2件の暗号資産窃盗が同じ道筋をたどる：Binanceから63億6000万ドルの強奪と、EUで1億600万ドルとみられる窃盗

1週間以内に、2件の暗号資産強奪が同一のパターンをたどった。盗まれた資金は、主として凍結されることへの恐れによって規定される経路を通る。この経路を理解すれば、奪われた資金のうちどの部分が回収され得るのか、何が失われたままになり得るのか、そしてなぜ一部の金額が後に流通に入り得るのかが明確になる。

より大規模な窃盗はBinanceに関わるものだった。10月29日、約63億6000万ドルが、10のブロックチェーンにまたがる同取引所のホットウォレットから持ち出され、その大半は約20分で流出したと、ブロックチェーン分析企業のTRM Labsが報じた。ホットウォレットとは、出金処理に使われるインターネット接続型のウォレットだ。FBIは北朝鮮のハッキンググループTraderTraitorを非難し、これはこれまで記録された最大の暗号資産強奪事件である。

2件目の事案は未確認だ。月曜日、ブロックチェーン研究者のZachXBTは、身元不明のEUの主体が日曜日に複数の取引所口座から1億600万ドル超を失った可能性があると報告した。被害者も取引所も名指しされていないため、これは依然として窃盗の疑いにとどまる。それでも示唆に富む。資金は同じ道筋をたどったように見えるからだ。

ステップ1：ステーブルコインを可能な限り速く放出する

TetherのUSDTやCircleのUSDCのようなステーブルコインは、窃盗犯にとって最大の障害となる。その発行体は指定された任意のウォレット内のトークンをロックでき、事実上、盗まれたドルを使えなくする。

Binanceの事案ではまさにそうなった。TRM Labsによると、Tetherは主要な資金吸い上げの37分後に攻撃者の主要な受け取り用ウォレットで約9億7100万USDTを凍結し、Circleはその数分後に8億2300万USDCを凍結した。Tether、Circle、Ripple、World Liberty Financial、およびArbitrumのSecurity Councilによる凍結を含めると、TRMは総額を約27億ドルと推計している。Binanceは約30億ドルと報告している。

攻撃者はこれらの凍結に先んじようと急ぎ、相当なコストを負った。TRMによると、約3億2500万USDTがマーケットメーカーに渡り、約122,300 ETHと交換された。これは市場価格と比べて10%超のディスカウントを示唆する。さらに、6000万USDTが融資プロトコルAaveに担保として預けられ、約19,760 ETHを借り入れた。これほど大きなヘアカットを受け入れたことは、窃盗犯が凍結を逃れることをどれほど優先したかを示している。

EUで起きたとみられる事案も同様に始まった。ZachXBTは、資金はUSDCとUSDTで取引所を出て、USDCはEtherに変換されたと述べた。

ステップ2：足跡を断ち、ブロックチェーンを切り替える

資金が発行体に凍結できない資産、主にETHとBTCに入ると、目的はそれらを追跡しにくくすることになる。

一つの手法はピールチェーンだ。TRMによると、Binanceから盗まれた18,270 BTCは単一のブロック内で1,000 BTCや100 BTCといった丸められた額に分割され、一つの明白な経路ではなく複数の小さな足跡を生み出した。自動化された活動も検出され、資金は分析を妨げるためにウォレット間、さらには以前に使用されたアドレス間を行き来した。

もう一つの方法はチェーンホッピングだ。クロスチェーンブリッジは資産をあるブロックチェーンから別のブロックチェーンへ移し、調査担当者に別のネットワークで追跡を再開させる。月曜日に指摘された小規模な事案では、オンチェーン分析プラットフォームのOnchain Lensが、SolanaのアービトラージボットであるKingに関連するウォレットの資金が複数のSolanaウォレットを通り、後にブリッジサービスMayan経由でEthereumに移動したと指摘した。Kingの運営者は侵害を確認していないが、このパターンは典型的な事例だ。

TRMは、初期のBinanceの資金洗浄が、2025年の15億ドル相当のBybitハッキング後に見られたブリッジ多用の手法よりも、マーケットメーカーや融資プロトコルに多く依存していたと観察している。同社は、その後の段階でブリッジ、スワップサービス、店頭（OTC）ブローカーが役割を果たすと予想している。

ステップ3：オフグリッドに消え、その後現金化する

最終段階は、公開された追跡記録を断ち切り、暗号資産を使える現金に変えることに焦点を当てる。

EUで起きたとみられる窃盗は、追跡不能になる段階を鮮明に示している。ZachXBTは、資金がWellWalletやKyrrexといったインスタント取引所プラットフォームを通り、Wagyuという名称のサービス経由でMoneroに交換されたと報告した。インスタント取引所は迅速なコイン交換を可能にし、通常は大手取引所よりも厳格でないチェックで行われる。Moneroはプライバシーコインだ。すべての取引を公開台帳に記録するBitcoinやEthereumとは異なり、既定で送信者、受取人、金額を隠す。資産がMoneroに入ると、ブロックチェーン上でそれらを追跡することははるかに難しくなる。

最終ステップは現金への変換であり、一般にはOTCブローカーや組織化された資金洗浄ネットワークを通じて行われる。CNBCは、これらのネットワークが回収の可能性を低くすると述べた専門家の言葉を引用した。この段階は数週間から数カ月に及ぶ可能性があり、それが盗まれた資金が当初のメディアの注目をはるかに過ぎても動き続ける理由を説明している。

トレーダーと投資家にとっての意味

この経路は、何が凍結され、何が凍結されなかったかの区別を明確にする。ステーブルコインは回収できた部分だった。ETHとBTCは回収できなかった。TRMによると、Binanceの攻撃者は依然として420,000 ETH超と18,270 BTCを保有しており、その価値は約24億ドルで、いかなる発行体の権限をもってしても凍結できない。

この状況は潜在的な市場の供給圧力（オーバーハング）を生む。そのETHまたはBTCの相当量が最終的に売られれば、供給が増えることになる。時期と方法は不明であり、資金洗浄は通常、長期にわたって小分けに行われるため、差し迫った売りではないと見なすべきだ。これは注視すべき要素であり、予測ではない。

需要面もある。Binanceの共同CEOであるYi Heは、同取引所が盗まれた資産を補うために63億4000万ドル超の自社資金を充てたと述べ、報道によればその一部はOTC取引や取引所取引を通じて購入される。

個人投資家にとっての重要な教訓は、リスクがどこにあるかに関するものだ。この攻撃はBinance自身のホットウォレットを狙ったもので、Binanceは損失を吸収していると述べているため、顧客には損失について通知されていない。それでも、これは、どのプラットフォームに保有する暗号資産もそのプラットフォームのセキュリティに依存することを思い起こさせる。ステーブルコインの凍結には二面性もある。今回は助けになったが、発行体が任意のウォレット内のトークンを管理できることを示している。

次に監視すべきこと

• 攻撃者のETHおよびBTCウォレットからの資金移動：TRMはピールチェーンと統合用ウォレットを追跡している。取引所やOTCデスクへの大口送金は、盗まれた資金が売られていることを示す最初の兆候となるだろう。
• Binanceの根本原因：同取引所は、署名システムがどのように侵害されたかについて包括的な説明を公表していない。これは、他のプラットフォームが同様の脆弱性を共有しているかどうかを評価するうえで重要だ。
• EUの事案の確認：被害者または取引所が特定されるか、検証済みの損失額が明らかになれば、1億600万ドル規模のこの事案は別個の話になる。それまでは窃盗の疑いにとどまる。
• 凍結総額の更新：凍結または返還された数量に変更があれば、攻撃者の管理下に依然としてあるものが何かの評価が変わる。

シナリオを変え得るもの：盗まれたETHとBTCが数カ月間手つかずのままであれば、オーバーハングは短期的にはあまり重要でなくなる。多額の資金が取引所に現れ始めれば、より差し迫った供給問題になる。いずれにせよ、ウォレットを監視するほうが憶測より生産的だ。