【詳細版】バイナンス1兆円流出事件とは？手口・防げなかった理由・防ぐ方法をやさしく解説

社会

2026.11.04

この記事は約28分で読めます。

はじめに
バイナンス流出事件の結論：狙われたのは「人」と「開発用パソコン」
バイナンス事件の概要：何が起きたのか
1. 確認されている主な事実
2. 攻撃者は誰とされているか
11月3日の報告書が明かした攻撃の4段階
盗まれた資金はどこへ行ったのか
過去の暗号資産流出事件とバイナンス事件の違い
バイナンスが攻撃を防げなかった理由
流出を防ぐ方法：企業・業界・個人ができる対策
よくある質問
まとめ
参考リスト
1. 共有:
2. 関連

はじめに

「バイナンスで約1兆円が盗まれた」というニュースを見て、何が起きたのか、自分の資産は大丈夫なのかと不安になった方も多いのではないでしょうか。今回のバイナンス流出事件は、暗号資産（仮想通貨）の盗難として過去最大の規模になりました。しかし、その入口はブロックチェーンや暗号技術の欠陥ではなく、社員という「人」と、社員が使う「パソコン」でした。

👇 本記事でわかる3つの重要ポイント 👇

【テーマ1】バイナンス事件と過去の流出事件の違い
【テーマ2】約5カ月がかりの攻撃を防げなかった原因
【テーマ3】企業と個人ができる具体的な防ぎ方

この記事では、2026年11月4日時点で公表されている情報をもとに、専門知識がない方にもわかるよう、事件の流れを一つずつ順番に解説します。最後まで読めば、ニュースの意味と、自分の身を守るために今日からできることがわかります。

バイナンス流出事件の結論：狙われたのは「人」と「開発用パソコン」

結論から言うと、今回の事件は、攻撃者が約5カ月かけて社員と開発用パソコンを順番に乗っ取り、最後にバイナンス自身の署名システムに送金を「正規の操作」として承認させた事件です。被害額は約63億ドル（約1兆円）にのぼります。

攻撃者は、北朝鮮系とされるハッカー集団です。手口の骨組みは、2022年のRonin事件や2024年のDMM Bitcoin事件の延長線上にあります。新しいのは、被害の規模と、社内のAIツールやEthereum（イーサリアム）の新しい機能「EIP-7702」を足場にした点です。

防ぐ方法はありますが、一発で解決する魔法のような方法はありません。「開発者のパソコンはいつか必ず侵入される」という前提に立ち、送金の署名の仕組みそのものに、人や端末を信用しない独立したチェックを何重にも置くことが核心です。

何が違うのか

被害額は過去最大です。FBI（米連邦捜査局）が2025年2月26日の公共広報で北朝鮮の犯行と発表した、約15億ドルのBybit（バイビット）事件の約4倍にあたります。

ただし入口は、「偽の採用面接で開発者にマルウエア（悪意あるプログラム）入りの課題を実行させる」という、北朝鮮が以前から使ってきた定番の手口でした。2022年のRonin事件では、17万3600ETHと2550万USDC（当時約6.25億ドル）が盗まれました。偽の求人がきっかけだったことは、米メディアのThe Blockが2022年7月に関係者の話として報じています。2024年のDMM Bitcoin事件では、警察庁が2024年12月24日に公表したとおり、4502.9BTC（攻撃当時で約482億円相当）が盗まれました。

今回新しかったのは、改ざんされたツール、偽の面接、社内AIツールを組み合わせた、数カ月がかりの多段階の攻撃だった点です。さらに、EIP-7702を使って「バイナンスのウォレット（暗号資産の保管場所）そのものを、攻撃者の吸い上げ装置に変えた」点も新しい特徴です。

なぜ防げなかったのか

実は、秘密鍵（送金を許可するための、いわば金庫の暗証番号）は盗まれていません。攻撃者が手に入れたのは、署名システムに「署名させる権限」でした。

その背景には、次のような弱点がありました。

開発者のパソコンから、本番の署名システムまで届いてしまう環境の分け方の甘さ
MPC（鍵を複数に分けて管理する方式）を使っていても、署名の中身を独立して確かめない仕組み
セキュリティ対策ソフトをすり抜ける、未知の弱点を突くマルウエア
6月の最初の侵入で「誰がウォレットの担当者か」という情報が漏れていたこと

どうすれば防げるのか

企業側には、開発用パソコンと署名システムの分離、署名の前に取引内容を独立して確かめる「ポリシーエンジン」（ルールに合わない送金を自動で止める仕組み）の設置、ホットウォレット（ネットにつながった財布）の残高の上限設定、EIP-7702の委任の監視が必要です。

求職者やエンジニア個人にとって最も大切なのは、「採用課題のコードを、仕事用のパソコンや普段使いのパソコンで動かさない」ことです。一般の利用者は、日本では顧客の資産をコールドウォレット（ネットから切り離した財布）で管理することが法令で求められており、今回もBinance Japanの顧客資産への影響は確認されていないことを踏まえ、登録業者を使い、資産を分散し、事件に便乗した詐欺に注意することが現実的な対策です。

バイナンス事件の概要：何が起きたのか

今回の事件は、2026年10月29日の夜（世界標準時）に始まり、約20分で大半の資金が流出し、約4時間後に封じ込められました。まずは確認されている事実を表で整理します。

確認されている主な事実

項目	内容	主な情報源
発生時刻	2026年10月29日 20時05分（世界標準時）、日本時間では10月30日午前5時05分ごろから流出開始	バイナンス報告書、CoinDesk
被害額	バイナンスの推計で約63.4億ドル。TRM Labs（ブロックチェーン分析会社）の推計で約63.6億ドル（10のブロックチェーンの合計）	The Block、TRM Labs
流出の速さ	大半が約20分で流出。封じ込め完了は10月30日 0時10分（世界標準時）で、約4時間後	TRM Labs、CoinDesk
攻撃者	FBIが10月31日、北朝鮮の「TraderTraitor」（別名 Jade Sleet、UNC4899、Slow Pisces。Lazarus系）と発表。北朝鮮側は金与正氏の談話で否定したと報じられています	Infosecurity Magazine、時事通信
凍結額	バイナンス発表で約28.5億ドル。TRMの集計では約27億ドル（Tether 約17.7億USDT、Circle 約8.25億USDC、Ripple、World Liberty Financial、Arbitrum Security Councilなど）	CoinDesk、TRM Labs
補てん	自社資金、SAFU（2018年に作られた10億ドル規模のビットコイン準備基金）、先物保険基金の余剰分で、11月3日時点で影響を受けた資産の約98％を補てん。利用者の負担なし	CNBC、The Next Web、財経新聞
出金	約2日間停止し、11月1日から段階的に再開	The Block
市場への影響	ビットコインは約4.5％下落し、一時7万6368ドル（約6週間ぶりの安値）。Coinbase株は約12％、Circle株は約10％下落	Forbes JAPAN、Business Insider Japan
顧客の引き出し	46時間で約109.7億ドルが引き出され、差し引きの流出は約52.8億ドル。その後は落ち着き、テン共同CEOは「プラットフォーム資産の約3％」と説明	CoinDesk、The Next Web

表の中の「凍結」とは、Tether（USDT）やCircle（USDC）のようなステーブルコイン（ドルなどと価値が連動するように作られた暗号資産）の発行会社が、特定の口座の資金を動かせないようにする措置のことです。ブロックチェーン上の送金は原則として取り消せませんが、発行会社がいる資産は、このような形で止められる場合があります。

攻撃者は誰とされているか

TRM LabsやChainalysis（チェイナリシス）などの分析会社は、事件直後から北朝鮮のハッカー集団TraderTraitorの犯行と高い確度で判断していました。その後、FBIが10月31日（米国時間の土曜日）に正式に北朝鮮の犯行と発表しています。TraderTraitorは、2025年のBybit事件の実行犯としてFBIが名指しした集団です。

11月3日の報告書が明かした攻撃の4段階

バイナンスは11月3日、初期調査報告書（X上で公開）とメディア向けの説明会で、攻撃が4つの段階を経ていたことを明らかにしました。説明したのは、ジミー・スー最高セキュリティ責任者とリチャード・テン共同CEOです。

第1段階：下見（2026年6月）

ウォレットの運用を担当するエンジニアAが、人気のAIコーディングツール（プログラム作りを手伝うAI）を入れようとして、検索エンジンで探しました。その際に、改ざんされたHomebrew（Mac用の定番のインストールツール）を入手してしまいました。報道では、検索結果に出る広告のリンクからだったとされています。

バイナンスはこの異常に気づき、パソコンを交換し、ログイン用の認証情報も新しくしました。しかし、この時点ですでに「エンジニアAの役割と、ウォレット担当チームの同僚」の情報が攻撃者に渡っていました。

第2段階：偽の採用面接（2026年9月）

別のソフトウエアエンジニアBに、「正規の求人プラットフォーム」上で、架空の会社のプロジェクト責任者を名乗る人物が接触してきました。米経済誌Fortuneは、バイナンス幹部の説明として、それがLinkedIn（ビジネス向けSNS）だったと報じています。

1次面接では、偽の人事担当者がライブのビデオ通話で面接を行いました。個人の写真や動画が載ったSNSアカウントも見せ、本物らしく信頼させました。

2次面接では、架空の会社のCEOを名乗る人物が、チャットアプリ上で面接を行いました。そして「コーディング課題」を仕事用のパソコンにダウンロードするよう指示しました。この課題には悪意あるプログラムが仕込まれていました。CoinDeskによると、中身はセキュリティ対策ソフトを回避するゼロデイ・マルウエア（まだ知られていない弱点を突く、新種の悪意あるプログラム）でした。

第3段階：社内での横展開（2026年10月20日）

攻撃者は、乗っ取ったBのパソコンと社内AIツールを使って、ウォレット担当のエンジニアAとCのパソコンも掌握しました。これを「横展開」と呼びます。1台の端末から、社内の別の端末へと支配を広げていくことです。

さらに、エンジニアAのパソコンの中から「コンテナ展開の権限トークン」を見つけ出しました。コンテナとは、社内のシステムを動かすための小さな実行環境のことで、トークンはそれを新しく立ち上げるための「通行証」のようなものです。

第4段階：出金（2026年10月29日）

攻撃者は、盗んだ認証情報でコンテナを立ち上げ、悪意あるスクリプト（自動で動く命令の集まり）を実行しました。これにより社内の「ウォレット署名サービス」にたどり着き、通常の出金手続きの外で取引を発行しました。

まず、XRP Ledger上の5つのホットウォレットから、2億3346万XRPを流出させました（20時05分〜20時09分、世界標準時）。続いて、Solana、Optimism、ビットコイン（1万8270BTC）、Tronへと被害が連鎖しました。

Ethereumでは、EIP-7702が悪用されました。これは2025年5月の「Pectra」というアップグレードで導入された機能で、普通のウォレットに、スマートコントラクト（自動で動く契約プログラム）のコードを実行させられるようにするものです。攻撃者は、事前に署名させた50件の委任の承認を1つの取引にまとめて送り込みました。そして、ホットウォレット「Binance 14」を、攻撃者専用の「吸い上げ（スイーパー）コントラクト」に変えてしまいました。

50件も用意したのは、取引ごとに1つずつ進む番号「ノンス」を、攻撃者が予測できなかったためです。委任の承認はノンスが一致したときだけ有効になるので、50件のうち1件でも当たれば十分でした。

この委任は、取引が終わってもそのまま残りました。そのため、バイナンスのシステムが補充した資金まで、繰り返し吸い上げられてしまいました。バイナンスのホットウォレットはMPC方式だったため、「1本の鍵ですぐに委任を取り消す」ことができませんでした。出金を止めても、ブロックチェーン上の委任は消えません。ゼロアドレス（どこにもつながらない宛先）へ委任し直すことで解除できたのは、10月30日 0時10分（世界標準時）でした。

侵入経路は1つではなかった

事件直後の10月29日〜30日、バイナンスは「エンジニアのノートパソコンが侵害された」ことを入口として説明していました。しかし報告書では、少なくとも次の3つが組み合わさっていたことが明らかになりました。

6月の改ざんされたHomebrew
9月の偽の採用面接
10月の社内AIツールの悪用

テン共同CEOは米CNBCに対し、攻撃者は何カ月もかけて侵入経路を築いたと述べ、「社員1人のパソコンという1か所の失敗」が原因だという見方を否定しました。なお、セキュリティ専門サイトSecurity Affairsによると、報告書は社内AIツールがどのように悪用されたかの詳細を明らかにしておらず、AIモデルそのものの弱点も指摘していません。

未確認・否定された情報

SNS上では、「北朝鮮の工作員が社員に恋愛関係で近づいた」という説が広まりました。しかし、FinanceFeedsによると、イー・ハー共同CEOが11月1日にこれを否定しており、報告書にもそのような記載はありません。

盗まれた資金はどこへ行ったのか

攻撃者は、凍結される前に資金を「凍結できない資産」へ急いで替えました。そのため、凍結が進んだ今も、約24億ドル相当が攻撃者の手元に残っているとみられます。

凍結される可能性があるステーブルコインを、急いで別の資産に替えました。約3.25億USDTを、UniswapXなどの仕組みを通じて、マーケットメーカー（売買の相手を引き受ける大口業者）に10％以上安く売ってETHに換えました。
Aave（暗号資産の貸し借りサービス）では、USDTを担保にしてETHを借りました。
BTCは「ピールチェーン」（少しずつ小分けにして送り、追跡を難しくする方法）で移動させています（TRM Labs）。
TRMによると、攻撃者は今も42万ETH超と1万8270BTC、合計で約24億ドル相当を持っており、これは発行会社が凍結できない資産です。
SEAL（業界のセキュリティ協力チーム）の協力者SomaXBT氏の分析では、Tron上で約2.42億ドルが2日間で、Relay、THORChain、Chainflipなどを経由して資金洗浄されたとみられます（NADA NEWS）。
分析会社Ellipticは、主要なウォレットで31時間連続して毎時送金が見られたことから、自動化プログラムが使われたと指摘しています。一方で、AIエージェント（自分で判断して動くAI）が操作した証拠はないとしています。
FBIは攻撃者のアドレス（送金先）の一覧を公開し、THORChainのノード運営者、DeFi（銀行などを介さない金融サービス）事業者、取引所などに、取引を遮断するよう求めました。

過去の暗号資産流出事件とバイナンス事件の違い

主な事件を並べてみると、「開発者や社員を入口にして、正規の署名で盗む」という型が何度も繰り返されていることがわかります。一方で、今回の事件には規模や技術面で新しい特徴もあります。

主な事件の比較表

事件	時期	被害額	最初の侵入口	最終的な盗み方	攻撃者
バイナンス	2026年10月	約63億ドル（約1兆円）	改ざんされたHomebrew（6月）＋LinkedInなどでの偽の採用面接（9月）＋社内AIツールの悪用（10月）	社内の署名サービスに署名させる。EIP-7702でホットウォレットを乗っ取り	FBI：北朝鮮TraderTraitor
Bybit	2025年2月	約15億ドル（FBI、2025年2月26日発表）	委託先Safe{Wallet}の開発者のMacが、偽の株式投資シミュレーター（Docker）で感染	AWS（クラウドサービス）のログイン情報を奪い、Safeの画面を改ざん。署名者に偽の取引を承認させる	FBI：北朝鮮TraderTraitor
DMM Bitcoin	2024年5月	4502.9BTC（攻撃当時約482億円相当、警察庁 2024年12月24日公表）	委託先Gincoの社員にLinkedInで偽の採用担当者が接触し、採用試験と称してPythonのプログラムを実行させる	ログイン状態の情報を悪用し、DMM社員の正規の送金依頼を改ざん	警察庁・FBI：北朝鮮TraderTraitor
Ronin（Axie Infinity）	2022年3月	17万3600ETH＋2550万USDC（当時約6.25億ドル）	Sky Mavisの上級エンジニアにLinkedInで偽の高額求人。数回の面接後、マルウエア入りPDFの内定書類（The Block 2022年7月報道、関係者談。Sky Mavisは経路を公表せず）	9つのうち5つの検証者の鍵を掌握し、ブリッジ（チェーン間の橋渡しの仕組み）から引き出し	北朝鮮Lazarus（米当局）
Coincheck	2018年1月	5億2300万XEM（検知時点で約580億円、約26万人に影響）	社員へのメールなどによるマルウエア感染とされる	ホットウォレットの秘密鍵を盗む	北朝鮮の関与が指摘されたが、公式の断定はなし

なお、Coincheck事件と、2014年のMt.Gox事件（約85万BTC。主な原因は内部管理の破綻）については、元の調査で新たに一次資料を確認していない、一般的な知識にもとづく記述です。

共通点1：狙われるのは技術より「人」と「開発者の端末」

Ronin、DMM Bitcoin、Bybit、そして今回のバイナンスは、いずれも開発者やエンジニアの端末が入口でした。ロシアのセキュリティ企業F6のエフゲニー・ヤノフ氏は、攻撃はブロックチェーン上ではなく、重要なシステムに触れられる社員の端末から始まるのが、最も確立された手口だと指摘しています。

共通点2：偽の求人という「釣り餌」

北朝鮮の偽の採用を使った手口には、系譜があります。高額な求人を装う「Operation Dream Job」や、技術面接で課題のコードを実行させる「Contagious Interview」が知られています。日本・米国・豪州・ドイツは2026年9月18日の合同の注意喚起で、Contagious Interviewに関連する攻撃グループを「WaterPlum（ウォータープラム）」という名前で公表しました。

IT系ニュースサイトのBleepingComputerは、今回の手口がこの2つの活動と非常によく似ていると指摘しています。ただし、バイナンス自身は、どの活動にあたるかを特定していません。

共通点3：鍵ではなく「承認の仕組み」をだます

Bybitでは署名画面の改ざん、DMM Bitcoinでは送金依頼の改ざん、今回は署名サービスの悪用でした。どの事件でも、攻撃者は「正規の署名」を使って資金を動かしています。

共通点4：ステーブルコインの即時凍結と、凍結できない資産への逃げ込み

発行会社がすぐに凍結し、攻撃者は凍結できない資産へ急いで替える、という攻防は、Bybit事件以降に見られるようになったパターンです。

新しい点1：けた違いの規模

被害額はBybit事件の約4倍です。Chainalysisが2025年12月18日に公表した2026年版の暗号資産犯罪レポートの速報では、北朝鮮による2025年の窃取額は前年より51％多い少なくとも20.2億ドルで、過去最高でした。今回の1件だけで、その3倍を超えています。

新しい点2：数カ月がかりの多段階の作戦

6月に一度失敗した侵入（バイナンスが検知済み）で得た「組織図」の情報を使い、別の社員を偽の面接で狙い直しました。単発の攻撃ではなく、計画的に段階を踏んだ作戦だったといえます。

新しい点3：社内AIツールが横展開の踏み台に

社内のAIアシスタントが、プログラムの保管場所の閲覧、命令の実行、他のシステムへの接続といった権限を持っていると、端末を1台取られた瞬間に、社内を移動するための通路になってしまいます。攻撃に使われたのはAIの「頭脳」ではなく、AIツールに与えられていた「権限」です。

新しい点4：EIP-7702の悪用

一度の署名でウォレットを長く乗っ取り、新しく入ってきた資金まで自動で吸い上げ続けました。TRMはEIP-7702そのものに欠陥があったわけではないとしています。仕様どおりに動いた機能が、一時的な署名の権限を、長く続く支配に変えてしまったのです。

新しい点5：資金洗浄の手口の変化

TRMによると、Bybit事件のあとはブリッジを使う方法が中心でしたが、今回はマーケットメーカーへの大口の売却や、暗号資産の貸し借りサービスが使われています。

新しい点6：守る側の連携の速さ

Ellipticによると、Tetherは主な受け取りウォレットを流出から37分後に凍結し、全体で約44％が凍結されました。テン共同CEOは、この連携の速さは従来の金融では不可能だと述べています。

ランサムウエアなど一般的なサイバー攻撃との違い

観点	一般的なランサムウエア	今回のバイナンス事件
目的	データを人質にして身代金を要求する	お金を直接盗む。国家（北朝鮮）による外貨獲得の活動
時間の流れ	侵入から暗号化まで短期間のこともある	約5カ月かけて準備し、実行は約20分
取り消せるか	銀行送金なら、取り消しや組戻しの余地がある	ブロックチェーン上の送金は原則として取り消せない。止められるのはステーブルコインの凍結など一部だけ

ランサムウエアとは、パソコンのデータを勝手に暗号化して使えなくし、元に戻す代わりに身代金を求める攻撃のことです。Chainalysisは同じレポートで、北朝鮮による暗号資産の窃取は、これまでの累計で少なくとも67.5億ドル（控えめに見積もった数字）としています。

バイナンスが攻撃を防げなかった理由

防げなかった原因は、人の側と技術の側の両方にありました。特に大きかったのは、だまされた社員1人の端末から、巨額のお金を動かす署名まで、途中に独立した関門がなかった設計です。

人の側：だましの手口が巧妙すぎた

接触は「正規の求人プラットフォーム」を通じて行われました。偽の人事担当者はライブ映像で面接し、写真や動画付きのSNSで実在する人物らしく見せ、さらに「CEO面接」という二段構えでした。エンジニアにとって、「技術課題をダウンロードして動かす」ことは、ふだんの仕事と見分けがつきにくい行為です。

一方で、AIやディープフェイク（AIで作った偽の映像）が使われたかどうかは確認されていません。Fortuneは、事前の憶測とは異なり、主に従来型のだましの手口に頼っていたと報じています。面接の映像がディープフェイクだったかどうかは、報告書でも明らかにされていません。

バイナンスは、2026年に入ってから北朝鮮に関連するとみられる攻撃を57件見つけて止めていたと説明しています。裏を返せば、57回止めても、1回通されれば終わりという、守る側に不利な構造です。

技術の側：専門家が指摘する5つの弱点

開発環境と本番（署名）環境の分け方が不十分：取引所CoinExの創業者である楊海坡氏は、避けられた問題の第一に、開発環境と運用環境の分離が不完全だったことを挙げています。開発者のパソコンにコンテナを立ち上げる通行証があり、そこから署名サービスまで届いてしまいました。
「名ばかりMPC」：楊氏は、MPCの署名者が取引の中身を独立して確かめていなかったため、1か所が侵害されると全体が無力になったと批判しています。分析会社Crystal Intelligenceも、署名の内容を読み解かない署名者は、自分では1円も動かさずにウォレットを明け渡してしまいうると指摘しています。HSM（鍵を守る専用の装置）やMPCは「鍵を盗めるか」には答えますが、「この署名の依頼を承認してよいか」には答えません。
検知をすり抜けるマルウエア：課題ファイルのマルウエアは、セキュリティ対策ソフトを回避する未知のものでした。6月の侵入は見つけられましたが、そこで漏れた「情報」までは取り戻せませんでした。
ホットウォレットの規模と自動補充：攻撃者の委任が残っている間、バイナンスの仕組みが自動で補充した資金まで吸い上げられました。
MPCならではの緊急対応の遅れ：「1本の鍵ですぐに取り消す」手段がなく、EIP-7702の委任を解除するまでに約4時間かかりました。

問題の本質は「仕組み」にあった

今回の失敗の本質は、「社員がだまされたこと」ではありません。だまされた社員1人の端末から、最終的に数十億ドルを動かす署名まで、独立した関門なしにたどり着けた設計にあります。

セキュリティ専門サイトのNexGismoも、今回の事件を「まず署名のルールの失敗、次に端末の失敗」とまとめています。人は必ずだまされるという前提に立ち、署名の仕組みに「人や端末を信用しない」関門がなかったことが決定的でした。

流出を防ぐ方法：企業・業界・個人ができる対策

対策の柱は、企業は「署名の前に独立したチェックを置くこと」、個人は「知らない人から渡されたコードを自分のパソコンで動かさないこと」です。立場ごとに具体的に見ていきます。

企業（取引所・資産を預かる会社・Web3企業）の対策

（1）署名の仕組みの作り直し（最優先）

署名する装置の手前に、独立した安全な領域で動き、「基本はすべて拒否」するポリシーエンジンを置きます。送金先、資産の種類、金額、頻度を、署名の前に確かめます。

TRM Labsは、次の5つを提言しています。

予期しないEIP-7702の承認は、署名のルールで拒否する
複数のノンスにまたがる大量の承認依頼は、侵害のサインとして扱う
会社の資金を置くウォレットにEIP-7702の委任が現れたら（コードがないはずの場所にコードが出現したら）、すぐに警報を出す
事前に承認しておいた「取り消し用の署名」の手順を用意し、テストしておく
署名の仕組みと承認の経路を、ブロックチェーンごと、ウォレットの階層ごとに分ける

ホットウォレットの残高は、日々の出金量に見合う上限に抑えます。コールドウォレットやウォームウォレット（その中間の財布）からの補充は、決められた人数の担当者が承認する形にし、自動の補充には超えられない上限を設けます。

（2）開発者のパソコンを本番と同じくらい重く扱う

開発用のパソコンに、本番環境の通行証や認証情報を置きません。権限は必要最小限にし、必要なときだけ短い時間与える方式にします。
社外のコード（採用課題、公開されているプログラム部品、Dockerのプロジェクトなど）は、使い捨ての仮想環境やサンドボックス（外に影響しない隔離された実験場所）でだけ動かします。
社内AIツールは、強い権限を持つ管理者アカウントと同じように監査し、権限の範囲を最小限にして、操作ごとに承認を求める仕組みにします。

（3）ゼロトラストと検知

ゼロトラスト（社内の端末やネットワークでも無条件に信用しない考え方）にもとづき、署名や展開のたびに本人確認をやり直します。ふだんと違う行動を見つける仕組みも取り入れます。バイナンスも事後の対策として、端末管理の強化と、AIによる異常な行動の検知の拡大を表明しています。
一度見つけて対処した侵入でも、何の情報が漏れたか（組織図や担当者名など）を評価し、関係者全員を重点的に見守ります。

（4）採用の場面から入り込む脅威への対策

社員が「他社の採用面接」で狙われる前提で教育します。仕事用のパソコンで外部の課題を実行しないルールを徹底し、転職活動について相談できる窓口も設けます。
逆に、北朝鮮のIT労働者が「応募者」として入り込んでくることにも備えます。2026年9月の日米豪独の合同注意喚起では、国内の暗号資産取引所のエンジニア職に北朝鮮のIT労働者が応募し、その会社が面接まで行っていた事例が報告されました。本人確認は、対面や公的な書類で厳しく行う必要があります。

業界・規制当局の動き

日本の現状：DMM Bitcoin事件のあと、金融庁は2024年9月26日と12月24日に、日本暗号資産等取引業協会（JVCEA）を通じて、交換業者に「流出リスクへの対応等に関する自主点検」を求めました。12月24日には、警察庁、内閣サイバーセキュリティセンター（NISC）、金融庁が連名で、TraderTraitorについての注意喚起を出しています。2026年10月9日には、金融庁が暗号資産交換業者を含む金融機関などに、外部委託先の管理やトラブル発生時の対応を含むサイバー対策の点検を求めました。

今回の事件後の日本当局の対応：2026年11月4日時点で、金融庁・JVCEA・警察庁・国家サイバー統括室による、バイナンス事件を受けた新しい公表文書は確認できませんでした（JVCEAの新着情報にも該当なし）。公表されていない問い合わせが行われている可能性や、今後公表される可能性はあります。

韓国の対応（比較）：韓国の金融委員会は11月2日に緊急会議を開きました。仕事用端末のセキュリティ、社内システムへのアクセスの管理、出金の承認と署名の体制、管理者の権限を点検し、コールドウォレットの比率の引き上げ、入出金の常時監視、準備金の積み増しを求めたほか、出金制限のルールの見直しにも着手しています。

国際的な連携：FBIは攻撃者のアドレスを公開し、取引の遮断を求めています。業界側では、TRMのBeacon Networkやステーブルコイン発行会社による凍結、Arbitrum Security Councilの緊急措置によって、被害を約4割減らすことができました。業界全体で脅威の情報を共有し、すぐに凍結できる体制を強めることが、今後の焦点です。

個人の対策：求職者・エンジニア向け（最重要）

採用課題やコードは、仕事用のパソコンや普段使いのパソコンで絶対に実行しないでください。どうしても必要な場合は、使い捨ての仮想マシン（パソコンの中に作る仮のパソコン）で実行します。
警察庁などのWaterPlumについての注意喚起では、VS Code（プログラムを書くための定番ソフト）でプロジェクトを開いただけで自動の処理が動く手口や、npm（プログラム部品の配布サービス）の部品に仕込まれたマルウエア（BeaverTail、InvisibleFerret、OtterCookieなど）が報告されています。
WaterPlumは、2025年12月ごろから2026年7月までに、日本を含む100以上の国・地域で3万台以上とみられるパソコンに感染し、7千件以上の暗号資産ウォレットの情報を盗み、少なくとも約17億円相当を送金させていたとされます。
危険なサインの例：「高待遇」をうたう、返事を急かす、「ビデオ会議ツールの修正」と称して命令文を貼り付けさせる、GitHub（プログラムの共有サイト）のダウンロードを課題にする、実在の会社を名乗るのに公式サイトの採用ページに求人がない、など。
求人を出している会社が本当に存在するかは、公式サイトや代表電話など、別のルートで確認します。
ソフトウエアは公式サイトから入手し、検索結果の広告リンクからは入れないようにします（今回の6月の侵入も検索がきっかけでした）。

個人の対策：一般の暗号資産利用者向け

金融庁に登録された交換業者を使いましょう。Binance Japanは、日本の法令に従って顧客の暗号資産をコールドウォレットで分けて管理しており、今回グローバル版のホットウォレットが被害を受けても、日本の顧客資産への影響は確認されていません。SBI VCトレードやビットバンクも、顧客資産への影響はないと公表しています。
1つの取引所に資産を集中させないようにします。長く持つ分は、自分で管理するハードウエアウォレット（専用の小型機器）の利用も検討できます。
事件に便乗した詐欺に注意します。バイナンスの幹部も、公式ではないリンクやメッセージ、アカウント情報を求める連絡を信じないよう呼びかけています。「補償の手続き」を装うメールやDM（ダイレクトメッセージ）には特に気をつけてください。

なお、暗号資産の保管方法や投資の判断は、個人の状況によって異なります。ここで紹介した内容は一般的な情報ですので、具体的な判断にあたっては、専門家や金融庁などの公的機関にご相談ください。

よくある質問

バイナンスの利用者の資産は失われたのですか？

バイナンスは、自社資金やSAFUなどで影響を受けた資産を補てんし、利用者の負担はないと説明しています。11月3日時点で、影響を受けた資産の約98％を補てんしたと報じられています。出金は約2日間止まりましたが、11月1日から段階的に再開されました。

日本のBinance Japanの利用者に影響はありますか？

Binance Japanは日本の法令に従い、顧客の暗号資産をコールドウォレットで分けて管理しています。今回被害を受けたのはグローバル版のホットウォレットで、日本の顧客資産への影響は確認されていません。ただし、補償を装った詐欺の連絡には注意が必要です。

秘密鍵は盗まれていないのに、なぜお金が盗まれたのですか？

攻撃者は鍵そのものではなく、社内の署名システムに「署名させる権限」を手に入れたためです。署名システムは、依頼された送金が正しいかどうかを独立して確かめていなかったため、攻撃者の依頼にも正規の署名をしてしまいました。

EIP-7702そのものが危険な機能なのですか？

TRM Labsなどは、EIP-7702そのものに欠陥があったわけではないとしています。機能は仕様どおりに動きましたが、一度の不正な承認でウォレットの支配が長く続いてしまう性質が、被害を大きくしました。そのため、予期しない委任を拒否したり、すぐに警報を出したりする対策が求められています。

偽の採用面接を見分けるにはどうすればよいですか？

課題としてコードのダウンロードや実行を求められたら、まず疑うことが大切です。会社が本当に存在するかを公式サイトや代表電話で確かめ、課題は自分の普段のパソコンでは動かさないようにしましょう。高待遇をうたって返事を急かす、命令文を貼り付けさせる、といった依頼も危険なサインです。

まとめ

今回のバイナンス流出事件は、「史上最大」の暗号資産の盗難でしたが、その教訓はとてもシンプルです。最後に、この記事のポイントを4つに整理します。

何が違うのか：手口の骨組みは、北朝鮮が2022年から使い続けている「偽の求人で開発者を感染させ、正規の署名で盗む」型です。新しいのは、数カ月がかりの多段階の作戦、社内AIツールの悪用、EIP-7702による長く続くウォレットの乗っ取り、そして1件で約1兆円という規模です。
なぜ防げなかったのか：社員がだまされたことよりも、だまされた1台の端末から署名システムまで、独立した関門なしに届いてしまった設計が問題でした。MPCは「鍵の盗難」は防げても「不正な署名の依頼」は防げず、緊急時の取り消しも遅れました。
どう防ぐのか：企業は「開発者の端末は侵入される」前提で、署名の前の独立したチェック、ホットウォレットの上限設定、権限の最小化と分離、AIツールの権限管理を徹底する必要があります。個人は「採用課題を自分のパソコンで動かさない」「登録業者を使い、資産を分散する」の2点が最も効果的です。
日本への示唆：日本はCoincheckやDMM Bitcoinの教訓から、顧客資産のコールド管理などの制度が整っており、今回もBinance Japanの顧客資産は守られました。しかし、DMM Bitcoinは委託先のGincoを経由して破られており、2026年9月には国内の取引所への北朝鮮IT労働者の応募まで確認されています。韓国がすぐに緊急点検に動いたのに対し、日本当局の公式な追加対応は11月4日時点で確認できておらず、DMM事件のあとと同じような自主点検の要請が出るかが今後の注目点です。

この記事は2026年11月4日時点の情報にもとづいています。バイナンスの報告書は「初期調査報告」であり、今後、独立したセキュリティ専門家による検証が予定されています。被害額や凍結額は、集計した組織や時点によって異なります（被害額はバイナンス約63.4億ドル、TRM約63.6億ドル。凍結額はバイナンス約28.5億ドル、TRM約27億ドル）。北朝鮮の関与はFBIの公式見解であり、北朝鮮側は否定しています。

まずは今日、自分が使っている取引所が金融庁に登録された業者かどうかを確認し、「補償」や「本人確認」を名乗る不審なメールやDMが届いていないか、見直してみてください。