2026年10月29日午後（米東部時間）、Binance のホットウォレットから大規模な不審な流出が発生しました。Binance は TechCrunch に対しセキュリティインシデントへの対応中であることを認め、「潜在的なセキュリティ問題」を「積極的に調査している」としたうえで、セキュリティ確認・資金凍結・法執行機関との連携のため入出金を一時停止しました。共同創業者の Yi He 氏は「ハッキングによる損失はすべて補償する」と述べ、詳細な事後報告を約束しています。出金再開の時期は示されていません。
被害額は定まっていません。Binance は金額を公表していません。Blockaid は約33億ドルの不審な流出を調査中で、Glassnode は約53億ドル、Arkham は57億ドル超、Chainalysis は約59億ドルと推計しています。Blockaid の CEO は「暗号資産史上最大のハッキング」と述べました。2025年の Bybit の被害は約14億〜15億ドルでした。
オンチェーンで観測された内容：米東部時間16時20分頃、委任（delegation）トランザクションにより「Binance 14」とラベル付けされた Ethereum ホットウォレットの制御が変更され、約3分後に資産が外部アドレスへ移されました。このアドレスは40分間で推定35億ドルを受け取っています。Blockaid は、攻撃者がウォレットを事実上「再プログラム」して単独で引き出せるようにし、事前にテスト用ウォレットで予行演習していたと分析しています。EIP-7702 の委任機能の悪用が有力説ですが、秘密鍵の窃取、署名者の欺瞞、署名基盤の侵害も否定されておらず、Bitcoin や Tron 上の移動も説明できていません。
封じ込め：Tether は15.6億 USDT 超、Circle は8億 USDC 超を凍結し、Ripple、World Liberty Financial、Arbitrum Security Council も小規模な凍結を報告しました。攻撃者は Uniswap でトークンを交換し、盗んだ USDT を担保に Aave で ETH を借り入れたため、Aave は貸付市場を凍結しました（Aave のコントラクト自体は影響なし）。Binance.US は独立したプラットフォームで影響はないとしています。BNB は約5〜8%下落し、ビットコインは一時7万7,000ドルを割りました。
攻撃者は特定されていません。ZachXBT 氏と Blockaid は北朝鮮の関与が「濃厚」としていますが、公式な帰属はありません。数値は調査の進展により変わる可能性があります。
