バイナンスのハッキングから、小さな会社が今週やること

結論：世界最大でも破られる。だから「入られたあと」を先に決める

2026年10月29日、仮想通貨の取引所バイナンスから、資産が流出しました。バイナンス自身の推計で、約63億ドル分です。仮想通貨は、暗号資産とも呼ばれます。その流出として過去最大だと報じられています。バイナンスは、世界最大の取引所と報じられている会社です。

あれだけ大きな会社でも破られるのか、と思いました。

私は屋根職人です。屋根工事歴は20年以上です。いまは、職人や工事会社のホームページも作っています。仮想通貨の専門家ではありません。だから、相場の話も、仮想通貨の良し悪しの話もしません。

考えたいのは1つです。うちのような小さな会社は、ここから何を考えるか。

先に、私の結論を書きます。

1. 入口は、人の机の上にあることがあります。バイナンスの初期調査で最初に名前が挙がったのは、技術者1人のノートパソコンでした。小さな会社なら、社長のスマホとパソコンがそれに当たります
2. 人が気づく前に終わることがあります。資産の大半は約20分で流出した、という分析があります。間に合うのは、起きる前に決めておいた仕切りです
3. 起きたあとに動けるかどうかは、起きる前の備えで決まります。お金も、手順もです
4. 数字は混ぜずに読みます。「補った」と「取り戻した」は別の話です

ただし、調査はまだ途中です。ノートパソコンの話は初期の見立てです。その後、ほかにも侵入箇所が見つかったと発表されています。この記事は、2026年11月1日に確かめた時点の話です。

「AIでやられたのか」も、私が最初に気になったことです。発表と報道を確かめた範囲では、AIが使われたという記述は確認できません。第3章の最後に詳しく書きます。

バイナンスを使っている方へ。この記事は、買う、売る、資産を移す、といった判断の材料ではありません。出金や補償の手続きは、バイナンスの公式の案内で確かめてください。私にはお答えできません。

何が起きたのか：10月29日から11月1日まで

言葉を3つだけ

• ホットウォレット：ネットにつながった、仮想通貨の財布です。お客さんの出金にすぐ応じるために使います。店でいえば、レジのようなものです
• 秘密鍵：財布の中身を動かすための鍵です。長い文字の列でできています
• SAFU：バイナンスが、利用者を守るために積んでいる基金です

日付の順に並べます

バイナンスは、この件のお知らせを11月1日までに4回出しています。そこに、報道とFBIの発表を挟んで並べます。

• 10月29日20時5分ごろ（世界標準時）：ホットウォレットが破られた、とバイナンスは書いています。日本時間では、30日の午前5時5分ごろです
• 10月29日（米国時間）：バイナンスは調査中だと発表し、複数のネットワークで出金を止めました。ドルと同じ値段を目指すトークンの発行会社、テザーとサークルが、関係する資金を凍結しました
• 10月30日、1回目のお知らせ：技術者のノートパソコンが乗っ取られた可能性を挙げました。推定の総額は約63億ドル。約30億ドルを凍結。損失はすべてSAFUと会社の資金で補う、としました
• 10月30日、2回目のお知らせ：ほかにも侵入箇所が見つかった、と書き足しました。会社の資金を63.4億ドル超確保し、そのうち50億ドルは盗まれたものと同じ種類のトークンで持っている、としました。約80%を補った、という字もここに出ます
• 10月31日、3回目のお知らせ：補った割合は90%に。資金の出どころを3つ挙げました
• 10月31日（米国時間）：FBIが、北朝鮮に責任があると発表しました
• 11月1日、4回目のお知らせ：補った割合は約95%に。出金の第1段階を、世界標準時の6時から9時の間に始める準備をしている、としました。日本時間では15時から18時です

CNBCは、最初にビットコインのネットワークが開き、イーサリアムとBNB Smart Chainが続いたと伝えています。入金は、影響を受けずに動いていると会社は書いています。

「約20分」は、だれの数字か

「約20分」という数字を見た方もいるはずです。これは、分析会社のTRMラボとチェイナリシスの分析です。資産の大半が約20分間で流出した、とロイターが伝えています。

4回のお知らせに、20分の字はありません。そして「大半」です。全部ではありません。

どこから入られたのか：見立ては変わっている

1回目のお知らせは、こう書いています。技術者のノートパソコンが乗っ取られ、そこから社内の仕組みに入られて、不正な出金の指示を送られた可能性がある。あくまで初期調査で、「可能性」の字です。

同じ日の2回目で、話が広がりました。その後の調査で、ほかにも侵入箇所が見つかった。どこなのかは書かれていません。

共同CEOのリチャード・テン氏は、1人の技術者の権限が悪用されただけの話ではなく、もっと複雑だと説明しています（CNBC）。承認に使うシステムが操作され、通常の承認の手続きを経ずに資金が動いた、とも伝えられています（ロイター）。そして、特定の個人に責任があるという判断には至っていない、と述べています。

もう1つ、大事な字があります。秘密鍵が漏れた証拠は、いまのところ見つかっていない。2回とも、そう書かれています。

CNBCは、攻撃がどう行われたのかは、まだはっきりしないと書いています。バイナンスは、調査が終わったら報告書を公開するとしています。

だれがやったのか

FBIは、米国時間の10月31日に発表しました。60億ドルを超える仮想資産の盗難について、北朝鮮に責任がある。この活動を「TraderTraitor」と呼んでいる。そういう内容です。分析会社のTRMラボ、チェイナリシス、エリプティックも、北朝鮮の関与を指摘しています。

一方で、ロイターは、北朝鮮はこうした指摘を一貫して否定していると伝えています。米国の大統領は、同じ日に「北朝鮮かどうかは分からない」と話したと報じられています。4回のお知らせに、北朝鮮の名前はありません。

私は、ここから先を自分の言葉で決めません。国や人の話に広げるつもりもありません。この記事で考えたいのは、自分の会社の守りです。

混ぜずに読む：金額、補償と回収、AI

今回の報道は、数字がたくさん出ます。私は、次の4つを分けて読みました。

「約1兆円」は、どの数字か

見出しに「約1兆円」とある記事を見た方も多いはずです。もとの数字を並べます。

• バイナンスの推計：約63億ドル
• 分析会社エリプティックの推計：64.3億ドル
• FBIの発表：60億ドル超
• 日本経済新聞：本文は約63億ドル（約9900億円）。1兆円は見出しの字です
• CoinPost：本文は約63億ドル（9,920億円相当）。見出しは約1兆円です
• CNN：60億ドル（約9440億円）を超える

つまり「約1兆円」は、9,900億円ほどを丸めた見出しの字だと、私は読んでいます。「9,400億円超」の記事は、換算の違いだけではありません。もとのドルが60億ドルです。読めた範囲では、どの記事にも為替のレートは書かれていませんでした。

この記事では、バイナンスの推計の約63億ドルで書きます。

もう1つ。これは流出した額の推計です。利用者が失った額と同じとは限りません。バイナンスは、盗まれた分の負担は利用者ではなく自社が負う、と書いています。

80%、90%、95%は、日付の違い

「90%」の記事と「95%」の記事があります。どちらかが間違いなのではありません。日付が違います。

• 10月30日：約80%
• 10月31日：90%
• 11月1日：約95%

「全額」という字も見かけます。これは、全額を補うという約束です。11月1日の時点の数字は、約95%です。

残りの約5%は、取引の少ないトークンだとされています。市場などで買い集めるのに時間がかかる、という説明です。ビットコインやイーサリアムなど主な10種類は、全量の裏付けがあるとしています。

ここまでは、バイナンス自身の発表です。預かっている分を本当に持っていることを示す資料を、準備金の証明といいます。10月31日時点の控えが出ていて、詳しい版は11月3日までの見込みだとされています。

「補った」と「取り戻した」は別

ここが、いちばん混ざりやすいところです。

95%は、犯人から取り戻した割合ではありません。バイナンスが、会社の資金や基金で穴を埋めた割合です。CNBCも、90%の裏付けを戻したことと、犯人から90%を取り戻したことは違う、とわざわざ書いています。

同じことが、凍結にも言えます。約30億ドルの凍結は、動かせないように止めた、という手当てです。バイナンスの手元に戻った、という発表ではありません。4回目のお知らせにも、犯人から取り戻したという字はありません。ロイターは10月30日の時点で、残る約33億ドル相当の状況には言及がなかった、と伝えています。

だから、「95%」と「30億ドル」は、足して考える数字ではありません。

AIが使われたのか：確認できません

バイナンスの4回のお知らせに、AIが攻撃に使われたという記述はありません。FBIの発表にも、ありません。ロイター、CNBC、CNN、アルジャジーラの記事にも、ありません。

約20分と聞くと、AIを思い浮かべるかもしれません。でも、速いからAIだ、と書いた発表はありません。

だから、私はこう書きます。AIが使われたとは確認できません。使われていないとも言えません。調査の報告書を待ちます。

ただ、今回の話とは別に、AIが攻撃の側を助けているという指摘はあります。IPA（情報処理推進機構）は「情報セキュリティ10大脅威 2026」の組織向けの3位に、AIの利用をめぐるサイバーリスクを挙げました。解説書には、AIの翻訳の力で、偽のメールの文面を標的の母国語で違和感なく書けるようになる、という趣旨の説明があります。

日本語が変だから偽物だと分かる。そういう見分け方に、頼れなくなってきているということです。だから第5章では、文面で見分けるのではなく、確かめる先を決めておく、と書きました。

ここから考える3つのこと

同じ攻撃が、小さな会社に来ると言いたいのではありません。狙う相手も、狙う額も違います。怖がらせたいわけでもありません。

ただ、守りの考え方は、大きさに関係なく使えると私は思いました。3つあります。

1つ目：鍵を持つ人の机を、守りの内側に入れる

バイナンスが最初に挙げたのは、技術者1人のノートパソコンでした。その見立ては、調査で広がっています。だから「1台のパソコンのせいだった」とは言えません。

それでも、最初に疑われたのが金庫ではなく人の机だった。私はそこを見ました。この技術者が鍵を持っていた、という発表はありません。「鍵」は、ここでは大事な権限のたとえです。

もう1つあります。秘密鍵が漏れた証拠は見つかっていないのに、資金は動いています。調査の途中なので、理由は分かりません。ただ、鍵そのものを守るだけでは足りないのかもしれない、と私は読みました。鍵を使う仕組みや、承認を出す人の周りも、守りの中に入ります。

2024年に、警察庁、内閣サイバーセキュリティセンター、金融庁が連名で注意を呼びかけました。DMM Bitcoinから約482億円相当の暗号資産が盗まれた、別の件です。そこには、こんな手口例が書かれています。企業の幹部などを装ってSNSでメッセージを送る。相手のパソコンをウイルスに感染させる。パソコンに保存された認証の情報を盗み、本人になりすます。

今回の入口がこれと同じだ、という発表はありません。ただ、人が入口になるという見方は、公的な資料にも書かれています。

小さな会社に置き換えます。社長のスマホには、何が入っているでしょうか。

• 銀行のアプリ
• 会社のメール
• 二段階認証のコードが届く先
• お客さんの電話番号と現場の写真
• LINE、SNS、地図の管理の入口

ふだんは便利です。でも、1台に全部が集まっています。社長の机の上が、そのまま会社の金庫の鍵置き場になっている。小さな会社では、それがふつうだと思います。

そして、もう1つ大事なことがあります。人を責めないことです。

バイナンスの共同CEOは、特定の個人に責任があるという判断には至っていない、と述べています。うちの会社で、もし誰かが偽のメールを開いてしまったとき。その人を責めると、次から言い出しにくくなります。言い出すのが遅れると、止めるのも遅れます。「開いてしまったら、すぐ言う。怒らない」。これも、守りの1つだと私は考えています。

2つ目：約20分には、人は間に合わない

私がいちばん考えたのは、ここです。

分析のとおり大半が約20分で動いたのなら、人が気づいて、集まって、判断するころには、大きく動いたあとです。小さな会社なら、社長は現場で屋根の上にいます。電話にも出られません。

私なら、こう見ます。屋根の上で足を滑らせたら、落ちる速さには勝てません。落ちながら考えることはできません。間に合うのは、上がる前に張った命綱だけです。だから職人は、上がる前に親綱を張ります。慣れた現場でも張ります。

守りも同じだと思います。起きてから走っても遅い。起きる前に、1回に動かせる額を小さくしておく。1人で動かせないようにしておく。止める先の電話番号を書いておく。この3つは、起きる前にしかできません。

大きな額を一度に動かせる権限が、1か所にある。そこが取られると、短い時間で大きく動きます。逆に言えば、1回や1日に動かせる額が小さければ、人が気づくまでの被害を小さくできることがあります。銀行の振込の上限は、その一番身近な例です。

3つ目：備えは、起きる前にしか積めない

今回、私が目を留めたのは、お金の手当てが早かったことです。

10月30日の2回目のお知らせで、バイナンスは、会社の資金を63.4億ドル超確保したと書いています。翌日には、3つの出どころを挙げました。

1. SAFUの一部
2. 先物取引の保険基金の一部。先物という取引の損に備える基金です
3. 会社自身の資金

SAFUは、約10億ドルの大きさに戻すと約束しています。つまり、基金だけで埋まる額ではありません。会社の資金が大きな役割を持っていたと読めます。発表どおりなら、という前提はつきますが、備えがあったから、数日で出金の再開まで動けた。私はそう受け取りました。

もちろん、小さな会社に同じことはできません。金額の桁が違います。でも、問いは同じです。

• 銀行の口座が1週間使えなくなったら、給料と支払いはどうするか
• メールが止まったら、お客さんや取引先にどう連絡するか
• パソコンが全部使えなくなったら、見積書と図面はどこから戻すか

IPAの解説書は、事故が起きると、対応の費用、損害賠償、営業が止まる損失などが出る可能性があるとして、その対策の1つにサイバー保険を挙げています。補償の中身は保険によって違うので、保険会社や代理店に確かめる必要がある、とも書いています。一度は聞いてみる価値があると私は思います。

小さな会社が今週やること

ここからは、手を動かす話です。特別な道具はいりません。IPAが中小企業に勧めている「情報セキュリティ6か条」と、警察庁などの注意喚起の対処の例をもとに、社長の机の上に置き換えました。置き換えた部分は、私の考えです。

スマホ

1. OSとアプリを最新にします
2. 画面のロックを確かめます。指紋か顔か、長い番号です
3. 失くしたときに、遠くからロックや消去ができる設定を確かめます
4. 二段階認証のコードの受け取り先が、この1台だけになっていないかを確かめます。予備のコードが出せるサービスなら、紙に控えて金庫にしまいます

二段階認証は、パスワードのほかに、スマホに届く番号などでも本人を確かめる仕組みです。

パソコン

1. OSとソフトを最新にします。ウイルス対策ソフトが動いているかを見ます
2. 知らない相手から届いたファイルやプログラムを、会社のパソコンで開きません。「図面を見てください」「見積をお願いします」というファイルつきのメールは、私たちの仕事ではよくある形です。これは私が考えた例です。心当たりのない相手なら、まず電話で確かめます。急がせてくる相手には、一度止まります
3. 銀行、メール、ドメインの管理画面を、家族と共用のパソコンや私用のパソコンで開きません
4. 銀行や管理画面は、用が済んだらログアウトします。ログインしたままの印をパソコンに残さないためです

メールとパスワード

1. 会社のメールに二段階認証を入れます。いちばん先にやるなら、これです。メールを取られると、ほかのサービスのパスワードを作り直されることがあるからです
2. 身に覚えのない転送の設定がないかを見ます
3. 銀行、メール、ドメインの3つだけでも、パスワードを別々にします
4. 確かめる先を決めておきます。銀行、取引先、制作会社は、前から知っている電話番号にかけます。届いたメールに書かれた番号やリンクは使いません

騒ぎのあとは、出来事に便乗した連絡にも気をつけてください。バイナンスを使っている方なら、届いたメッセージのリンクからではなく、自分で公式の案内を開いて確かめてください。

管理画面とお金：1人に全部を集めない

1. 紙1枚に、「誰が、どこに入れるか」を書きます。銀行、メール、ドメイン、サーバー、SNS、Googleビジネスプロフィール。パスワードそのものは書きません
2. 辞めた人と、前の制作会社が入れるままになっていないかを見ます。入れるなら外します
3. 人に渡す権限は、必要な分だけ、必要な間だけにします。仕事が終わったら外します
4. ネットバンキングの振込の上限を、ふだんの支払いに合う額まで下げます。上限を変えるときの確認の方法も、銀行に聞いてみてください
5. 銀行によっては、振込を作る人と承認する人を分けられます。取引先の銀行に聞いてみてください
6. 大事なデータの控えを取ります。IPAが5か条に足して6か条にした項目が、このバックアップです

止める手順：紙1枚にして、事務所と財布に

1. 銀行の緊急の連絡先
2. メール、ドメイン、サーバーの窓口
3. ホームページを作った会社の連絡先
4. 警察の相談窓口
5. メールが止まっても連絡できる、主な取引先とお客さんの電話番号

事務所の紙には5つ全部。財布の紙には1〜4だけ。

順番は、止める、戻す、知らせる、です。何か起きたときの考え方は、ニュースから引いた教訓をまとめたコラムに書きました。GMOの2件の事実は、発表の順に並べたコラムにあります。

全部を今週やらなくても大丈夫です。1つだけなら、メールの二段階認証です。2つ目は、振込の上限です。3つ目は、紙1枚です。

これから作るサイトに入れる対策は、セキュリティ対策のページの、標準で組み込む対策の章にまとめました。

これから見る発表

この件は、まだ動いています。私は、次の発表を見ます。

1. バイナンスの報告書。どこから、どう入られたのか。調査が終わったら公開するとされています
2. 準備金の証明の詳しい版。11月3日（世界標準時）までの見込みです
3. 凍結の額の更新と、実際に戻った額
4. 2回目のお知らせで約48時間以内とされた、技術的な調査の結果。11月1日に一覧を開いた時点で、その題のお知らせは見当たりませんでした

数字や中身は、書いた時点のものです。読む日には変わっているかもしれません。バイナンスの公式のお知らせで確かめてください。

世界最大の取引所が破られた話を、人ごとにも、大げさにもしたくありません。うちは大丈夫、でもなく、もう無理だ、でもなく。今週、スマホとメールと銀行の設定を1つ確かめる。私は、この話をそこに落としました。