北朝鮮関連がバイナンスに侵入した方法と、中小企業が学ぶべき3つの対策

2026年10月29日、世界最大の暗号資産取引所バイナンスから、約63億ドル（約9440億円）が盗まれました。

暗号資産の盗難としては過去最大です。それまでの最高だった2025年2月のBybit事件（約15億ドル）の、およそ4倍にあたります。

ニュースでは「北朝鮮の犯行」と大きく報じられました。
一方で、どうやって社内に入り込んだのかは、あまり詳しく伝えられていません。

入口は、社員1人のノートパソコンだったとみられています。今回は、公表された情報と分析会社のレポートをもとに、侵入から送金までの流れを順に整理します。

暗号資産を扱わない中小企業にも、そのまま当てはまる教訓があります。最後に、今日から見直せる対策もまとめました。

金庫を壊したのではなく、金庫番のパソコンを乗っ取って「正規の手続き」で出金させた事件です。

1. 約20分で、10のチェーンから約63億ドルが流出した

ブロックチェーン分析会社TRMラボによると、攻撃は10月29日20時05分（UTC）に始まりました。日本時間では30日の朝5時過ぎです。

わずか約20分のあいだに、10のブロックチェーンから大半の資金が持ち出されました。

FBIは10月31日、北朝鮮の部隊「TraderTraitor（トレーダートレイター）」の犯行だと発表しました。2025年のBybit事件でも、FBIが名指ししたグループです。

日本の取引所への影響は報告されていません。SBI VCトレードとビットバンクは、顧客資産に影響はないと発表しています。

2. 入口は、DevOpsエンジニア1人のノートPCだった

バイナンスは初期調査の結果、DevOpsエンジニアのノートPCの乗っ取りが侵入の始まりだった可能性があると発表しました。

DevOpsエンジニアとは、社内システムの構築や運用、更新作業を担う技術者です。
仕事柄、本番環境に近いシステムへ入れる権限を持っています。

PCの感染経路は未公表、ただし偽の求人やテストが常套手段

PCがどうやって乗っ取られたのか、バイナンスはまだ公表していません。フィッシングも、開発者が使うソフト部品を狙った攻撃も、否定できない状態です。

手がかりになるのが、TraderTraitorの過去の手口です。TRMラボは、北朝鮮が「鍵を管理する人」を狙う流れを
「Code to Custody（コードから金庫へ）」と呼んでいます。

偽のリクルーターや投資家を名乗って近づき、コーディングテストとして不正なプログラムを実行させます。そこからSSH鍵やクラウドの認証情報を盗み、送金を承認するシステムへたどり着きます。

どちらも「開発者のPC1台」から始まり、クラウドや署名の仕組みへ広がった点が今回と共通しています。

今回も同じ型である可能性はありますが、確定ではありません。
バイナンスは詳しい技術レポートを公表する予定としています。

狙われたのはシステムの穴ではなく「人」です。うまい求人話と一緒に届いたファイルは、まず疑ってください。

3. PCからサービスコンテナに入り、出金を申請できる立場を得た

乗っ取ったPCを足がかりに、攻撃者は「サービスコンテナ」と呼ばれる社内の仕組みに入り込みました。

サービスコンテナとは、出金処理などの機能ごとに切り分けて動かしている実行環境です。入られたコンテナは、出金の取引を申請できる権限を持っていました。

攻撃者は、そこから不正な出金取引を送り込みました。バイナンスは影響を受けた権限を取り消し、出金の仕組みを作り直しています。

侵入箇所はPC1台だけではなかった

その後の追加調査で、バイナンスはPC以外にも侵入された箇所を見つけたと発表しました。

共同通信によると、テン共同CEOは複数人が関与した「複雑な攻撃だった」と説明しています。送金の権限は、通常の承認手続きを経ずに取得されていました。

入口はPC1台でも、そこから「お金を動かせる場所」まで道がつながっていたことが本当の問題です。

4. 秘密鍵は盗まず、署名システムに「本物の署名」を作らせた

バイナンスは、ウォレットの秘密鍵が漏れた証拠は見つかっていないとしています。

秘密鍵は、暗号資産を送金するための「実印」のようなものです。これまでの盗難事件では、この鍵を盗んで送金するのが典型的な手口でした。

今回は鍵を盗むのではなく、鍵を使う署名システムそのものを操り、正規の署名を作らせたとみられています。

TRMラボは、鍵の種類も署名方式も違う複数のチェーンから、同じ30分以内に資金が出ていった点を根拠に挙げています。チェーンごとに鍵を盗むより、署名システムを握ったと考えるほうが自然だからです。

イーサリアムでは「EIP-7702」でウォレットを回収装置に変えた

イーサリアムでは、EIP-7702という仕組みを使い、ホットウォレットを攻撃者が操る「回収装置」に変えていました。

EIP-7702は、普通のウォレットにプログラムの働きを持たせる仕組みです。攻撃者は、この切り替えに使う署名済みの認可を50件、事前に用意していました。

研究者の間では、EIP-7702そのものが原因ではないという見方が一般的です。
根本の問題は、署名システムを握られたことにあります。

ビットコインなど9チェーンでは「普通の送金」として出ていった

ビットコインを含むほかの9つのチェーンでは、通常の署名付き送金として資金が送られました。

システムから見れば、正規の署名がついた普段どおりの出金です。そのため、送金の中身だけを見て不正と見分けるのは難しい状態でした。

「正しい署名があるから正しい取引」と信じる仕組みは、署名を作る側が乗っ取られると一気に崩れます。

5. 準備は36時間前から始まり、痕跡を消しながら実行された

TRMラボによると、攻撃の準備は実行の少なくとも36時間前から始まっていました。

準備とテスト、署名の用意を済ませてから一気に実行する。この流れはBybit事件や2026年4月のKelpDAO事件と同じだと、TRMラボは指摘しています。

攻撃しながら痕跡を消す仕組みも使われた

テン共同CEOは、攻撃者が道具や取引の痕跡を消す仕組みを使い、追跡を難しくしたと説明しています。

Bybit事件でも、攻撃者はマルウェアを削除し、コマンドの履歴を消していました。今回、侵入の全容がなかなか見えないのも、こうした手口のためです。

何日も前から準備して、本番は20分。気づいた時には証拠も消えている、という前提で備える必要があります。

6. 凍結できたのは半分以下、盗まれたビットコインは取り戻せない

凍結できた資金は、Ellipticの集計（11月2日時点）で約28.5億ドル、被害全体の約44%です。その94%はステーブルコインでした。

USDTやUSDCなどのステーブルコインは、発行会社が送金を止められます。テザーやサークルなどが数時間以内に動いたことで、大きな額を凍結できました。

一方、ビットコインやイーサリアムには、送金を止められる発行元がありません。攻撃者は今も42万ETH超と18,270BTC（約24億ドル相当）を保有しています。

Ellipticによれば、ビットコイン上で凍結された資金はありません。攻撃者は凍結を逃れるため、ステーブルコインを素早く売ったり、担保にしてETHを借りたりしていました。

資金はTHORChainなどを通じて別のチェーンへ移されている

盗まれた資金の一部は、THORChainなどのクロスチェーン交換サービスで移動されています。調査で知られるZachXBTは、9月のBitget事件の資金と同じアドレスで合流したと報告しました。

FBIはTHORChainなどの運営者に、盗難資金の取引を止めるよう求めています。北朝鮮はこれまでも、ビットコインに替えてから仲介業者を通じて現金化する流れを繰り返してきました。

バイナンスは自社資金で代わりのトークンを買い集め、11月1日時点で被害の約95%を補填しました。利用者の資産は守られた形です。

盗まれた後に取り戻せるのは一部だけです。暗号資産に限らず「盗まれない仕組み」が最優先になります。

7. 中小企業の教訓は「お金を動かすPC」を分けること

今回の事件は、暗号資産を扱わない中小企業にもそのまま当てはまる教訓を含んでいます。

構図は「管理者のPC1台が乗っ取られ、お金を動かせる場所まで入られた」というものです。ネットバンキングや会計ソフト、ホームページの管理画面でも同じことが起こりえます。

対策1：お金を動かすPCは、メールやWeb閲覧に使わない

ネットバンキングやサーバー管理の操作は、メールやWeb閲覧に使わない専用のPCで行います。

1台で全部を済ませると、メール1通の感染がそのまま送金の権限につながります。古いPCを1台、振込専用にするだけでも効果があります。

対策2：届いたファイルは、展開しても中身を開かない

北朝鮮系の攻撃者は、高待遇の求人や投資の話を装って近づきます。

「テスト」や「資料」として届いたプログラムは、業務PCで実行しないルールを決めておきます。相手が知り合いを名乗っていても、実行前に別の手段で確認してください。

ZIPなどの圧縮ファイルは、展開しただけなら基本的には感染しません。危ないのは、展開して出てきたプログラムやショートカットを開いたときです。

ただし、展開ソフトが古いと例外があります。WinRARの脆弱性（CVE-2025-8088）では、
細工したRARファイルを展開するだけで、次回ログイン時に動くファイルを仕込まれました。

最後の行は、北朝鮮系グループが偽の採用課題で使っている手口です。VS Codeで「作成者を信頼しますか」と聞かれても、相手を確認できるまでは許可しないでください。

対策3：振込や権限変更は「1人で完結しない」設定にする

振込や管理者権限の変更は、2人目の承認が必要な設定にします。

多くのネットバンキングには、承認者を分ける機能があります。あわせて、高額の振込や深夜の操作に通知が届くようにしておくと、被害の拡大を防げます。

大企業の事件ですが、教訓は身近です。まずは「お金を動かすPC」をほかの用途と分けることから始めてください。

8. よくある質問

バイナンスの利用者のお金は戻ってきますか？

バイナンスは自社資金で全額を補填すると表明しています。11月1日からビットコインなどの出金を段階的に再開し、利用者に損失は出ないとしています。

日本の取引所に影響はありますか？

SBI VCトレードとビットバンクは、顧客資産への影響はないと発表しています。ただし、事件に便乗した詐欺には注意が必要です。公式以外のリンクやメッセージは開かないでください。

なぜ北朝鮮の犯行だとわかったのですか？

FBIが10月31日に北朝鮮の部隊TraderTraitorの犯行と発表しました。TRMラボやChainalysisも、過去の事件との共通点や、Bitget事件の資金との合流を根拠に挙げています。

ノートPCはどうやって乗っ取られたのですか？

11月6日時点で、バイナンスは公表していません。過去の事件では偽の求人やテストが使われてきましたが、今回の経路は詳しい技術レポートを待つ必要があります。

秘密鍵が盗まれていないのに、なぜ送金できたのですか？

鍵を使って署名する社内のシステムを操り、正規の署名を作らせたとみられています。鍵そのものが無事でも、鍵を使う仕組みが乗っ取られれば送金できてしまいます。

ZIPファイルを解凍しただけで感染しますか？

基本的には、展開しただけでは感染しません。感染するのは、出てきたプログラムやショートカットを開いたときです。

ただし、WinRARの古い版（7.12以前）には、展開だけでファイルを仕込まれる脆弱性がありました。7-Zipの24.09より前の版では、開くときの警告が出なくなる問題もあります。展開ソフトは最新にしておいてください。

Windows標準の「すべて展開」は安全ですか？

中小企業にはいちばん無難な選択です。Windows Updateで自動的に修正されるため、別ソフトのように古いまま放置される心配が少ないからです。

ただし、パスワード付きのRARや7zには対応していません。Windows Updateを止めているPCでは、標準機能でも安全とはいえません。

9. まとめ

今回の事件は、最先端の暗号技術ではなく、社員1台のPCという身近な弱点から始まりました。

攻撃の規模は桁違いでも、構図は中小企業の不正送金と変わりません。PCの使い分け、送金の2人承認、展開ソフトの更新から見直してみてください。

「うちは狙われない」ではなく「1台やられても、お金までは届かない」状態を目指しましょう。

村上ドットプロでは、AI導入支援に加えて、サイバーセキュリティに関する無料相談も受け付けています。社員のスマホ利用ルールづくりや、従業員向けの注意喚起についてもお気軽にご相談ください。

参考リンク

• TRM Labs：North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History
• TRM Labs：North Korea Has Stolen USD 12.8 Billion in Crypto, USD 7.4 Billion of It in 2026
• FBI：North Korea Responsible for $6 Billion+ Binance Attack
• CNN.co.jp：暗号資産取引所バイナンスにハッキング、過去最大の9400億円超被害 北朝鮮の犯行か
• 共同通信（OANDA掲載）：暗号資産巨額盗難、北朝鮮関与か
• CoinPost：バイナンスのハッキング被害に関する速報
• Help Net Security：Binance hit by $6.3 billion theft
• CSO Online：A compromised DevOps laptop caused the $6.3B Binance breach
• The Block：North Korean hackers launder $242 million of Binance loot via Tron
• Coinranking：THORChain Carried Stolen Binance and Bitget Funds
• Qatar Tribune（ロイター配信）：Binance restores bitcoin and ether withdrawals
• SecureBlink：North Korea's TraderTraitor Executes $1.5B Crypto Heist via Supply Chain Attack
• The Hacker News：Safe{Wallet} Confirms North Korean TraderTraitor Hackers
• The Hacker News：North Korea-Linked Hackers Target Developers via Malicious VS Code Projects
• Greenbone：New WinRAR Flaw CVE-2025-8088 Exploited in Social Engineering Attacks
• Security Affairs：A 7-Zip bug allows to bypass the Mark of the Web (MotW) feature
• Check Point Research：CVE-2025-24054, NTLM Exploit in the Wild
• Pureinfotech：Windows 11 can now extract RAR and 7-Zip archival formats

※被害額は分析会社や集計時点によって異なります（バイナンス発表は約63億ドル、TRMラボは約63.6億ドル、Ellipticは約64.3億ドル）。円換算はCNN報道時点のレートによる参考値です。
※凍結額は、バイナンス発表で約30億ドル、TRMラボで約27億ドル（10月30日時点）、Ellipticで約28.5億ドル（11月2日時点）です。
※ノートPCの感染経路は未公表です。偽の求人やテストに関する記述は、TraderTraitorの過去の事件からの推測であり、今回の経路を断定するものではありません。
※WinRAR（CVE-2025-8088）は7.13、7-Zip（CVE-2025-0411）は24.09、Windows（CVE-2025-24054）は2025年3月の更新で修正されています。
※記事の内容は2026年11月6日時点の公表情報にもとづいています。