币安60億ドル盗難事件の全容：EIP-7702委任メカニズムが11個のウォレットの資産消去に悪用

原文来自Web3 安全公司blockaid

编译｜速递侠@Odaily

事件概要

2026年10月29日、公開統計ベースで、BinanceのホットウォレットはEthereum、Arbitrum、Avalanche、Optimism、Bitcoin、Tronの6つのチェーン上で少なくとも55億ドルを窃取された。これは公開記録として史上最大規模の暗号資産窃盗である。攻撃はBinance 14（Binance 14）を中心に展開された——これはBinanceがEthereum上で保有する最大かつ最も活発なホットウォレットの一つである。

20:24 UTC以降、攻撃者はまず約25億ドルの取引でBinance 14を空にした。そのわずか数分前、このウォレットの秘密鍵のコピーで署名されたEIP-7702の認可により、ウォレットの委任権が攻撃者自身がデプロイしたスイーパーコントラクト（sweeper）に設定されていた。最初のスイープから12分以内に、4つのチェーン上の別の10個のBinanceホットウォレットが同じアドレスに資金を送金した。その後、攻撃者は依然として委任状態にあるBinance 14を通じて、Binance名義のスマートアカウントを空にした。Binanceは調査中と述べており、ユーザー資金への影響はまだ確認されていない。現時点で各スイープの合計は55億ドルに達しており、エクスプロイトは今も進行中である。

Blockaidの検知はスイープ発生から2分以内、いかなる公開報道よりも早くこのスイープをフラグ立てし、自動分析は11分以内に秘密鍵の漏洩と委任メカニズムを確認した。1時間以内に、Blockaidは自社ネットワーク上で攻撃者アドレスを悪意ありとしてマークし、Ecosystem Incidents Feed（エコシステム・インシデント・フィード）を通じて全顧客にこの事件を通知し、資金が分散・交換・盗品を担保とした借入に使われる全過程を追跡した。TetherとCircleは主要受取アドレス上の約18億ドルを凍結した。Tetherはその後、凍結したUSDTの総額が15億ドルを超えると述べた。凍結できないETH、AVAX、OP、ARBは依然として攻撃者の手中にある。

本レポートは、攻撃者の準備過程、EIP-7702の委任とスイープ、4つのチェーン上で並行して行われた秘密鍵署名、資金洗浄の経路と凍結を網羅する。これは大量の署名鍵を保有する取引所、カストディアン、金融機関に向けて書かれたものであり、こうした攻撃の成否を決める2つの制御点を指し示す：署名が生成される前のポリシー執行と、資金が動き出した後の継続的なモニタリングである。

背景：ホットウォレット、署名鍵、EIP-7702委任

取引所のホットウォレットとは、取引所が顧客の出金や自社ウォレット間の資金移動に使うオンラインアカウントである。そこには大量の運転資金が保管され、署名は絶え間なく行われ、1日に何千件もの送金に署名することもしばしばだ。そしてそうした署名の背後にある秘密鍵こそが、残高と、秘密鍵のコピーを1つでも持つ者との間の唯一の防御線である。Ethereumおよびその他のEVMチェーン上では、こうしたウォレットは伝統的に外部所有アカウント（EOA）——コードを持たない普通のアドレスであり、有効な署名が1つあれば資金を移せ、チェーン上でそれ以上何も検証されない。

EIP-7702は、EOAがスマートコントラクトのコードを実行できるようにする。アカウントが指定コントラクトへの認可に署名し、type-4トランザクションがこの認可をブロックに取り込むと、そのアカウントへのあらゆる呼び出しがそのコントラクトのロジックを実行し、アカウントの残高に完全にアクセスできるようになる。認可はアカウントのnonceに紐づき、委任はアカウントが新たな認可に署名して置き換えるかクリアするまで有効であり続ける。リテールウォレットにとっては、これによりバッチトランザクションやガス代の肩代わりが可能になる。ホットウォレットにとっては、漏洩した署名が正しいnonceに当たるだけで、アカウントの継続的かつコードレベルの制御権を——それ以降に入金されるすべての資金を含めて——攻撃者の手に渡すことになる。

Blockaidは2026年上半期に4件のEIP-7702事案を確認し、関与した金額は合計約108万ドルで、いずれも委任の異なる側面を悪用していた。同社の「2026年上半期オンチェーンセキュリティレポート」は、7桁規模の最初の事例が年末までに出現すると予測していた。今回の事件はその予測の実現であり、しかも予測を3桁上回っている。

直接送金の経路はより古く、より単純だ。盗まれた秘密鍵が普通の送金に1件ずつ署名する。1日に何千件もの出金を発するウォレット上では、受取人・金額・時刻を突き合わせて見るまで、こうした送金はすべて通常に見える。どちらの経路も最終的には秘密鍵に行き着く——だからこそ、この種の攻撃の検知は既知の署名パターンやコントラクトの脆弱性ではなく、行動特性に頼らなければならない。

エクスプロイトの全過程

以下の時刻はすべて2026年10月29日 UTCである。執筆時点で事件は依然として進行中である。

1. 準備

オペレーターアドレス 0x7C8601d4645b93cea45F71e118A729332e6B5CA0 は、10月28日以降、3件のTornado Cash出金を通じて資金を調達した。10月29日、同アドレスは自身の3つのウォレット上で完全な「委任—スイープ」フローをリハーサルし、毎回わずか2〜6ドルしか送金しなかった。同日15:59、後にBinanceで使われるスイーパーコントラクト 0x63e842B054Bd624a465454D533C33F573e9c6fAe をデプロイした。このコントラクトはソースコード未検証で、オペレーターを唯一の認可呼び出し元として登録し、sweep関数（アカウント内に列挙された各種トークンとETHをすべて指定受取人に送金する）と、転送関数（委任されたアカウントに他のコントラクトを呼び出させる）を含んでいる。

2. Nonceスプレー：50件の認可、1件が命中

20:20:59、オペレーターはBinance 14（0x28C6c06298d514Db089934071355E5743bf21d60）にtype-4トランザクションを送信し、そこにBinance 14の秘密鍵で署名された50件のEIP-7702認可を搭載した。nonceは18,914,775から18,914,824まで1件ずつで、各認可は当該ウォレットをスイーパーコントラクトに委任するものだった。当時Binance 14は依然として顧客への出金を行っており、攻撃者は有効なnonceがどれかを知り得なかったため、丸ごと1つのウィンドウに署名した。うち49件は無効、1件が命中し、委任が直ちに有効化された——しかもBinance自身の取引は、同じウォレットから普段通りに送金され続けていた。

3. スイープ：1件の取引で25億ドルを持ち去る

20:24:23、3分24秒後、オペレーターはBinance 14上でsweepを呼び出し、167,464 ETH、16億1,500万USDT、および約60種のその他トークンを、それまで履歴のまったくなかった受取アドレス 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c に送金した。Binance 14には1 ETHだけが残った。当時の価格で、このバスケット資産は約25億ドル相当だった。

4. 4つのチェーン上の別の10個の秘密鍵

スイープから24秒後、Binance 16（Binance 16）が同じアドレスに28,005.6 ETH、5,570万USDT、2,590万RLUSD、84.5 WBTC、および別の5種のトークンを送金した。12分以内に、Optimism上のBinance 55が4,420万OPを、Arbitrum上の4つのホットウォレットが7,460万ARBと8,426 ETHを、Avalanche上の4つのホットウォレットが181万AVAXと841万USDTを送金した。

これらのウォレットはいずれもコードを持たない。各送金はウォレット自身の秘密鍵で署名された普通の取引であり、日常の出金の合間に送り出された。公開統計ではさらに、Bitcoinチェーン上の18,270 BTCとTronチェーン上の約6億3,000万ドルも同一行為者のものとして計上されている（この部分は原文で脅威インテリジェンスによる確認待ちと注記されており、詳細は訳注を参照）。

5. スマートアカウントと継続的な吸い上げ

20:41:23、オペレーターは依然として委任されているBinance 14——このウォレットはCircleのスマートアカウント Binance Hot Wallet 34を保有している——を利用して、7億8,000万USDCを当該アカウントから受取アドレスに戻し、続けてさらに4,300万USDCを送金した。21:44、同アドレスは再びBinance 14をスイープし、最初のスイープ以降に新たに入金された2億USDTと別の13種のトークンを持ち去った。22:00時点で委任は依然として有効であり、Binance 14に送り込まれる資金は、もう一度署名することなく持ち去ることができる。

盗品が流動している間、なぜオンチェーンモニタリングとリスクエクスポージャーが同様に重要なのか

機関は自社の鍵と署名プロセスを制御できるが、資金が経由する場所、自分たちに資金を預ける取引相手、そしてすでに4つのチェーン上で30億ドルを運んでいる攻撃者を制御することはできない。まさにこの外部リスク面こそが、Onchain Monitoring（オンチェーンモニタリング）とRisk Exposure（リスクエクスポージャー）がカバーする範囲である。そして今回の事件では、両者は最初の送金から数秒以内にすでに機能し始めていた。

オンチェーンモニタリングが検知するのは行動であり、署名ではない。今回の事件におけるシグナルは以下の通りだ。ホットウォレットのコードが空白から委任ポインタに変わったこと。トレジャリーアドレスが在庫規模の金額を履歴のないアドレスに送金したこと。同じ新規アドレスが12分以内に4つのチェーン上の11個のマーク済みウォレットから資金を受け取ったこと。これらはいずれも既知の攻撃パターンやコントラクトの脆弱性を必要としない。そのためBlockaidの検知器はスイープ後1分55秒で発火し、各クロスチェーン転送については7秒以内に収めた。委任自体はオンチェーン上で3分24秒にわたって可視状態だった——自社アドレスの状態変化を監視している機関なら、行動できるウィンドウがあった。モニタリングアラートが発火したとき、Blockaidのレスポンスワークフローは「残高を移す」または「委任をクリアする」トランザクションを機関のカストディプラットフォームに直接プッシュでき、対応と検知は同じ分内に開始される。

リスクエクスポージャーは同じ事件のもう一つの側面——この資金を受け取ろうとしているすべての者——を扱う。スイープから90分以内に、盗品はPermit2、LI.FI、Uniswap、UniswapX、Aaveに次々と触れ、その後クロスチェーンブリッジやアグリゲーターの取引に及んだ。この経路上のあらゆる流動性プール、レンディングマーケット、クロスチェーンブリッジ、マーケットメイカー、取引所は、今やこの盗品を保有したか処理したことになり、コンプライアンスリスクは資金が着金した瞬間に彼らに降りかかる。Risk Exposureはこうした機関にリアルタイムのシグナルを提供する。

EIP-7702がいかにして1つの漏洩した秘密鍵を恒久的な制御権に変えるか

EIP-7702以前は、ホットウォレットの秘密鍵が盗まれることは時間との競争を意味した。攻撃者は相手がまだ残高を移せるうちに各署名を完了しなければならず、取引所が新しいアドレスにローテーションしてしまえば、その秘密鍵は無価値になった。しかし委任に署名できる秘密鍵はこの状況を一変させる。

1件の認可が、あるnonce上で有効になれば、Binance 14を攻撃者が所有する1つのプログラムに変える。最初のスイープは20:24 UTCに残高を持ち去り、委任はそのまま残された。21:44 UTC、攻撃者はウォレットがもう1件も署名することなく、2億ドル超の新規入金を持ち去った。新しい秘密鍵へのローテーションではこれを解除できない。なぜなら委任は秘密鍵ではなくアドレスに属するからだ。漏洩した秘密鍵でもう1件、アカウントをゼロアドレスに向ける認可に署名することによってのみリセットできる。それまでは、Binance 14に入るすべての資金が手の届くところにある。

大規模なEOAを運用するチームにとって、実行可能なアクションは具体的だ。EIP-7702認可を特権操作として扱い、コールドウォレット送金と同等のポリシーで管理すること。すべてのホットウォレットアドレスのコード変化を監視し、取消トランザクションを事前に用意しておくこと。委任状態が不明なアドレスに在庫を置かないこと。漏洩が発生したら、まず委任をクリアし、それから鍵をローテーションし、ウォレットに資金を補充すること。そしてすべての委任トランザクションで、認可リストをスクリーニング層に転送すること——そのリストを剥ぎ取れば、委任は信頼済みアドレスへの空呼び出しのように見えるからだ。Blockaidのエンジンはすでにこのリストを評価しており、Cosignerもす