Binance、10月のハッキング損失63億4000万ドルを自社資金で補填完了

Binanceは木曜日、10月29日の不正アクセスで流出した資産についての補填作業が完了したと発表した。同社はこのための自社資金として63億4000万ドル以上を投入しており、詳細は公式発表で確認できる。被害を受けたトークンの買戻しは市場および店頭取引の両チャネルを通じて実施された。資金源はユーザー保護基金SAFUの一部、リスク管理基準が定める水準を上回って積まれていた先物保険準備金の一部、そして自己資金である。ここでいう補填とは、顧客の残高をBinanceの自らの帳簿から埋め合わせたことを意味する。攻撃者から盗まれた暗号資産を回収できたことを示すものではない。同社は引き出し分を補うため、SAFUを約10億ドルの水準に戻す方針も表明しており、緊急時のユーザー保護準備はフルに維持される。なお、取引所がすでに上場廃止した少数のトークンも被害を受けており、これらの保有分は上場廃止プロセスに沿って精算され、保有者は補償されるという。今回の完了発表で、事件発生から数時間以内に始まった段階的な修復作業が一区切りついた。取引所は当初63億4000万ドル超の補填を表明し、その後90%完了、次いで95%完了と報告、残る流動性の低い資産を買い進めながら98%まで進捗を更新してきた。出金は11月1日から再開され、まずビットコインから始まり他のネットワークへと拡大した。再開は現在も段階的なスケジュールで進行中である。発表では盗まれた資産の回収量には触れられておらず、攻撃者の名前も明示されていない。Binanceが11月3日のインシデント報告で説明したところによれば、史上最大の仮想通貨ハッキングとなった今回の窃取は、偽の就職面接と開発者ツールへの仕掛けを入口とし、ホットウォレットからの不正出金に至った。事件から2週間、木曜日の発表が取引所として補填の完了を初めて明言した形となる。

発表と合わせて公開された新しい準備金証明のスナップショットは、11月12日0時(協定世界時、日本時間同日午前9時、米東部時間で水曜日19時)時点の残高に基づき、198のトークンを対象としている。これは事件直後の10月31日分スナップショットの10トークン、そして補填率を約98%と報告した11月4日更新の44トークンからすると、大幅な対象拡大となる。数値は取引所の準備金証明ページに掲載されており、Binanceはこれを「完全に裏付けが確認された資産の最新ビュー」と位置づけている。準備金証明とは、取引所が保有資産でユーザーの残高を1対1でカバーしていることを示す仕組みだ。ただし現時点で、ユーザー自身が数値を検証することはできない。ゼロ知識証明と呼ばれる暗号学的手法(各保有者が自分の残高が計上されたことを他人の情報を露出させずに確認できる仕組み)の完全版は、計算負荷のため生成に約40〜50時間を要する。これが用意できれば、被害トークンの保有者は自分の資産が最低でも1対1で裏付けられていることを独立に検証できる。それまでは、1対1の裏付けはあくまで取引所自身の主張にとどまる。Binanceの準備金証明ガイダンスは、検証日とアカウント記録IDを確認すれば自分の口座が残高集計に含まれているか確かめられるとしている。対象トークンの拡大は、多数のネットワーク上の資産に及んだ事件の規模を反映したものだ。取引所は出金の段階的な再開を継続するとともに、確認でき次第追加情報を共有するとしており、インフラに対するセキュリティ対応は進行中である。

ここで軸となる文書は取引所自身の発表であり、その文言は重要だ。補填は貸借対照上の対応であって、回収の主張ではない。この区別により、今後数日で注視すべき試金石が2つ残る。第一に、約2日後に予定されるゼロ知識証明が、198トークンのスナップショットを実際に1対1で裏付けるかどうか。証明が届くまで、独立した検証は誰もが実行できるチェックではなく約束にとどまる。第二に、残りの出金待ち行列がどの程度の速さで解消されるか。11月1日に始まった段階的再開は、事件から2週間が経過した時点でなお完了していない。SAFUを約10億ドルに戻すコミットメントにより緊急準備金は本来の規模に復する見通しだが、回収額の開示がない以上、63億4000万ドルは取引所が別の言及をするまで、Binanceの帳簿上で自社資金によって吸収した損失であり続ける。