バイナンス流出、盗難ソラナ（SOL）の約8割が移動 THORChain経由で資金洗浄続く

盗難SOLの約81%が移動、THORChainでBTCへ

Cointelegraphが11月4日に報じたところによると、バイナンスから流出したSOLの大半が、すでに攻撃者側のウォレットから動いています。ブロックチェーン分析サービスのArkhamのデータでは、攻撃者に関連付けられたウォレット群に残るのは182,443 SOLでした。これは盗まれた970,522 SOL全体の約18.8%にあたり、約1690万ドル相当と算出されています。

オンチェーン分析を手掛けるLookonchainは11月4日、資金の流れを報告しました。攻撃者はSOLを複数のウォレットに分け、USDCに替えたうえでイーサリアムへブリッジ（別のブロックチェーンへ資産を移す仕組み）しています。そこでETHを購入し、最終的にTHORChainを通じてBTCに交換しているといいます。

THORChainの停止と再開が資金の流れに影響

THORChainは、異なるブロックチェーン間で資産を直接交換できる分散型のプロトコルです。10月31日には、イーサリアムで起きたブロックの再編成をきっかけに返金処理の不具合が見つかり、サービスを止めていました。Chainalysisは、この停止によって攻撃者の資金洗浄が結果的に遅れたとの見方を示しています。

THORChainは11月4日、ビットコインやイーサリアムなど複数のチェーンで取引を再開しました。Cointelegraphは、再開後も同プロトコルを経由した資金の移動が続いていると伝えています。北朝鮮に関連するハッカー集団は、約14億ドルが流出したBybitの事件などでもTHORChainを使ったと疑われてきました。

TronからSolanaへ、TRM Labsが示す新たな洗浄手口

報道によると、攻撃者はまずTron上の一時保管用ウォレットをほぼ空にし、11月1日からSolanaへ活動を広げました。Chainalysisは、ウォレット間の反復送金を含めて約5億ドル相当がTronを通過したと推計しています。調査者のSomaXBTは、TronとSolanaでの4万7600件超の取引のうち約54%が自動化されていたとみています。

TRM Labsは11月3日の分析で、新たな手口を3つ挙げました。1つ目は、攻撃者が自ら発行したトークンと流動性プールを使い、購入側と売却側のウォレットの直接のつながりを消す方法です。2つ目は、レンディング（貸し出し）プロトコルの預かり証トークンを介して価値を移す方法です。3つ目は、2つのクロスチェーン交換を連続させ、凍結の対象になりやすい中間ウォレットを経由しない方法です。

一方でTRM Labsによると、流出直後の数時間で約27億ドルが凍結されました。11月3日時点では、イーサリアムとビットコイン上の主要な残高に目立った動きはありませんでした。攻撃者側には約24億ドル相当のETHとBTCが残っているとしています。

FBIの帰属判断とバイナンスの補填対応

バイナンスによると、攻撃者は偽の採用面接や不正なソフトウェアのダウンロードを通じて、従業員の端末に侵入しました。米連邦捜査局（FBI）は10月31日、攻撃を北朝鮮のハッカー集団TraderTraitorによるものと発表しました。そのうえで、THORNode運営者を含む暗号資産サービス事業者に、盗難資産に関連する取引を遮断するよう求めています。北朝鮮側は関与を否定しています。

バイナンスは11月3日、影響を受けたトークンの98%を補填し、損失は自社で負担すると表明しました。利用者の資産への直接の影響は抑えられた形ですが、市場に流出した資金の行方は引き続き注目されています。

今後の確認ポイント

今後の焦点の一つは、攻撃者の手元に残る約24億ドル相当のETHとBTCが動くかどうかです。THORChainなどのプロトコルや取引所が、FBIの要請に沿って関連取引をどこまで遮断できるかも問われます。分散型のプロトコルで特定の取引を止める難しさは、Bybitの事件のときにも議論になりました。

資金洗浄の手口が高度になるなか、分析企業による追跡と凍結がどこまで進むかにも注目が集まります。回収や凍結の具体的な見通しは、現時点では明らかにされていません。