10月29日、およそ20分間で63億ドルがバイナンスのウォレットから流出した。過去最大規模の暗号資産窃盗事件であり、2025年2月のバイビットハッキングの4倍以上。
取引所自身の説明によると、侵入経路はエンジニアのPC。偽の面接を装った攻撃により感染した。
事件から2日後、バイナンスは自社資金により資産の98％を復元したと発表。翌日には出金サービスを再開した。
この最後の事実を覚えておきたい。最も重要であり、最も語られていない点。
ハンマーを持つ者には全ての問題が釘に見える
マウントゴックス、2014年。クアドリガCX、2019年。FTX、2022年。バイビット、2025年。バイナンス、2026年。いずれも悪名高い事件。発生原因はそれぞれだが、結論は常に同じ——セルフカストディだ。なぜなら「鍵がなければコインは自分のものではない」という前提があるから。
この前提自体は技術的には正しい。秘密鍵を保有しなければ資産をコントロールできず、保有者に対する請求権のみが存在する。
だが、そこから「セルフカストディが必ずしも安全である」とは結論できない。
敗者の墓場は静寂——ただし規模が極めて大きければ別
取引所が攻撃を受けた場合、全世界に知れ渡る。数十億ドルが危険にさらされ、公式声明が出され、国際的に報道される。
個人がすべてを失っても、ほとんど誰にも知られない。損害がブロックチェーン上に記録されていたとしても、一般の人がその調査を追うことはほぼない。世間が見るのは報道だけ。
こうした被害者の多くは、恥や信じられない思いから警察にすら届け出ない。
捜査の現場ではよくある光景が繰り返される。被害者が取引ハッシュ値と「ビットコインを凍結してほしい」という希望を持ち込む。
ただし、迅速で正確な通報と、適任の公的担当者、取引所または凍結可能なトークンへの資金移動などが「奇跡的に」揃わなければ、その結末は厳しい。
大手取引所への攻撃は、発生頻度が最も高いわけではない。単に誰の目にも留まるだけ。
セルフカストディ特有のリスク事例集
シード情報の譲渡。 2026年1月10日、ある投資家がテレゾールのサポートを装った詐欺師にハードウェアウォレットのシードフレーズを読み上げて教えた。1459BTCと205万LTC、2億8200万ドル超を失った。デバイス自体に問題はなかったが、所有者のミスだった。
シード漏洩。 スマートフォンの写真、クラウド上のメモ、自分へのメール送付——誰かに教えたわけでなく、情報が自然に漏れただけの事例。
署名フィッシング。 トークン移動権限を第三者に付与するオフチェーン署名をしてしまい、攻撃者の意のままに資産が出て行く。白紙小切手に署名して見知らぬ人の引き出しに忘れた状況に近い。2026年1月だけで630万ドル規模。
皮肉なのは、バイナンスのハッキングも署名プロセスを突かれた点だ。取引所のシステムは一度に50件の認証署名を強制され、そのうち1件で22億ドルを失ったウォレットが発生した。
レンチアタック。 名称の由来は「レンチ（工具）」。暗号技術はあなたや家族への実際の脅迫には無力。2026年上半期、CertiKによれば52件発生し1億2400万ドル、うちフランスが33件。
アドレスポイズニング。 詐欺犯が正規に酷似したアドレスを履歴に仕込み、次回の送金時に誤ってコピーさせる。2026年1月の単一事例で1225万ドルの損失。
デバイス障害。 7月29日、ColdCardをネット未接続で利用していた利用者らが、鍵生成の乱数不良により資産流出。1000BTC超の被害。詳細は「Not your keys, not your coins — but do you know how your keys are generated?」で分析した。
注記：各ケースで被害者はいずれかを信頼していた。サポート窓口、クラウド、ウェブサイト、自分自身の判断、取引履歴、ファームウェア。そして常に「自分の能力」を信じていた。
セルフカストディか取引所か——誤った二者択一
いかなる形態のカストディにもリスクが伴う。資産を取引所に預ける者は、同取引所のガバナンスおよび支払い能力を信頼している。セルフカストディを選ぶ者は、自分自身、デバイス、ソフトウェア、そして自分がビットコインを保有している事実を知る他者を信頼している。問題は、前者のリスクを認識し、後者のリスクを無視する点にある。
信頼が不要な選択肢は存在しない。意識的な信頼と見過ごされた信頼がある。最も高価なリスクは、気づかぬリスクである。
誰もが全財産を「タンス預金」にしてはいけないし、単一の銀行に全額を預けてもいけない。
暗号資産でも同じ理屈。実績ある取引所（または3つの取引所）に一部、適切なセルフカストディに一部、ETFに一部、たとえば30%、40%、30%と振り分けるべき。
この配分は知識、投資家プロフィール、目標に左右される。その責任は委任できない。耳の痛い話だが、いま知った方が後悔は少ない。
明後日を見据えて
責任を持つことはリスク低減につながるが、リスク自体を排除するものではない。「自分に最も安全な方法は何か」とだけでなく、「攻撃を受けた後どうなるか」も問うべきである。
セルフカストディでは頼れる相手はいない。1月の2億8200万ドルはすぐにモネロに換金された（BTC、BTC、LTC）。資金がステーブルコイン発行体や取引所に触れたときに凍結が起きる。全額の回復は例外的である。
取引所ではカウンターパーティが存在する。バイビットは顧客資産を3日で補填した。ビットゲットは9月に奪われた3億8800万ドル分を補償基金でカバーした。
バイナンスは損失の100%を負担し、そのうち98%をすでに復元済み。証拠資産で確認可能。
もっとも、カウンターパーティに価値があるのは支払い能力がある場合だけ。元通りを保証するものでもない。
マウントゴックス債権者は10年待ち、保有していたビットコインの約15%だけを受け取った。ただし、その価値は期間中の値上がりで2014年時点の残高を遥かに上回った。
FTX債権者は現金で回収した。保有していた暗号資産ではなく、2022年11月の破綻時点の価値に対して約120%、ビットコインは1万6000ドル前後。破綻時点より高かったが、きょう現在の価値には遠く及ばない。
このためブラジルでは、2025年施行の中央銀行（BCB）決議519、520、521号が重要になる。
投資家にとって最も重要なのは、取引所が中央銀行の監督下にあるかどうかではない。むしろ、顧客資産と会社資産を分別し、別個のウォレットにて管理する義務、証拠資産や独立監査、さらに会社自身の経営資金として利用を禁じる規制である。
結論
Not your keys, not your coinsはコントロールの真理であって、必ずしも安全性の真理ではない。
全資産を取引所から引き上げても、信頼自体をなくせるわけではない。ほとんどの場合、その信頼は自分自身に移されるにすぎない。そして自分が信頼に値するかを問うことなく信頼している現実がある。
カストディとは「誰を信頼しないか」を選ぶことではない。意識的に「誰を信頼するか」「何を信頼するか」を選ぶことに他ならない。
