一括変更を行いました。ところが、その時点でエンジニアAの職務内容や同僚の情報はすでに攻撃者に渡っていました。レポートの時系列を見る限り、この情報がのちの標的選びに使われた可能性があります。

第2段階（2026年9月）：偽の採用面接と「課題」リポジトリ

エンジニアBは、求人サイトを通じて採用担当者を名乗る人物から連絡を受けました。面接は2段階で進み、2回目の面接で、プログラミング課題のリポジトリを業務用PCにダウンロードするよう求められます。この課題に悪意のあるプログラムが仕込まれていました。

Binanceによると、使われたマルウェアは当時の端末防御ツールでは検知できなかったとのことです。転職活動という私的な行動が、会社の端末を通じて社内への入口になりました。

第3段階（2026年10月20日）：社内AIツールを足がかりに横展開

攻撃者は、乗っ取ったエンジニアBの端末と社内のAIツールを足がかりに、エンジニアAとエンジニアCの端末も支配下に置きました。さらに、エンジニアAの端末に、コンテナを展開できる権限のトークンがあることを突き止めています。

社内AIツールがどのように悪用されたのか、具体的な仕組みは初期レポートでは明らかにされていません。

第4段階（2026年10月29日）：署名サービスに入り込み、ホットウォレットから送金

攻撃者はエンジニアCの端末にログインし、エンジニアAから盗んだ認証情報でコンテナを展開して、攻撃用のスクリプトを動かしました。これにより、社内のウォレット署名サービスに不正にアクセスし、通常の出金手続きを通さずに取引を発行できる状態になります。

そのうえで、Ethereumの「EIP-7702」という仕組みを悪用しました。EIP-7702は、アカウントの処理の一部をスマートコントラクトに任せられる仕組みです。攻撃者は、自分が管理するスマートコントラクトにホットウォレットの実行権限の一部を委ねる設定を作りました。この設定があると、Binanceの出金システムを経由しなくても資産を動かし続けられます。

公式レポートに記載された主な流出は次のとおりです。

資産	数量	補足
XRP	約2億3,346万XRP	10月29日20:05〜20:09（UTC）に5つのホットウォレットから送金
SOL	約97万500 SOL	Solanaのホットウォレットから
OP	約4,420万OP	Optimismのホットウォレットから
BTC	18,270 BTC	大口送金の社内アラートで調査を始めた後に発生
ETH	2,961.9 ETH	最後の不正送金。10月29日23:56（UTC）に確定

Binanceは10月30日0:10（UTC）に不正な委任設定を解除しました。それ以降、不正な送金は確認されていないとしています。

なぜすぐに止められなかったのか

Binanceは、不正送金を完全に止めるまでに時間がかかった理由を2つ挙げています。

出金を止めても委任設定は残る：EIP-7702の委任はブロックチェーン上の設定です。出金やホットウォレットのサービスを止めても、それだけでは無効になりませんでした。
MPC方式のため、権限をすぐ取り消せない：Binanceのウォレットは、秘密鍵を複数の関係者に分けて管理するMPC（マルチパーティ計算）方式です。1つの鍵で即座に取り消す操作ができず、専用の手順を作って実行する必要がありました。

鍵を分けて守るMPCは、本来は鍵の盗難に強い仕組みです。今回は、その堅さが緊急時の取り消しを遅らせる方向に働きました。

手口から読み取れる3つのポイント

ここからは公式レポートの内容をもとにした筆者の考察です。

1. 狙われたのはシステムではなく「人」

最初の2つの侵入経路は、ソフトウェアのインストールと転職活動という、社員の日常的な行動でした。システムの脆弱性を突く前に、人の判断を誤らせて内部に入っています。

2. 一度検知しても、漏れた情報は戻らない

6月の侵入は検知され、端末と認証情報は入れ替えられました。それでも、職務や同僚の情報が漏れていたことで、攻撃者は次の標的を選べました。認証情報の変更だけでは、組織の情報が渡った影響までは消せないことがわかります。

3. 開発者の端末とAIツールが「権限の集まる場所」になっている

最終的に資産を動かす鍵になったのは、開発者の端末に置かれたコンテナ展開用のトークンと、複数の社員の端末につながる社内AIツールでした。開発環境やAIツールに権限が集まるほど、そこが攻撃の通り道になりえます。

Binanceの対応と今後の対策

11月3日時点で、Binanceは次の対応を済ませたとしています。

影響を受けたウォレットシステムを新しい環境で再構築
影響を受けた社内AIツールとアクセス制御を再構築
影響を受けた端末を交換し、関係する社員の認証情報とトークンを無効化
全社員の端末を対象にした強化スキャンを完了
法執行機関やブロックチェーン分析企業などと連携し、資産の追跡と凍結を実施

今後は、独立した第三者の専門家による事件全体の検証、AIを使った検知や端末防御、開発環境のセキュリティへの投資拡大を予定しています。調査の進展に応じて情報を追加で公表するとしています。

なお、Binanceによると、同社のセキュリティチームは2026年に入ってから北朝鮮に関連するとみられるサイバー脅威を57件検知し、阻止していたとのことです。

私たちが教訓にできること

今回の手口は、暗号資産取引所に限らず、一般の会社員や個人の開発者にも当てはまります。

エンジニア・会社員として

採用選考で渡されたコードやファイルを、業務用PCで開かない：課題の実行が必要なら、仕事と切り離した環境を使います。
ソフトウェアは公式の入手元から入れる：Homebrewであれば公式サイト（brew.sh）の手順を確認します。
開発端末に強い権限のトークンを置きっぱなしにしない：本番環境に触れる権限は、必要なときだけ使える形にしておくのが安全です。

暗号資産の利用者として

補填や返金を名目にした連絡に注意する：大きな事件の後は、事業者を名乗る偽の連絡が出やすくなります。Binanceも公式ブログでBinanceをかたる詐欺への注意を呼びかけています。
資産の状況は公式の画面で確かめる：Binanceは補填の状況を準備金の証明（Proof of Reserves）のページで確認できるとしています。

不正アクセスなどの被害に遭った場合は、警察庁のサイバー事案に関する相談窓口から、お住まいの都道府県警察の窓口を確認して相談してください。