Binance流出のTRON側 — 46分で凍結、その5分後に試された「預入トークン」の抜け道、受領証を価値として追う追跡

TRON側で何が起きたか(オンチェーンで確認できる範囲)

前回の記事はEthereum側のEIP-7702スイープを扱いました。同じ夜、TRONのホットウォレット「Binance-Hot 7」からも資金が出ています。以下はすべてTRONの公開台帳とTetherの凍結イベントから読み取った時刻です。

TRONでは2つのアドレスで計378.7M USDTが凍結されました。凍結より前に動いた300M USDTのうち、199Mはスワップ用のコントラクトへ、33MはDEXのプールマネージャへ、66Mは5分後に凍結された新規アドレスへ向かっています。

「預入トークン」で凍結をかわす手口

USDTはTetherがアドレス単位で凍結できます。しかし、USDTをレンディングプロトコルに預けると、預けた側は受領証トークン(jUSDTのようなもの)を受け取ります。受領証はプロトコルが発行するトークンであって発行体の管理下にはないため、Tetherは凍結できません。受領証を新しいウォレットへ送り、そこで引き出せば、引き出し先のウォレットは凍結リストに載っていないきれいなアドレスとしてUSDTを手にします。

上の時系列で言えば、21:09の初回凍結を見て、21:14に10,000USDTでこの経路を試したと読めます。この手口は追跡側にも効きます。盗難資金の追跡はふつうネイティブ通貨と主要ステーブルコインの送金を追うため、受領証トークンの送金を「価格不明のその他トークン」として無視すると、鎖がここで切れます。

1. TRONの盗難資金追跡

事件データベースの攻撃者アドレスを起点に送付先を追う仕組み(前回の記事の「盗難資金の到達先ラベル」)を、EthereumだけでなくTRONでも動かすようにしました。TRONではアドレスがbase58形式で大文字小文字に意味があるため、EVMのように小文字へ正規化すると別のアドレスになってしまいます。この違いを正しく扱い、送金の取得は汚染時刻からの時間窓で古い順に取ります。攻撃者アドレスにはアドレスポイズニングの入金が大量に積もるので、送出と受領を別々に取得して、送出の一覧がスパムに押し出されないようにしています。

事件ページのbinance-2026には、TRON側の被害ウォレット、一次受領、集約ハブ、凍結された受領先、TRXの送金元を登録済みです。初回の追跡で1ホップ目169アドレス、2ホップ目800超のアドレスが台帳に載りました。

2. 預入トークンを価値として追う

追跡対象のアドレスが、同じトランザクションでステーブルコインを送り出し、別のトークンをちょうど1種類受け取ったとき、その受け取ったトークンを「この事件の価値の運び手」として学習します。レートは「送ったUSD額÷受け取った枚数」で、ハードコードはありません。今回の試し預入からは、1jUSDT≈0.0109USDが学習されました。以後、そのトークンの送出先は受領額をUSD換算して1ホップ先の受領者として記録され、閾値を超えればScamDBにも載ります。

• 学習の材料は攻撃者自身の送出トランザクションだけです。受け取るだけのエアドロップやスパムトークンは運び手になりません。
• 同じトランザクションで2種類以上のトークンを受け取った場合は曖昧として学習しません。
• DEXでのスワップも同じ形になるため、スワップ先のトークンも約定レートで学習します。価格が動くトークンでは換算がずれることがあり、台帳では預入トークン由来の額を別の列に分けて記録しています。

3. TRONの取引所ホットウォレット判定と追跡の深さ

盗難資金が既知の取引所に到達した事実は、アドレスではなく取引所名で事件ページに出します。TRONの取引所ホットウォレットは登録簿に載っていないものが多いため、TRONの正規エクスプローラが公開しているアドレスタグで補完し、取引所と判定できたものは取引所到達として扱い、DEXやブリッジのコントラクトは除外します。

追跡の深さは2ホップから3ホップに広げました。預入側のウォレットは多くが2ホップ目に現れるため、2ホップで止めると受領証の学習とその先の動きが見えないためです。3ホップ目のアドレスは台帳に記録するだけで、ScamDBには登録しません。無関係な第三者を巻き込まないための線引きは変えていません。

チェーンが示している規模

レンディングプロトコルのUSDT市場への預入イベントを、流出の10月29日20:00UTCから10月31日13:30UTCまで集計しました。

6ウォレットの経路は共通で、攻撃者のTRX集約ハブから小分けされたTRXを受け取り、DEXでUSDTに替え、レンディングに預けています。TRX→DEX→USDT→受領証という4段で、所要はおよそ1日でした。残る15ウォレットは原資がさらに遠いか無関係で、オンチェーンで結びつけられないため数えていません。

凍結までの時間(この事件の一次情報から)

いずれも凍結イベントのブロック時刻から機械的に出した値で、事件ページの凍結レイテンシカードと同じものです。TRONの46分は決して遅くありませんが、その間に300M USDTが動き、凍結の5分後には受領証経由の抜け道が試されていました。凍結は時計を止めるだけで、回収ではありません。