1週間足らずの間に発生した2件の暗号資産窃取疑惑では、資金移動に共通するパターンが見られる。まず凍結される可能性のあるステーブルコインから別の資産に換え、その後、資金を分割して複数のチェーンに移し、プライバシーコインや店頭取引を通じて追跡を難しくする流れだ。市場にとっては、凍結されたステーブルコインの額と、攻撃者がなお管理しているETHやBTCの量が、資金回収の可能性や将来的な売り圧力を見極める手掛かりとなる。
バイナンスのホットウォレットから流出、USDT・USDCを凍結
10月29日、攻撃者は複数のブロックチェーン上にあるバイナンスのホットウォレットから、約63.6億ドル相当の資産を移動させた。ホットウォレットはインターネットに接続され、取引所の出金などに使われるウォレットを指す。ブロックチェーン分析会社TRM Labsによると、資金の大半は約20分以内に移された。米連邦捜査局（FBI）は北朝鮮のハッカー集団TraderTraitorによる攻撃と断定しており、現時点で確認されている暗号資産窃取としては最大規模となる。
ステーブルコインの発行元は、特定のウォレットにあるトークンを凍結できる。このため、攻撃者にとってUSDTやUSDCは凍結リスクを伴う資産だ。TRMによれば、Tetherは主要な資金移動の約37分後、攻撃者の受取先ウォレットにあった約9億7,100万枚のUSDTを凍結。その後、Circleも約8億2,300万枚のUSDCを凍結した。Tether、Circle、Ripple、World Liberty Financial、Arbitrumのセキュリティ委員会による措置を合算すると、凍結額は約27億ドルに上るとTRMは推計している。バイナンスは約30億ドルとしている。
凍結を避けるため、攻撃者は約3億2,500万枚のUSDTをマーケットメーカーに売却し、約12万2,300枚のETHを受け取った。取引時の市場価格に対する売却価格の割引率は10％を超えた。また、約6,000万枚のUSDTを貸付プロトコルAaveに担保として預け、約1万9,760枚のETHを借り入れた。大幅な割引を受け入れても凍結されにくい資産に換えたことから、凍結リスクへの対応を急いでいた様子がうかがえる。
BTCを分割し、複数チェーンへ移動
ETHやBTCなど、発行元が直接凍結できない資産に換わった後は、資金の追跡が焦点となる。TRMによると、バイナンスから移された1万8,270枚のBTCは、同一ブロック内で1,000枚単位や100枚単位に分割され、複数の小規模な移動経路に分かれた。調査担当者は、過去に使われたアドレスを含む複数のウォレット間で、資金が自動的に行き来していたことも確認している。こうした動きは追跡を複雑にする可能性がある。
クロスチェーンブリッジを使えば、資産をあるブロックチェーンから別のチェーンへ移せるため、追跡側は移転先のネットワークでも資金を探す必要がある。オンチェーン監視会社Onchain Lensによると、月曜日に明らかになった別の窃取疑惑では、Solanaのアービトラージボット「King」に関連するウォレットの資金が、複数のSolanaウォレットを経由した後、Mayanのクロスチェーンサービスを通じてEthereumに移された。ただし、Kingの運営元は侵害を確認しておらず、この移動経路だけでボットや関係者が攻撃を受けたとは断定できない。
TRMは、バイナンスの事件では初期段階の資金移動にマーケットメーカーや貸付プロトコルが多く使われたと指摘する。2025年にBybitから15億ドル相当が盗まれた事件で、クロスチェーンブリッジの利用が目立ったのとは異なる。今後はブリッジに加え、交換サービスや店頭取引業者を通じた資金移動が起こる可能性もあるとしている。
EU関連口座で1億600万ドル超の損失疑惑
ブロックチェーン調査員のZachXBTは月曜日、身元が公表されていないEUの事業体が日曜日に窃取被害に遭った可能性があり、複数の取引所口座で合計1億600万ドルを超える損失が出たと明らかにした。被害者と関係する取引所はいずれも特定されておらず、現時点では未確認の疑惑にとどまる。ZachXBTによれば、USDCとUSDTが移され、そのうちUSDCはETHに交換された。初期の資金移動には、バイナンスの事件と似た点があるという。
ZachXBTは、資金がWellWalletやKyrrexなどの即時交換サービスを経由し、その後「Wagyu」という交換サービスを通じてMonero（モネロ）に換えられたとも述べた。即時交換サービスは、異なるトークンを迅速に交換できる。モネロは送金元、送金先、取引額が標準設定で非公開となるため、資金が移された後は、公開されたブロックチェーン上の記録を使った追跡が大幅に難しくなる。
攻撃者が保有するETH・BTCは約24億ドル相当
TRMによると、バイナンスの攻撃者はなお42万枚を超えるETHと1万8,270枚のBTCを管理しており、合計額は約24億ドルに相当する。これらはステーブルコイン発行元の凍結機能による直接的な制限を受けない。大量のETHやBTCが市場に持ち込まれれば売却可能な供給が増える可能性はあるものの、売却時期や経路は分かっていない。資金が数週間から数カ月にわたり分散して移されることも考えられ、現時点で近く一斉売却が起きると判断することはできない。
バイナンスの共同最高経営責任者（CEO）、何一氏は、同社が盗難資産を補填するため、63億4,000万ドルを超える自社資金を充てたと説明した。この対応には店頭取引や取引所での購入が含まれるとされ、資金移動の反対側では新たな需要につながる可能性がある。購入規模や時期、実施方法は、資金の流れを評価するうえで確認すべき情報だ。
バイナンスは損失を負担すると表明しており、現時点で顧客に損失負担を求めていない。ただし、今回の被害は取引所が管理するホットウォレットで発生した。取引プラットフォームに保管した資産の安全性は、各社のセキュリティ対策に左右されることを示す事例でもある。また、ステーブルコインの凍結は盗まれた資金の移動を制限する一方、発行元が特定ウォレットのトークンを管理できることも改めて示した。
今後はウォレットの大口移動と凍結額を確認
今後の焦点は、攻撃者が管理するETH・BTCのウォレットから大口送金があるか、資金が取引所や店頭取引の経路に向かうかどうかだ。TRMは分割送金と資金が集約されるアドレスを追跡している。大口の移動が確認されれば、盗難資産が売却に近づいている可能性を示すことはあるが、送金だけで換金が完了したとは言えない。
バイナンスは、署名システムが侵害された原因の全容をまだ公表していない。セキュリティ上の根本原因について説明があれば、他のプラットフォームにも同様のリスクがあるかを判断する材料となる。EU関連の疑惑については、被害者や取引所、正確な損失額が確認されていないため、1億600万ドル超という金額は未確認の推計として扱う必要がある。凍結額や回収額に更新があれば、攻撃者が実際に管理する資産の規模も変わり得る。