Binanceのハッカー、盗んだ1億2400万ドル分のアルトコインをビットコイン(BTC)に換金

16のブロックチェーンにまたがる資金洗浄

Binanceから盗まれた64億3,000万ドルの資金洗浄は、現在16のブロックチェーンに広がり、2万を超えるウォレットと約6万5,000件の取引を経て追跡されており、その最新経路は現物ビットコイン市場に直結している。11月6日に公開されたブロックチェーンフォレンジックの報告によると、攻撃者は盗んだアルトコインのうち1億2400万ドル分を、およそ1,650BTCに換金した。これは形を変えたものであって新たな損失ではない。換金されたコインは10月29日の侵害で奪われた同一の山から出たものであり、この換金は当初その攻撃に付けられた14億8,000万ドルという数字とは別個に報告されている。分析でビットコイン (BTC)とされるのは資産そのものであり、別のチェーン上のラップドビットコインの表現形ではない。つまり、換金された資金は業界で最も深い流動性プールの中に置かれていることになる。追跡結果では、全体の44.3%に当たる28億5,000万ドルが凍結の対象となり、48.4%に当たる31億1,000万ドルが依然として関連ウォレットに置かれたままだ。この二つで64億3,000万ドルのうち59億6,000万ドルを占め、残る約4億7,000万ドル(全体の7.3%)は公表された集計から説明がつかない。この差分は、タイミングのずれや資産価格の変動で説明できる可能性が高い。資産ごとに見ると、XRPはこれまでに約5,000万ドルが移動され、約2億2,600万ドルが依然として攻撃者のウォレットに残る。一方、盗まれたSolanaの約8,700万ドルは、ほぼ全額が換金、ブリッジ、送金の循環で送金元を隠す処理が進んでいる。資金の分散は自動化されているように見えるが、分析ではAIエージェントが指揮している証拠は見つからず、これまでに実際に引き出された盗まれた資金はごく一部にとどまる。

98%補填で出金再開へ

合計額と同じくらい重要なのが隠蔽手法だ。TRM Labsによるフォレンジック調査では、送金を偽装するためにTron上で自己発行トークンと流動性プールが作成された実態が記録されている。加えて、貸出の受取トークンを経由する資金移動や、資産を凍結できるウォレットを迂回する連鎖型のブリッジも確認された。別の追跡では、3億2,500万ドルのステーブルコインが20分以内に2億8,500万ドルのイーサリアムへ変換されている。凍結を振り切るためと見られる。一部のXRP換金はTHORChainを経由した。これは分散型のアトミックスワップの場のように機能するクロスチェーンネットワークで、FBIの要請後にウェブサイトはフラグ付きアドレスをブロックしたものの、独立して運用されるノードは取引の処理を続けていた。事件に関連する公表されたアドレスは帰属情報とともに公表された。同局は10月31日にこの窃盗を北朝鮮のTraderTraitorグループによるものと結び付け、THORNodeの運営者、DeFiサービス、即時交換サービスに対し関連フローを遮断するよう呼びかけた。その一方でBinanceは資金が動き続ける中で出金の復旧を進めており、11月6日の更新ではHYPE、INJ、APT、PLASMA、NEAR、LTCが翌週末までに再開対象として挙げられている。公式のインシデント開示によれば、影響を受けたトークン資産の98%は10月31日までに補填され、顧客損失を全額補償する方針が示された。ただし盗まれた資産を置き換えることと回収することは別問題だ。同じ開示内容によれば、侵害は偽の求職面接、技術者のコンピュータへのマルウェア設置、内部AIツールの悪用から始まった。これは技術的境界ではなく、顧客向けのKYC審査を迂回する経路で、ウォレット取引に署名するシステムに至るまで進んだ。出金再開は、逼迫した流動性の中で訪れる。取引プラットフォームTalosの市場構造データによれば、純流出額は61億ドルに達し、ミッドプライス1%以内の板の厚みは初日に28%低下し、11月1日前後にはハッキング前水準を44%下回る低点に触れた後で回復した。ビットコインの価格は攻撃後に約5%下落した。それでも同じ報告は、FTX破綻時と比べれば市場全体への感染の兆候は限定的だったとしている。

行方不明は全体の7.3%のみ

市場の観点から見れば、ビットコイン (BTC)への移動は経路の選択であって供給ショックではない。1,650枚という換金済みの量は、ビットコインの発行スケジュールの前では端数にすぎない。発行量はハビングにより約4年ごとに半減する。約5%の一時下落と板の厚みの回復が並行していることは、売り圧力が吸収されたことを示唆する。攻撃者にとってBTCの魅力は出口流動性にある。仮想通貨で最も深い市場であり、小規模チェーンより凍結を実行しにくいからだ。盗まれたコインが後から包囲され得る経路については、Cory Fieldsによるビットコインの「量子地雷」に関する当社のレポートが一つの回収例を記録している。フォレンジック自体の集計で依然露出が残るのは、直接的な凍結管理の外にある接続ウォレット内の31億1,000万ドル、および公表集計に含まれない4億7,000万ドル(全体の7.3%)だ。自己運用インフラへの分散により、この分は引き続き移動可能な状態にあり、実際に引き出された資金がごく一部である以上、リスクの大半は暗号資産レールの外ではなく、その内側に残っている。