バイナンス流出資金の約31億ドルが「まだ洗浄されていない」――Elliptic報告、8週間の侵入と凍結44%の攻防

ブロックチェーン分析会社Ellipticは2026年11月6日、バイナンスから盗まれた64億3,000万ドルの追跡状況を更新した。約31億1,000万ドルが犯人に関連するアドレスに残ったままで、洗浄はまだ半分も進んでいない。一方で約28億5,000万ドル（44%）は凍結・押収され、2025年2月のBybitの事件で凍結できた約3%とは大きく違う。米連邦捜査局（FBI）は10月29日の盗難を北朝鮮のハッカー集団TraderTraitorによるものと断定している。侵入は9月から約8週間かけて進み、犯人は偽の採用活動と社内のAIツールを使ってウォレットの運用にまで到達した。盗まれたビットコイン1万8,270 BTCは犯行の日以来、動いていない。

結論――64億3,000万ドルの「今」：半分はまだ犯人の手元、44%は凍結された

2026年10月29日、世界最大の暗号資産取引所バイナンスから約64億3,000万ドル相当が盗まれた。暗号資産の歴史で最大の盗難だ。あれから1週間が経ち、ブロックチェーン分析会社Ellipticが11月6日に追跡状況を更新した。結論から言えば、盗まれた資金の約半分はまだ犯人の手元にあり、もう半分近くは凍結・押収されている。洗浄が進んだのは、全体の1割にも満たない。

Ellipticによれば、約31億1,000万ドルが犯人に関連するアドレスに残ったままで、大半はETHとビットコインだ。Ellipticは、この資金は「北朝鮮が保有している可能性が非常に高い」としている。米連邦捜査局（FBI）は10月29日の盗難を、北朝鮮のハッカー集団TraderTraitorによるものと断定している。北朝鮮側は関与を否定しているが、FBIの断定とEllipticの分析は同じ方向を向いている。

もう一方の大きな数字が、凍結・押収された約28億5,000万ドルだ。全体の44%にあたる。大半はステーブルコインで、テザーやサークルなどの発行体が盗難から1時間以内に凍結したものだ。テザーは盗難から37分で9億7,110万USDTを凍結したと、TRM Labsは伝えている。TRM Labsの幹部は「これほどのことは今までなかった」と述べ、最初の段階で40%を取り戻せたとしている。凍結の速さと規模は、過去の事件と比べても異例だ。

比較の対象になるのが、2025年2月のBybitの事件だ。同じTraderTraitorによるものとされる15億ドルの盗難で、凍結できたのは約3%にとどまった。今回は44%だ。何が違ったのか。発行体の対応の速さと、TRM Labsが2025年に立ち上げた情報共有の仕組み「Beacon Network」が挙げられる。TRM Labsの幹部によれば、通常は1日に数件しか来ないBeaconのアラートが、事件後の数日で数百件から千件近く届いたという。業界全体で資金を止めに動いた結果が、44%という数字につながった。

ただし、44%が凍結されたからといって、事件が解決したわけではない。残る約31億1,000万ドルは犯人の手元にあり、洗浄の作業は続いている。Ellipticは、犯人はETHをビットコインに交換し、OTCブローカーや取引所を通じて数か月かけて現金化すると見ている。Bybitの事件では、盗まれた49万9,000 ETHの洗浄は10日で終わったが、現金化には数か月かかった。今回も、資金の行方はまだ長い追跡が必要だ。

この記事では、Ellipticの報告を軸に、Cointelegraphが伝えたSEALとTRM Labsの報告を突き合わせて、資金の現在地、洗浄の手口、8週間の侵入の経緯、凍結が44%に達した理由、そして市場の反応までを掘り下げる。報道各社の数字に小さな食い違いがある箇所も、そのまま示す。

資金の内訳――31億1,000万ドルはどこに残っているのか

まず、盗まれた64億3,000万ドルの内訳を整理する。Ellipticの報告によれば、約31億1,000万ドルが犯人関連のアドレスに残り、約28億5,000万ドルが凍結・押収された。残りの約4億7,000万ドルが、洗浄や交換が進んだ分にあたる。ただし、この約4億7,000万ドルは総額から残留分と凍結分を引いた残りで、Ellipticが公表した公式の内訳ではない。資金は交換やブリッジの過程で形を変えるため、きれいに分けられない部分がある。目安として読んでほしい。

残留分の内訳で、最も大きいのがビットコインだ。盗まれた1万8,270 BTC（犯行時点で約15億ドル）は、犯行の日に19のアドレスへ分けられ、その後一度も動いていない。ETHも同様で、犯人のETHの89%を握る大口9アドレスは、10月30日以来動いていない。つまり、盗まれた資金の核となる部分は、犯行から1週間以上、まったく動いていない。犯人は急いで動かすのではなく、時期を見ているとみられる。

一方で、動いている資金もある。TRXは約2億2,000万ドル分が洗浄の対象になり、SOLは盗まれた約8,700万ドル分がすべて交換・ブリッジ・混合を終えた。XRPは約5,000万ドルが交換され、約2億2,600万ドルがまだ残っている。ビットコインへの交換は約1,650 BTC（約1億2,400万ドル）まで進み、1日前のほぼ2倍になった。動きがあるのは、比較的小さな資産や、交換しやすい資産からだ。

この動き方には、理由があると考えられる。ビットコインとETHの大口は、動かせばすぐに目立つ。1万8,270 BTCを動かせば、追跡する側はすぐに気づく。だからこそ、犯人はまずTRXやSOL、XRPといった、追跡の目が届きにくい資産から動かしている。Ellipticの報告を読む限り、犯人の優先順位は「目立たない資金から、少しずつ」だ。大きな資金は、後回しにされている。

凍結・押収された約28億5,000万ドルについては、もう少し詳しく見ておきたい。Ellipticによれば、大半はステーブルコインで、発行体が盗難から1時間以内に凍結したものだ。TRM Labsの数字では、ステーブルコインの発行体が凍結したのは約26億7,000万ドルで、Ellipticの28億5,000万ドルとは約1億8,000万ドルの違いがある。これは、Ellipticの数字が凍結と押収の合計で、TRM Labsの数字がステーブルコインの凍結だけを数えたものとみられる。対象範囲の違いで、どちらかが間違っているわけではない。詳しくは後半の突き合わせの章で示す。

なお、総額そのものにも報道による違いがある。Ellipticは64億3,000万ドル、TRM Labsは63億6,000万ドル、SEALは63億ドルとしている。価格の時点や、盗まれた資産の評価方法の違いとみられる。本記事では、Ellipticの64億3,000万ドルを基準にしつつ、他の数字も併記する。

関連記事として、バイナンスの出金再開の経緯は出金の段階的再開の記事、準備金の状況はSAFU準備金の記事で扱っている。あわせて読むと、事件後のバイナンスの対応の全体像がつかめる。

洗浄の手口――2万のウォレット、16のチェーン、6万5,000件の送金

Ellipticは、今回の洗浄を「非常に複雑で、明らかに自動化された」ものと表現している。使われたのは2万超のウォレット、16のブロックチェーン、36以上のサービス、6万5,000件以上の送金だ。新しいウォレットは約30秒に1つ生まれるペースだった。人の手でやるには速すぎる。機械的なプログラムが、資金を細かく分け、次々と送っていたとみられる。

洗浄の流れを、資産ごとに追ってみよう。最も規模が大きかったのがTRXで、約2億2,000万ドル分がトロン上で動いた。1つの配布用ウォレットが、684.6M TRXを51時間かけて数百の新しいアドレスへ送った。平壌の夜の時間帯も含めて、送金は止まらなかったという。送られたTRXのほぼすべてが、イーサリアムへブリッジされた。トロンからイーサリアムへ移すことで、追跡の鎖をいったん切る狙いがあるとみられる。

SOLは、盗まれた約8,700万ドル分がすべて交換・ブリッジ・混合を終えた。XRPも動き始めている。約5,000万ドルが交換され、大半はクロスチェーンのサービス「THORChain」を通じてビットコインへ変えられた。残る約2億2,600万ドルは、まだ動いていない。XRPの動きは、THORChainへの依存が目立つ。THORChainは、異なるチェーンの資産を交換できる仕組みで、追跡を難しくする経路として使われたとみられる。

ビットコインへの交換は、約1,650 BTC（約1億2,400万ドル）まで進んだ。1日前のほぼ2倍のペースだ。ただし、全体から見ればまだ小さい。盗まれた資金のうち、ビットコインに変えられたのは2%にも満たない。Ellipticは、犯人は最終的にETHをビットコインに交換し、OTCブローカーや取引所を通じて現金化すると見ている。ビットコインは、現金化の前の「集約先」として使われるとみられる。

混合の手段も使われている。約33 BTC（約250万ドル）が、Wasabi式のコインジョインで混合された。コインジョインは、複数の利用者の資金を混ぜ合わせて、どれが誰の資金か分からなくする仕組みだ。さらに、約110万ドル分のETHとSOLが、プライバシープール「Privacy Cash」に預けられた。Privacy Cashは、預け入れを約1日止めた。金額は全体から見れば小さいが、混合の手段が使われ始めたことは、洗浄が次の段階に入ったことを示している。

洗浄の速さから、「AIエージェントが資金を動かしているのではないか」という見方も出た。だがEllipticは、証拠は従来の自動化を示しており、「AIエージェントが判断を下している様子は見られない」としている。速いのは、プログラムが機械的に送金を繰り返しているからで、AIが判断しているわけではないという見方だ。自動化とAIは、似ているようで違う。今回の洗浄は、決まった手順を高速で繰り返す自動化で、状況に応じて判断を変えるAIの動きは確認されていない。

洗浄の全体像をまとめると、犯人は「細かく分ける」「チェーンをまたぐ」「交換する」「混ぜる」という4つの手段を組み合わせている。だが、資金の核であるビットコイン1万8,270 BTCとETHの大口は動いていない。洗浄が進んでいるのは、全体の1割にも満たない部分だ。残りの資金をどう動かすかが、今後の焦点になる。

8週間の侵入――6月の最初の侵入から10月29日の犯行まで

今回の事件で、資金の動きと同じくらい重要なのが、犯人がどうやってバイナンスの内部に入ったかだ。非営利のサイバーセキュリティ団体SEALは、北朝鮮系のハッカーが犯行の約8週間前からバイナンスのシステムに入っていたと報告した。だが、バイナンスによれば、攻撃キャンペーン自体は6月から始まっていた。期間の数え方が違う。整理してみよう。

SEALの報告によれば、犯人は9月に、バイナンスのソフトウェアエンジニアの端末を侵害した。手口は、偽の採用活動だ。採用担当者を装ってエンジニアに接触し、マルウェアを仕込んだ。SEALは、この9月の侵害から10月29日の犯行までを「約8週間」と数えている。犯人は、citalab.net、citalab.com、bitfit.io、oddium.ioといった偽のフロント企業を使っていたとされる。採用を装った接触は、北朝鮮のハッカー集団がよく使う手口で、他の事件でも確認されている。

一方、バイナンスの説明では、攻撃は6月から始まっていた。6月には、別の従業員がAIコーディングツールを入れようとして、改ざんされたHomebrewをダウンロードし、端末が侵害された。バイナンスは異常に気づいて端末を交換し、認証情報を回転させた。だが、犯人はすでにウォレット基盤の担当者についての情報を得ていた。6月の侵害は、直接の犯行にはつながらなかったが、後の侵入の下見になっていたとみられる。

転機になったのが10月20日だ。犯人は、9月に侵害したエンジニアの端末と社内のAIツールを使い、ウォレット基盤のエンジニア2人の端末を掌握した。そして、犯行に使われた「デプロイ許可トークン」を発見した。バイナンスによれば、ウォレットの運用に届く権限を得たのは、この日が初めてだ。つまり、6月と9月の侵害は「入り口」で、10月20日にようやく「金庫の鍵」に届いた。犯行は、その9日後の10月29日に起きた。

SEALは、こうした多段階の侵入は、他の事件でも見られると指摘している。Bitgetの約3億8,800万ドルの事件では約6週間、LayerZeroの脆弱性につながったKelp DAOの約2億9,300万ドルの事件では約6週間、AFXの約2,400万ドルの事件では約3週間の侵入期間があったとされる。犯人は、時間をかけて内部に入り、権限を広げ、最後に資金を動かす。今回の8週間は、特別に長いわけではなく、むしろこの手口の典型的な期間だ。

バイナンスのポストモーテム（事後報告）は11月3日に公表された。犯人が採用担当者を装ってエンジニアの端末にマルウェアを仕込み、社内のAIツール経由でウォレット署名サービスに到達した経緯が説明された。AIツールが侵入の経路になった点は、今回の事件の特徴のひとつだ。社内の便利なツールが、犯人にとっては内部へ進むための足場になった。

この経緯から読み取れるのは、犯行が「1日の出来事」ではなく、「数か月がかりの作戦」だったことだ。6月の下見、9月の侵入、10月20日の権限の掌握、10月29日の犯行。段階を踏んで進んだ。取引所の防御は、1つの侵入を防ぐだけでは足りず、数か月にわたる動きを見つけ出す必要がある。SEALの報告は、その難しさを示している。

なぜ44%も凍結できたのか――Bybitの3%との違い

今回の事件で最も目を引く数字のひとつが、凍結・押収の44%だ。2025年2月のBybitの事件では、凍結できたのは約3%だった。同じ犯人グループによる事件で、なぜここまで違うのか。理由は、発行体の対応の速さと、業界の連携の仕組みにある。

まず、発行体の対応だ。テザーは盗難から37分で9億7,110万USDTを凍結した。サークルなどの他の発行体も含め、ステーブルコインの発行体が盗難から1時間以内に凍結に動いた。TRM Labsの幹部の言葉を借りれば、「これほどのことは今までなかった」という。凍結の速さが、資金が動く前に止めることにつながった。ステーブルコインは、発行体が凍結できる仕組みを持っている。ビットコインやETHと違い、発行体が「その資金は使えない」と止められる。今回、その仕組みが最大限に働いた。

次に、業界の連携だ。TRM Labsが2025年に立ち上げた情報共有の仕組み「Beacon Network」が、事件後の数日で数百件から千件近くのアラートを出した。通常は1日に数件しか来ないアラートが、事件後には桁違いの量になった。取引所や分析会社が、盗まれた資金の動きを共有し、資金を受け取らないようにした。資金を止めるには、1社だけでは足りない。受け取り側の取引所やサービスが、盗まれた資金だと分かって受け取らなければ、資金は動けなくなる。Beacon Networkは、そのための連絡網として働いた。

ただし、連携の仕組みには課題もある。TRM Labsとトロン、テザーが2024年9月に作った「T3 Financial Crime Unit」は、2026年8月下旬に解散したと、ブルームバーグが11月4日に報じた。対応の遅さや連携の悪さが理由とされたという。テザーは、Beaconを通じてTRM Labsとの連携を続けるとしているが、T3の解散は、連携の仕組みが万全ではなかったことを示している。今回の44%は、T3がなくなった後の連携で達成された数字だ。

TRM Labsの幹部は、今回の対応を評価しつつも、抑止にはならないと警告している。北朝鮮の10月29日の盗難は、同国の国内総生産（GDP）の約3分の1にあたり、2017年以降に国家が関与したハッカーが盗んだ125億ドルの半分にあたるという。仮に10億ドルしか回収できなくても、犯人にとっては大きな利益になる。「北朝鮮は、効果がある限りこれを続けるだろう」と同幹部は述べ、「これはサイバー戦争だ」とも語った。凍結が進んでも、犯行の動機が消えるわけではない。

44%という数字の読み方にも注意が必要だ。凍結された資金が、被害者に返ってくるかどうかは、まだ分からない。凍結は「資金を止める」ことで、返還とは別の手続きが必要だ。押収された資金についても、法的な手続きを経て、返還されるかどうかが決まる。凍結の速さは評価できるが、資金が戻るまでの道のりは、まだ始まったばかりだ。

なお、同じ週には別の事件も起きている。チェイナリシスの侵害では、全ユーザーのパスワードハッシュと有効なトークンが流出し、主要サービスが停止した。バイナンスの事件と直接の関係はないが、暗号資産の業界全体で、セキュリティへの関心が高まっている週だった。

当サイトの観測値――ビットコイン7万5,717ドル、恐怖・貪欲指数は「極度の恐怖」

ここからは、当サイトの観測値を見てみよう。スナップショットの取得時刻は2026年11月8日01:01 JSTで、Ellipticの報告（11月6日）の後、市場の反応が反映されるタイミングだ。ビットコインは7万5,717ドルで、前日比は-0.19%だった。ETHは2,235ドル（前日比+0.23%）、SOLは89.47ドル（前日比-1.37%）、DOGEは0.0715ドル（前日比-2.14%）、HYPEは77.33ドル（前日比-1.19%）だった。恐怖・貪欲指数は25で、「極度の恐怖」の水準だ。

7日間の終値をたどると、11月5日に8万478ドルまで戻した後、11月6日に7万6,078ドルへ急落し、11月7日は7万5,835ドル、11月8日は7万5,717ドルと、横ばいに近い動きが続いている。11月5日の反発は、中間選挙の結果を受けた動きで、11月6日の急落はAI株の急落に連動したものとみられる。詳しくは選挙ラリーが1日で消えた記事で扱った。Ellipticの報告が出た11月6日の下落は、AI株の動きと重なっており、報告そのものが直接の引き金になったとは言いにくい。

デリバティブの側も、過熱した様子はない。Hyperliquidのビットコインの建玉は約31億ドル、資金調達率は0.00125%で、横ばいが続いている。Hyperliquid全体の建玉総額は約101億ドル、24時間の出来高は約21億5,000万ドルだった。HYPEの建玉は約17億2,000万ドルで、資金調達率はほぼゼロだ。資金調達率がほぼゼロで推移していることは、レバレッジをかけた買いも売りも、どちらかに大きく傾いていないことを示している。事件のニュースに、市場が大きく反応した様子はない。

恐怖・貪欲指数が25の「極度の恐怖」にあることは、市場のセンチメントが弱いことを示している。だが、これは11月6日の急落の余波とみるのが妥当で、Ellipticの報告だけが原因ではない。ビットコインの価格が7万5,000ドル台で横ばいを続けていることとあわせて読むと、市場は「事件のニュースには大きく反応せず、全体の相場の弱さが続いている」という状態だ。

もうひとつ、注意しておきたい点がある。盗まれたビットコイン1万8,270 BTCが動き出せば、市場への影響は小さくない。1万8,270 BTCは、取得時点の価格で約13億8,000万ドルにあたる。犯人がこれを一度に売れば、価格への圧力になる。だが、Ellipticの見立てでは、犯人は数か月かけて少しずつ現金化する。Bybitの事件でも、現金化には数か月かかった。市場が意識すべきなのは、「いつ売られるか」ではなく、「少しずつ売られる過程で、追跡の情報がどう出てくるか」だ。資金の動きそのものが、市場の材料になる。

銘柄ごとの価格や建玉の詳細は、記事一覧、記事一覧、記事一覧で確認できる。当サイトのスナップショットは、毎日の取得で更新されており、取得時刻は各記事で明記している。

今後の確認ポイント

最後に、今後の確認ポイントをチェックリストにまとめる。事件はまだ進行中で、資金の行方はこれからも変わる。次の動きが出たときは、当サイトでも追って記事にする。

• 盗まれたビットコイン1万8,270 BTCが動き出すか――犯行の日以来、19のアドレスで止まったまま。動き出せば、現金化の本格化を示すサインになる
• ETHの大口9アドレス（犯人のETHの89%）の動き――10月30日以来、動いていない。ETHからビットコインへの交換が始まれば、Ellipticの見立てどおりの流れになる
• XRPの残り約2億2,600万ドルの動き――約5,000万ドルはTHORChain経由でビットコインへ交換済み。残りがどう動くかで、洗浄のペースが分かる
• バイナンスの出金の全面再開――復旧したネットワークの全トークンで、来週末までの再開を目指すとしている。再開が予定どおり進むか、利用者への影響はどうか
• 凍結された約28億5,000万ドルの行方――凍結から返還へ進むのか、法的な手続きはどうなるのか。被害者への返還の道筋が見えるかどうか
• 各国当局の追加の動き――FBIの断定の後、追加の制裁や起訴があるか。北朝鮮への対応で、政府間の動きが出るか
• Ellipticの次回の追跡更新――残留分の31億1,000万ドルがどう減っていくか、洗浄のペースが変わるか。次回の更新で、資金の動きの変化が分かる
• 取引所のコールドウォレット比率の開示――事件を受けて、各取引所がコールドウォレットの比率を公表し始めている。業界全体の安全対策がどう変わるか

今回の事件は、暗号資産の歴史で最大の盗難であると同時に、凍結の規模でも過去最大の対応だった。資金の約半分がまだ犯人の手元にあり、洗浄は続いている。だが、凍結の44%は、業界の連携が機能した証拠でもある。事件の行方は、資金の動きと、業界の対応の両方で決まる。どちらも、これからも追っていく。

用語解説

TraderTraitor（トレーダートレーダー）：北朝鮮と関係があるとされるハッカー集団。偽の採用活動や、暗号資産の取引を装った接触でマルウェアを仕込み、取引所や企業から資金を盗む手口で知られる。2025年2月のBybitの事件（15億ドル）も、同じ集団によるものとされている。FBIは、今回のバイナンスの事件もTraderTraitorによるものと断定した。

ホットウォレットとコールドウォレット：ホットウォレットはインターネットにつながった状態のウォレットで、出金などの日常の処理に使われる。コールドウォレットはインターネットから切り離された状態のウォレットで、長期の保管に使われる。ホットウォレットは便利だが、狙われやすい。コールドウォレットは狙われにくいが、すぐには使えない。取引所は、資金の大部分をコールドウォレットに置き、ホットウォレットには出金に必要な分だけを置くのが一般的だ。

ブリッジ：異なるブロックチェーンの間で資産を移す仕組み。たとえば、トロン上の資産をイーサリアム上の資産に変える。チェーンをまたぐことで、資金の追跡が難しくなる。洗浄の手口として使われる一方で、ふつうの利用者がチェーンをまたいで資産を使うための正当な仕組みでもある。

ミキサーとコインジョイン：複数の利用者の資金を混ぜ合わせて、どれが誰の資金か分からなくする仕組み。コインジョインは、ビットコインの取引で複数の利用者の資金を1つの取引にまとめる方法で、Wasabiはそのためのソフトウェアのひとつだ。プライバシーを守るための技術でもあるが、盗まれた資金の出所を隠すのにも使われる。

OTCブローカー：取引所を通さずに、直接の交渉で大量の暗号資産を売買する業者。OTCは「店頭取引」の意味で、取引所の板に注文を出さずに、業者と直接やり取りする。大量の資金を市場に影響を与えずに売るために使われることがある。盗まれた資金の現金化でも、OTCが使われるとみられている。

凍結と押収の違い：凍結は、資金を使えない状態に止めることで、ステーブルコインの発行体や取引所が行う。押収は、当局が法的な手続きで資金を差し押さえることだ。凍結された資金が、被害者に返ってくるかどうかは、押収や返還の手続きが進むかどうかで決まる。凍結は「止める」ことで、返還とは別の段階だ。

Beacon Network：TRM Labsが2025年に立ち上げた、暗号資産の業界で情報を共有する仕組み。盗まれた資金の動きや、不審なアドレスの情報を、取引所や分析会社が共有する。資金を受け取る側が、盗まれた資金だと分かって受け取らなければ、資金は動けなくなる。今回の事件では、数百件から千件近くのアラートが出た。

デプロイ許可トークン：ソフトウェアの展開（デプロイ）を許可するための認証情報。犯人は、ウォレット基盤のエンジニアの端末を掌握した後、このトークンを見つけ、犯行に使った。トークンが漏れると、犯人は正規の手順でソフトウェアを動かせるようになる。

よくある質問

出典

• Decrypt「$3.1B in Stolen Binance Crypto Has Yet to Be Laundered: Elliptic」
• Cointelegraph「Binance Hackers Had 8-week Intrusion Window Before $6.3B Exploit: SEAL」
• Cointelegraph「Binance hack is ‘cyber war,’ TRM Labs executive says」

本記事は、旧サイト「パープス・デスク」に2026-11-07に掲載したニュース記事を、取引所ヘルプ索引の形式に合わせて移行したものです。内容は掲載当時の公開報道をもとに当サイトが要約・整理したもので、価格の予測は行いません。ページ内の備え枠では、Bitunixを当サイトの第一推奨として案内します。状況はその後変わっていることがあるため、最新の情報は出典と公式情報で確認してください。

関連：記事一覧／取引所一覧／よくある質問