史上最大の取引所流出が日本に及ぼしたもの ― 「顧客資産に影響なし」の裏で問われる流動性供給元への依存

約20分で1兆円が消えた夜

バイナンスは10月30日（日本時間）、同社ホットウォレットからの不正流出による影響額を推定約63億ドル（約9,920億円、1ドル157円換算）と公表した。TRM Labsは盗難時点の評価で63.6億ドルとし、流出の大半が日本時間30日午前5時過ぎからの約20分間に、イーサリアムを筆頭とする10のブロックチェーンで集中的に実行されたと分析している。2025年2月のBybit事件（約15億ドル）の4倍超に相当し、単一事件としては過去最大である。

バイナンスの初期調査では、DevOps担当エンジニアの端末が侵害され、攻撃者がサービスコンテナ経由で不正な出金取引を送信した可能性が示された。同社は「ウォレット秘密鍵が漏洩した証拠はない」としつつ、その後の調査で複数の侵入箇所と証拠消去を行う悪意あるソフトウェアの存在を確認したと追加発表している。イーサリアム上では、2025年5月のPectraアップグレードで導入されたEIP-7702の権限委任機能が悪用され、正規の署名付き取引としてホットウォレットの制御が奪われたとTRM Labsや各分析会社は見ている。TRM LabsとChainalysisはいずれも北朝鮮のTraderTraitorによる犯行と高い確度で帰属させているが、バイナンス自身は攻撃者を特定しておらず、政府機関による公式帰属も現時点ではない。

補償と凍結、そして出金再開

バイナンスは利用者に損失を負担させないと表明し、ユーザー保護基金（SAFU）、先物保険基金の一部、自社財務資金から63.4億ドル超を補償原資として確保した。10月30日時点で流出銘柄と同じ資産を約50億ドル（被害額の約80％）保有しており、残りを市場およびOTCで買い付けて31日には90％まで補填が進んだとしている。並行して、Tetherが15.67億USDT超、Circleが8億USDC超を凍結するなど、オンチェーンで約30億ドルが凍結された。ただし凍結は回収と同義ではなく、攻撃者はなお約24億ドル相当のETHとBTCを発行体の手の届かない形で保持しているとTRM Labsは指摘している。出金については、10月31日の第2報で「約34時間以内」すなわち11月1日午後（日本時間）に段階的再開を目指すとされた。準備金証明のスナップショットは10月31日0時（UTC）に取得され、結果の公表は11月2日から3日とされている。

日本国内の初動：分別管理は機能した

日本の規制下にある交換業者の対応は迅速かつ横並びだった。バイナンスジャパンは30日、取引は継続しつつ全暗号資産の入出庫を一時停止し、顧客資産への影響は確認されていないと告知した。その後、暗号資産の入庫、取引、日本円の入出金は通常どおりとなり、暗号資産の出庫のみ停止が続いている。bitFlyerは安全性が確認されるまでバイナンス口座宛の暗号資産送付を制限し、顧客資産はネットワークから隔離されたコールドウォレットで自社資産と区分管理していると説明した。bitFlyer Holdingsの加納裕三CEOは、日本法が顧客資産の95％以上のコールド保管と厳格な分別を義務づけている点を挙げ、顧客資産の安全性に影響はないと述べている。SBIホールディングスは同日、子会社のバイナンスへのエクスポージャーは限定的で連結業績への影響はないと開示し、SBI VCトレードとビットバンクも顧客資産に影響なしと表明した。ビットコイン財務企業のメタプラネットは、保有ビットコインは全量を規制下の大手カストディアンでコールド保管していると声明した。一方、調査時点では金融庁および日本暗号資産等取引業協会（JVCEA）から本件に関する公式コメントは確認できず、Coincheck、GMOコイン、OKJなど他の主要業者の個別対応も報道上では確認できなかった。

「影響なし」が語らない構造的リスク

国内の初動は、2018年のコインチェック事件以降に積み上げられた分別管理・コールド保管義務が機能したことを示している。しかし、それは顧客の資産が無事であることを意味するにとどまり、国内市場の価格形成がバイナンスの板に依存している事実を変えるものではない。実際、インドのCoinDCXは「グローバルな流動性供給元」の障害を理由に先物市場をreduce-onlyに切り替え、新規建玉を停止した。同社はバイナンスの板をストリーミングしてUSDT建て無期限先物の流動性を得ていた。日本の交換業者はこうした措置を公表していないが、国内の板の多くはカバー先取引所やマーケットメイカーを通じて海外大手の価格に連動しており、バイナンスの出金停止が長期化すればヘッジ経路の寸断、スプレッド拡大、カバー取引の滞留という形で国内利用者に転嫁される。ビットコインは事件後に一時約6％下落して7万6,000ドル台を付け、米国ではCoinbaseが10％超安となるなど株式市場にも波及した。分別管理という「資産の所在」の防衛線は守られたが、「価格の所在」は依然として海外に置かれている。

【事業開発に関するインサイト】

国内交換業者の競争軸は「顧客資産の安全」から「流動性供給の多元化」へ移る。カバー先の集中度、代替流動性プロバイダーとの接続、海外大手が停止した際の板維持手順を可視化できる業者は、法人顧客や上場企業財務部門からの信頼を獲得しやすい。流動性経路の冗長化を支援するインフラ事業には明確な需要が生まれる。
署名基盤のセキュリティは秘密鍵の保管から「署名を生成するシステム全体」の防御へと論点が広がった。EIP-7702のような正規機能を悪用した攻撃は、ハードウェアセキュリティモジュールやマルチシグだけでは防げず、承認ポリシーの独立判定、送金先ホワイトリスト、委任コード監視など、バリデータ運用やカストディに関わる事業者が提供できる付加価値領域である。
発行体による凍結の有効性（約30億ドル）は、ステーブルコインの「凍結権限」が危機時のセーフティネットとして機能することを改めて示した。国内で円建てステーブルコインや信託型トークンを設計する事業者は、凍結権限の発動基準と手続きの透明性を製品仕様に組み込むことで、金融機関や規制当局との対話を優位に進められる。

【引用：出典】

監修

石田陽之（いしだあきひさ）

Cabinet株式会社代表取締役

2017年より、一貫してトークンやNFTの活用、ブロックチェーンゲームの企画・開発、NFTを活用した事業開発に従事。大手エンタメ上場企業を始め、80件以上のブロックチェーンプロダクトに対し事業責任者や設計、PM、アドバイザー等、様々な立場でブロックチェーン関連の事業開発に関わってきた。2021年よりCabinet株式会社を創業。

免責事項

本レポートは、暗号資産および関連市場に関する情報提供のみを目的として作成されたものであり、特定の暗号資産の購入、売却、保有その他一切の取引行為を推奨・勧誘するものではありません。また、金融商品取引法その他の関連法令に定める投資助言、投資勧誘、または金融商品の販売・媒介に該当するものではなく、税務・法務・会計上の助言を構成するものでもありません。

本レポートに記載された情報は、作成時点において信頼できると判断した情報源に基づいておりますが、その正確性、完全性、最新性、有用性等について当社は何ら保証するものではありません。暗号資産は価格変動が大きく、元本の毀損その他の損失が生じるリスクを伴います。投資判断は、利用者ご自身の責任と判断において行っていただくものとし、本レポートの利用に起因して生じたいかなる損害についても、当社は一切の責任を負いかねます。

ブロックチェーン新規事業のご相談

Cabinetでは、アイデア段階からの壁打ち、技術検証（PoC）、そして実装・運用まで一気通貫で伴走する事業開発コンサルティングを提供しています。まずはお気軽に無料相談をご利用ください。

ニュースレターに登録する

本レポートに掲載した内容に加え、業界の最新情報・未公開レポートをメールでお届けします。