EU事業体の取引所口座から約1億600万ドル流出の疑い――ZachXBTが指摘、資金はETH・モネロへ

EUに拠点を置くとされる事業体が、複数の暗号資産取引所の口座から1億600万ドル超を失った疑いがあると、オンチェーン調査者のZachXBTが11月2日に指摘しました。報道が挙げるポイントは、①資金は11月1日にUSDCとUSDTで引き出されたとされること、②その後の24時間でUSDCからETHへの交換、インスタント取引所への送金、モネロへの変換が進んだこと、③被害事業体・取引所名・出金の原因は未公表で、ZachXBTは北朝鮮のハッカー集団ではない可能性が高いと指摘していることです。被害の確定額や凍結・回収の見込みは未確認で、市場への影響は時間をかけて確認する必要があります。

何が起きたか――11月1日の出金と11月2日の指摘

欧州連合（EU）に拠点を置くとされるある事業体が、複数の暗号資産取引所の口座から1億600万ドル超の資金を失った疑いがあると、オンチェーン調査で知られるZachXBTが2026年11月2日に指摘しました。資金は11月1日（日曜日）に、米ドル連動型ステーブルコインのUSDCとUSDTの形で引き出されたとされています。被害を受けた事業体の名前、関与した取引所の名前、そして口座にどうやってアクセスされたのかは、現時点では公表されていません。つまり、今回のニュースの出発点は、取引所や被害者による正式な被害発表ではなく、オンチェーン調査者の指摘と、その後の資金の動きの追跡です。この点を最初に押さえておくことが、数字や続報を正しく読むための土台になります。

ZachXBTによると、資金を引き出したとみられる人物は、その後の24時間で資金の追跡を逃れるための動きを積極的に進めました。USDCをイーサリアム（ETH）へ積極的に交換し、WellWalletやKyrrexといったインスタント取引所サービスへ送金し、Wagyuという交換サービスを通じて一部をプライバシーコインのモネロ（XMR）へ変換し、さらに複数のブロックチェーンをまたいで資金を橋渡ししたとされています。ZachXBTは、この事件に関連するとみられるイーサリアム形式のアドレスを11件公表しました。資金の動きそのものはブロックチェーン上で確認できる部分がありますが、「誰が」「どうやって」口座から資金を出したのかは、まだ分かっていません。したがって、現段階で確実に言えるのは「疑わしい大規模な出金と、その後の資金移動が観測された」ということであり、被害の最終的な確定額や、取引所のシステム自体が破られたのかどうかは未確認です。

この指摘が市場で注目された理由は、タイミングと規模の両方にあります。規模は1億600万ドル超で、単独の事件としては2026年でも有数の大きさです。タイミングは、10月29日に発覚した約63億ドル規模のバイナンスのハッキングからわずか数日後で、同じ週にはブラジルの取引所メルカド・ビットコインのハッキングや、決済ソフトBTCPay Serverのホットウォレットに関する警告も報じられました。市場がセキュリティへの警戒を強めているさなかに、また別の大規模な資金移動の疑いが浮上したことで、「バイナンスの事件だけが特別だったのか、それとも業界全体で攻撃が活発化しているのか」という問いが、改めて意識されることになりました。ただし、後で詳しく見るように、ZachXBT自身は今回の事件について、バイナンスの事件の犯人とされる北朝鮮のハッカー集団とは別人である可能性が高いと指摘しており、1つの犯行グループによる連続攻撃と決めつけることはできません。

時系列――バイナンスのハッキングから1週間足らずの出来事

流れを時系列で整理すると、今回の指摘がどのような文脈で出てきたのかが分かりやすくなります。まず、10月29日（木曜日）の遅い時間に、バイナンスから約63億ドル規模の資金が流出したことが発覚しました。米連邦捜査局（FBI）はこの事件を、北朝鮮のハッカー集団トレーダートレイターによるものと断定したと報じられています。バイナンスはその後、自社資金などで盗まれた資産の買い戻しを進め、補充率は土曜日には約90％、日曜日から月曜日には約95％に達したとされ、出金は段階的に再開されました。この事件については、このデスクでもバイナンスの緊急基金SAFU、ビットコイン残高が半分にとバイナンス出金再開で58億ドルの純流出で詳しく取り上げています。

その直後の11月1日（日曜日）に、今回の疑わしい出金が起きたとされています。ZachXBTの指摘が出たのは翌11月2日（月曜日）で、CointelegraphとDecryptが同日中に報じました。Decryptによると、ZachXBTは11月2日のTelegramチャンネルへの投稿でこの指摘を行い、資金はUSDCとUSDTの形で引き出されたとしています。Cointelegraphも、資金がUSDCとUSDTで引き出された後、複数の暗号資産やブロックチェーンを通じて移動したと報じており、基本的な構図は両媒体で一致しています。つまり、出金そのものは11月1日、指摘と報道は11月2日という、1日遅れの時系列です。市場がこのニュースに反応したのも、11月2日の報道以降ということになります。

同じ11月2日には、ほかにもセキュリティ関連のニュースが重なりました。ブラジルの大手取引所メルカド・ビットコインがセキュリティ侵害を受けて入出金を一時停止したと報じられ、被害額はCointelegraphで約4,600万ドル、Decryptで約4,000万ドルと、媒体によって数字が異なります。また、BTCPay Serverは、古いバージョンのホットウォレットから資金が抜かれたとの報告を受け、運営者にサーバーを停止するよう呼びかけました。これらがすべて同じ犯人によるものだという証拠はありません。むしろ、バイナンスの事件の直後で業界全体の警戒が高まっていたために、普段なら個別に扱われる出来事が「ハッキングの連鎖」としてまとめて受け止められやすくなっている、という側面もあります。時系列を分けて見ることは、事件同士を安易に結びつけないためにも大切です。

資金はどこへ――USDCからETH、インスタント取引所、モネロへ

ZachXBTが示した資金の流れは、盗難資金の典型的な「足跡消し」の手順をよく表しています。第一のステップは、USDCをETHへ交換することです。これには明確な理由があります。USDCの発行体であるサークルと、USDTの発行体であるテザーは、問題のあるアドレスが保有するトークンを凍結（ブラックリスト化）できる仕組みを持っています。バイナンスの事件では、テザーがイーサリアム上の盗難USDTを37分で凍結し、サークルが8億2,300万ドル分のUSDCをすべて凍結したとDecryptは報じています。つまり、盗んだ資金をUSDCやUSDTのまま持ち続ければ、発行体によって凍結されるリスクがあります。ETHにはそのような中央の発行体による凍結の仕組みがないため、まずETHへ交換することで、凍結のリスクを下げようとする動きだと読むことができます。逆に言えば、資金がまだUSDCやUSDTの形で残っている部分は、凍結の対象になりうるということでもあります。

第二のステップは、インスタント取引所サービスへの送金です。WellWalletやKyrrexといったサービスは、口座開設や本人確認をほとんど介さずに、ある暗号資産を別の暗号資産へ素早く交換できる仕組みです。こうしたサービスを経由することで、資金の流れを細かく追跡しにくくする効果があるとされています。第三のステップは、Wagyuを通じたモネロへの変換です。モネロは、送金者・受取人・金額を標準で隠すプライバシーコインで、一度モネロへ変換されると、ブロックチェーン上での追跡は著しく難しくなります。第四のステップは、複数のブロックチェーンをまたぐ橋渡し（ブリッジ）です。資金を異なるチェーンへ分散させることで、追跡の手間をさらに増やす狙いがあると考えられます。ZachXBTが公表した11件のアドレスは、こうした流れのうち、イーサリアム形式のアドレスとして確認できた部分であり、モネロへ変換された後の資金については、公開されたアドレスだけでは追跡できません。

ここで注意したいのは、ZachXBTの指摘が「資金の動きの観測」であるのに対して、「誰が操作したのか」「なぜ出金が可能だったのか」は未解明だという点です。たとえば、取引所のシステムに脆弱性があったのか、事業体側の口座管理や秘密鍵の扱いに問題があったのか、あるいは内部の関与があったのかは、現時点では何も分かっていません。オンチェーンの追跡が進んでも、出金の原因までは分からないことが多く、原因の特定には取引所や被害事業体、捜査機関による調査が必要です。そのため、今回の事件を「取引所がハッキングされた」と断定するのは早計で、より正確には「複数の取引所口座からの大規模な出金の疑いと、その後の資金移動が観測された」という表現にとどめるべきです。報道各社も、被害者や取引所の正式な確認がないことを明記しており、この慎重な表現は共通しています。

報道各社の数字を突き合わせる――1億600万ドルと1億880万ドルの違い

同じ事件でも、媒体や調査の対象範囲によって数字は異なります。読者が混乱しやすいポイントを表に整理しました。

この表から読み取れるのは、中心的な構図――11月1日の大規模な出金、USDCとUSDTでの流出、ETHへの交換、インスタント取引所とモネロへの流れ――については各媒体の報道が一致している一方、金額の1億600万ドルと1億880万ドルという違いは、集計の対象範囲の違いで説明できるということです。ZachXBTの1億600万ドル超は、USDCとUSDTを合わせた疑わしい出金の推計です。一方、Bitqueryの1億880万ドルは、イーサリアム上の3取引所の主要ウォレットから15アドレスへのUSDCの送金だけを数えたものです。対象とするチェーン、トークン、ウォレットの範囲が異なれば、合計額が変わるのは自然です。さらに、BeInCryptoの約8,000万ドルという数字は、イーサリアム上の11のウォレットへのUSDC到着だけを見たもので、やはり範囲が異なります。つまり、数字が異なるからといって、どれか1つが誤りだと決めつけるのではなく、「何を」「どこまで」数えたのかを確認することが大切です。いずれの数字も、被害者による確定額ではなく、調査者や報道による推計である点も共通しています。

もう一つ、数字の読み方で注意したいのは、Bitqueryの追跡で挙げられた取引所名の扱いです。OKX、Kraken、Crypto.comという名前が出ていますが、これはBitqueryがオンチェーンの送金元ウォレットを追跡して推定したもので、取引所自身が「当社の口座から不正出金があった」と発表したわけではありません。ZachXBTの元の指摘でも、取引所名は公表されていません。したがって、取引所名を引用する際は、「Bitqueryの追跡による推定」であることを明記し、取引所の公式確認と混同しないことが重要です。同様に、Krakenが全体の約95％を占めるという数字も、Bitqueryの集計範囲内での割合であり、事件全体の確定した内訳ではありません。報道の数字を扱うときは、推計か確定額か、公式発表か第三者の追跡か、という区別を常に意識することが、誤解を避けるための基本です。

用語の噛み砕き解説――凍結できるステーブルコインと追跡しにくいモネロ

今回の事件を理解するには、いくつかの用語を押さえておくと便利です。まず、USDCとUSDTは「ステーブルコイン」と呼ばれる暗号資産で、米ドルとほぼ1対1の価値を保つよう設計されています。価格が安定しているため、盗難資金の一時的な置き場所としても使われますが、発行体が中央で管理しているため、問題のあるアドレスのトークンを凍結できるという特徴があります。凍結とは、そのアドレスがトークンを送金できなくすることです。バイナンスの事件では、この凍結の仕組みが実際に使われ、盗難資金の一部が動かせなくなりました。逆に、ETHやビットコインには中央の発行体が存在しないため、同じような凍結の仕組みはありません。資金をUSDCからETHへ交換する動きは、この違いを利用したものだと理解できます。

次に、「インスタント取引所」とは、口座開設や本人確認をほとんど必要とせず、ある暗号資産を別の暗号資産へ素早く交換できるサービスです。通常の取引所では、口座の本人確認や出金先アドレスの登録（ホワイトリスト／許可リスト）といった手続きがありますが、インスタント取引所ではそうした手続きが最小限に抑えられている場合があります。そのため、資金の流れを追跡する側にとっては、資金がどのサービスを経由したのかを特定する手間が増えます。さらに、「モネロ」は、送金者・受取人・金額を標準で隠すプライバシーコインです。ビットコインやイーサリアムでは、取引の金額や送金元・送金先のアドレスが公開されており、誰でもブロックチェーン上で追跡できますが、モネロではその情報が暗号化されており、追跡は著しく困難です。資金がモネロへ変換された時点で、公開されたブロックチェーンの情報だけでは、その後の行方を追うことはほぼできなくなります。

もう一つ重要なのが、「許可リスト（ホワイトリスト）」という考え方です。取引所の口座では、出金先として事前に承認したアドレスだけを許可する設定ができます。これは、万一アカウントが乗っ取られても、承認されていないアドレスへは資金を送れないようにするための防御策です。ところが、Bitqueryの追跡によると、今回の受取アドレスのうち11件は、事件前にも同じ取引所から出金を受けていたとされています。もしこれが事実なら、許可リストに登録済みのアドレスへの送金だった可能性があり、許可リストだけでは防げないケースだということになります。逆に、事件前に履歴のない新しいアドレスへの送金が約1,727万ドル分あったともされており、こちらは許可リストの運用や出金限度額の管理が問われる部分です。いずれにしても、原因が特定されていない現段階では、どの防御策が破られたのかを断定することはできません。ただ、許可リストが万能ではないこと、そして「過去に使ったことのあるアドレスだから安全」というわけではないことは、事業体や個人の口座管理を考えるうえで重要な教訓です。

同じ日に報じられた2つの出来事――ソラナのボットとメルカド・ビットコイン

11月2日には、今回のEU事業体の事件とは別に、2つのセキュリティ関連の出来事が報じられました。1つ目は、ソラナ上で動く自動売買ボット「King」に関連するウォレットから、約78万6,000ドルが失われた可能性があるという指摘です。オンチェーン監視アカウントのOnchain Lensによると、このウォレットの資金は複数のソラナのウォレットを経由した後、Mayanという橋渡しサービスを使ってイーサリアムへ移動したとされています。資金の移動の速さや、資金の出所を隠そうとするような動きから、ウォレットの侵害の可能性が指摘されています。ただし、Kingの運営者は侵害を確認しておらず、現段階では「可能性の指摘」にとどまります。金額はEU事業体の事件と比べて100分の1以下ですが、自動売買ボットのウォレットという、個人のウォレットとは異なる管理形態での出来事として注目されました。ソラナの動きについてはソラナの銘柄ページで確認できます。

2つ目は、ブラジルの大手取引所メルカド・ビットコインのハッキングです。同取引所はセキュリティ侵害を受けて入出金を一時停止し、顧客の資金とデータは安全だと説明したと報じられています。被害額は、Cointelegraphでは約4,600万ドル、Decryptでは約4,000万ドルと、媒体によって約600万ドルの差があります。この差は、被害の確定額がまだ固まっていないことや、集計するトークンの範囲の違いによるものと考えられます。また、テザーがこの事件に関連する450万USDT超を凍結したとDecryptは報じています。メルカド・ビットコインの事件は、取引所自身が侵害を認めて入出金を停止した点で、EU事業体の事件とは性質が異なります。EU事業体の事件では、被害事業体や取引所の正式な発表がまだなく、調査者の指摘が先行しています。同じ日に報じられたからといって、3つの事件を同じ犯人や同じ手口で結びつける証拠はなく、それぞれを分けて確認することが大切です。

さらに、BTCPay Serverの警告も同じ日の出来事として報じられました。BTCPay Serverは、ビットコイン決済のためのオープンソースのソフトウェアで、古いバージョンのホットウォレットから資金が抜かれたとの報告を受け、運営者にサーバーを停止するよう呼びかけました。ホットウォレットとは、インターネットに接続された状態で管理されるウォレットのことで、利便性が高い一方、攻撃の対象になりやすいという特徴があります。これらの出来事を並べて見ると、11月2日は「ハッキングのニュースが集中した日」として印象づけられますが、個々の事件の原因や犯人はそれぞれ異なると考えられ、1つの大きな攻撃としてまとめるのは誤解を招きます。市場が警戒を強めるのは自然な反応ですが、事件同士の関係については、証拠が出てくるまで慎重に見る姿勢が求められます。

このデスクの観測値――2026年11月3日01:01 JSTのスナップショット

このデスクのスナップショット（2026年11月3日01:01・日本時間取得）では、ビットコインは77,523ドルで前日比マイナス0.56％、イーサリアムは2,273.48ドルでプラス0.34％、ソラナは93.478ドルでマイナス1.35％、ドージコインは0.075116ドルでマイナス0.73％、HYPEは85.586ドルでマイナス2.32％でした。Hyperliquidのビットコイン建玉は約31億8,500万ドル、恐怖・貪欲指数は37で「Fear（恐怖）」の領域でした。価格はいずれも小幅な下落か横ばいで、バイナンスの事件直後のような急落ではありませんでした。最新の価格はビットコインの銘柄ページやイーサリアムの銘柄ページ、市場指標ページで自動更新されています。

この観測値を今回のニュースと結びつけて読むと、次のような姿が浮かびます。第一に、恐怖・貪欲指数が37の恐怖圏にあることは、市場が悪材料に敏感な状態を続けていることを示唆します。1億600万ドル超の流出の疑いというニュースは、単独では市場全体を動かす規模ではありませんが、恐怖圏にある市場では、セキュリティ関連のニュースが1つ増えるごとに警戒感が積み重なりやすいと考えられます。第二に、イーサリアムの価格が小幅な上昇だったことは、盗難資金のETHへの交換がイーサリアム市場全体を動かした証拠にはなりません。交換額は数千万ドル規模とみられ、イーサリアムの市場全体から見れば限定的だからです。価格の動きを1つの事件だけで説明することはできず、市場全体の地合いや他の材料もあわせて見る必要があります。第三に、建玉が高水準を維持していることは、デリバティブ市場でのポジションが整理されていないことを示します。建玉が高水準の局面では、価格が上下どちらにも大きく動きやすいと一般に言われますが、逆に、建玉が整理されて資金調達率が落ち着けば、値動きが穏やかになることもあります。デリバティブ全体の姿はDEX比較ページで確認できます。

なお、スナップショットの取得時刻は11月3日01:01（日本時間）で、ZachXBTの指摘（11月2日）の後、数時間後の時点の記録です。この時点では、市場はまだ今回の事件の詳細を消化している段階であり、価格やセンチメント指標が事件の影響をすべて反映しているとは限りません。スナップショットはあくまで1時点の記録であり、価格の方向を示すものではないことを改めて強調しておきます。事件の影響を評価するには、今後の取引所や被害事業体の発表、凍結の有無、さらなる資金移動の追跡といった材料を、時間をかけて確認していく必要があります。

市場への読み方――安心材料と警戒材料の両面

今回の事件を市場への材料として読むときは、安心材料と警戒材料の両面を分けて見ることが大切です。安心材料として挙げられるのは、まず、ZachXBTが今回の事件について、北朝鮮のハッカー集団ではない可能性が高いと指摘していることです。バイナンスの事件では、盗難資金の約44％が凍結されたと報じられており、国家レベルの攻撃者による大規模な資金洗浄とは異なる構図が想定されます。次に、事件の規模が1億600万ドル超とはいえ、バイナンスの事件の約63億ドルと比べれば60分の1程度であり、市場全体の資金フローから見れば限定的だという点です。さらに、資金の一部はまだ凍結可能なUSDCの形で残っているとみられ、発行体や取引所による凍結の余地が残っている可能性もあります。ただし、これらは「被害が拡大しにくい可能性」を示す材料であり、「被害がない」ことを示すものではありません。

一方、警戒材料も少なくありません。第一に、被害事業体や取引所の正式な発表がまだなく、事件の全体像が分からないことです。被害額の確定、出金の原因、凍結の有無、捜査の進展のいずれも未確認で、続報によっては見方が変わる可能性があります。第二に、資金がモネロへ変換された部分については、追跡がほぼ不可能になるため、回収の見込みが低くなることです。第三に、許可リストに登録済みとみられるアドレスへの送金が多かったとされる点で、事業体の口座管理や取引所の出金管理のあり方が問われる可能性があります。第四に、同じ週に複数のセキュリティ事件が重なったことで、取引所への信頼や、顧客の資金移動の動きに影響が出る可能性があります。バイナンスの出金再開後に58億ドルから70億ドル超の純流出があったことは、顧客の一部が取引所への信頼を回復しきれていない可能性を示唆しており、今回の事件がその警戒感をさらに強めるかどうかが注目されます。

この両面を踏まえると、今回の事件は「市場が崩れる」という単純な結論にも、「何も問題がない」という結論にも直結しません。より正確な見方は、「大規模な出金の疑いと資金移動は観測されたが、原因や被害の確定額、凍結・回収の見込みは未確認で、市場への影響は恐怖圏にあるセンチメントとあわせて時間をかけて見ていく必要がある」というものです。関連する過去記事としてバイナンスの緊急基金SAFU、ビットコイン残高が半分にとバイナンス出金再開で58億ドルの純流出、米ビットコインETF、10月は純流出で終了もあわせてご覧ください。投資判断の材料として使う場合も、今回の事件だけを見て売買を決めるのではなく、出金のペース、準備金証明、ETFフロー、建玉や資金調達率といった複数の指標をあわせて確認することが、このデスクの基本的な見方です。価格の予測や断定はできませんが、複数の材料をそろえて確認することで、1つのニュースに振り回されにくくなります。

今後の確認ポイント――次に見るべき4つの材料

第一に、被害事業体や取引所による正式な発表です。被害額の確定、出金の原因、対象となった取引所の名前、そして顧客資産への影響の有無が示されるかどうかが、事件の全体像を把握するための最も重要な材料です。正式な発表がない限り、調査者の推計と公式発表を区別して扱う必要があります。第二に、凍結と回収の進展です。USDCやUSDTの発行体による凍結、取引所やインスタント取引所サービスによる資金の遮断、そして捜査機関による発表があるかどうかが、被害の拡大を食い止められるかどうかを左右します。バイナンスの事件では、凍結が比較的早期に進んだことが、被害の拡大を抑える一因と報じられています。今回の事件でも、凍結可能な形で残っている資金があるかどうかが焦点です。

第三に、資金移動の追跡の続報です。ZachXBTや他の調査者による追加のアドレス公表、モネロへの変換額の推計、橋渡し先のチェーンの特定などが進むかどうかが、事件の規模と手口を理解するための材料になります。特に、許可リストに登録済みのアドレスへの送金が多かったとされる点については、取引所の出金管理や事業体の口座管理のあり方が、今後の議論の対象になる可能性があります。第四に、市場全体のセンチメントと資金フローの動きです。恐怖・貪欲指数が恐怖圏から回復するのか、取引所からの出金のペースに変化があるのか、ETFフローや建玉に動きがあるのかどうかが、セキュリティ事件が市場全体に与える影響を測る材料になります。マクロの材料として、米国の中間選挙を控えた市場のボラティリティの高まりも報じられており、暗号資産固有の材料とマクロの材料が重なる週であることも忘れてはいけません。

最後に、読者への注意点を改めて整理しておきます。今回の事件は、調査者の指摘に基づく「疑い」の段階であり、被害者や取引所の正式な確認はまだありません。数字は推計であり、集計の範囲によって1億600万ドルから1億880万ドルまで幅があります。取引所名についても、調査者の追跡による推定と公式発表を区別する必要があります。これらの区別を意識しながら、続報を待つことが、誤解を避けるための最も確実な方法です。このデスクでは、今後の正式な発表や追跡の進展があれば、続報として取り上げる予定です。

よくある質問

出典

• Cointelegraph「Crypto investigators flag suspected $106M theft, $786K Solana bot drain」
• Decrypt「Mystery $106 Million Crypto Theft Hits EU Entity Days After Binance Hack」
• Unchained「$106 Million Suspected Stolen From EU Entity as Funds Flow Into Monero: ZachXBT」
• BeInCrypto「$106 Million Crypto Theft Hits EU Entity With Multiple Exchange Accounts」
• Coindoo「Suspected $106M Crypto Theft Ran Through Familiar Wallets」（Bitqueryの追跡を紹介）

本記事は上記の報道をもとに、このデスクが要約・整理したものです。価格の予測や売買の推奨は行いません。数値の前提は各出典の報道時点のものです。

関連：指標ダッシュボード／DEX横断データ／ニュース一覧