Binance流出のNEAR側 — 作ったばかりのミームコイン6銘柄を「買う役」と「売る役」に分かれて売買し、資金を受け渡していた

1. 何が起きたのか

2026年10月29日、暗号資産取引所Binanceの複数の「ホットウォレット」(取引所が日々の出金に使う、オンラインの財布)から資産が抜き取られました。FBIは10月31日に北朝鮮が関与したとするアラートを出しています(FBIのアラート)。

被害はいくつものチェーンにまたがっています。この記事が扱うのはNEARの部分です。チェーン上の記録では、10月29日20:15〜20:22(UTC)の7分間に、3つの口座から1つの口座へ計12,410,067 NEARが送られました。

この口座からは、11月9日までに約78万6,000 NEARが送り出されています。残りの約1,162万NEARは動いていません。送り出された分の動かし方が、ほかのチェーンとは違っていました。

2. 先に知っておきたい言葉

• ミームコイン: 話題性だけで売り買いされる暗号資産。誰でも数分で新しい銘柄を作れます。
• DEX(分散型取引所): 運営会社を通さず、プログラムが自動で交換に応じる取引所。NEARではRef Financeが代表的です。
• プール: DEXで、2種類の暗号資産を入れておく共同の箱。「新しい銘柄」と「NEAR」のプールがあれば、片方を入れてもう片方を取り出せます。プールも誰でも作れます。
• ブリッジ: あるチェーンの資産を別のチェーンへ移す仕組み。
• Chainflip: チェーンをまたいで暗号資産を交換する仕組み。利用者ごとに使い捨ての入金先が作られ、そこへ送ると別のチェーンで別の資産が払い出されます。

3. 使われた6銘柄

6銘柄は同じ発行ツールで続けて作られ、名前の末尾に3から8の連番が付いています。プールはすべてRef Financeにあり、相手はNEARです。

どの銘柄も、発行した口座が自分でプールを作り、自分だけで最初の資金(40〜374 NEAR)を入れています。発行した口座が全体の8割〜99.99%を持ったままで、保有者は多くても15口座です。ふつうの人気銘柄ではまず見ない形です。

4. お金の流れを順に追ってみる

1. 銘柄とプールを作る。 発行役の口座が銘柄を作り、少額のNEARと一緒にプールへ入れます。あわせて、銘柄を売る役の口座へただで配っておきます。
2. 盗んだNEARを、買う役の口座へ配る。 最初の受取口座から約11万7,000 NEARが1つの口座へ送られ、そこから分配役の口座を通って、100 NEARずつ買う役の口座へ送られました。100 NEARちょうどの送金は871回あります。
3. 買う役が銘柄を買う。 買う役は、受け取ったNEARで銘柄を1回10 NEARほどずつ買います。買った銘柄はどこにも送らず、持ったままです。
4. 売る役がすぐに売る。 買いが入ると、数十秒から数分のうちに、売る役がほぼ同じ量の銘柄を売ってNEARを受け取ります。買いと売りが1回ずつ交互に並ぶので、プールの中身はほとんど変わりません。
5. 結果として、NEARが買う役から売る役へ移る。 6銘柄の合計で、買いは2,559回・約14万3,700 NEAR、売りは2,573回・約14万3,100 NEARでした。差の約570 NEARは取引の手数料です。

閉じる / Close

買う役と売る役のあいだに、直接の送金は1件もありません。記録に残るのは「買う役がプールで銘柄を買った」「売る役がプールで銘柄を売った」という別々の取引だけです。手もとに価値のない銘柄が残ることを気にしなければ、取引の形でお金を渡せます。

なお、プールに入れた資金を発行役が引き上げる動き(いわゆるラグプル)は、4銘柄で11月8日にありましたが、額は1銘柄あたり265〜419 NEARです。資金のほとんどは、上の売買で移っています。

5. なぜ、攻撃者の口座から追うだけでは見えないのか

盗難資金の追跡は、ふつう攻撃者の口座から送金先を順にたどります。この方法で見えるのは、買う役がプールにNEARを入れたところまでです。その先を機械的にたどると、プールを使ったすべての人が候補になってしまいます。

そこでChainAnalyzerは向きを逆にしました。

1. Ref Financeに新しくできたプールを番号順に見ていく。
2. そのプールの銘柄を誰が買い、誰が売ったかを調べる。
3. 買い手が持つNEARの出どころをさかのぼる。
4. 出どころが、すでに確認済みの攻撃者の口座に届いたものだけを残す。

この方法で6銘柄が見つかりました。6プールの売買約5,100件をすべて読み、買い手と売り手を分けたのが3節の表です。

6. 出口で分かったこと

• 売る役が受け取ったNEARの一部は、USDCに替えられ、Aurora(NEARとつながる別のチェーン)とブリッジを通ってEthereumへ送られました。11月8〜9日に、3つのアドレスへ計約31万USDCです(1つあたり約9万6,000〜11万USDC)。
• 3つのアドレスは、受け取ったUSDCをChainflipの入金先へ送っていました。取引所の入金口ではありません。送り先がChainflipの作ったものであることは、作成者の記録で確認しています。
• 払い出されたBitcoinは、その後20のアドレスまで追いました。取引所への入金は見つかっていません。途中でほかの資金と合流しているため、その先の金額をこの経路のものとは数えていません。
• 出口の口座には、ミームコインを通らずに最初の受取口座から直接来た資金も入っています。約31万USDCのすべてが6銘柄を通った資金だとは言えません。

7. まだ分からないこと

• 売る役が受け取ったNEARの行き先のすべて。追えたのは上位の送り先で、少額ずつ多数の口座へ送られた分は追い切れていません。
• プールには、合計1,000 NEARに満たない小口の売買がほかの口座から入っています。これが同じ運用の一部か、無関係な利用者かは分かりません。
• 残っている約1,162万NEARが、同じ方法で動かされるかどうか。

8. ChainAnalyzerで追えるようにしたこと

• 事件の記録に追加: この経路のEthereum側の着地先を、事件ページのアドレス一覧に加えました。ウォレットスキャン・REST API・MCPでの照合にも反映されます。
• NEARの残高の見張り: 攻撃者のNEAR口座の残高を見張り、動いたら記録に載せます。
• 新しいプールからの検知(準備中): 今回の方法を常に動かし、攻撃者の資金で新しい銘柄が買われ始めたら早い段階で分かるようにする仕組みを準備しています。

9. おわりに — 「取引」に見せかけた受け渡しを追うということ

ミームコインとプールは、誰でも数分で作れます。買う役と売る役を用意すれば、送金は「取引」に形を変え、送り手と受け手のつながりは記録から消えます。6銘柄の売買を通ったのは、NEARに渡った資金の約1%です。同じ方法は、残りの約1,162万NEARにも使えます。

追う側にできるのは、送金をたどるだけでなく、新しくできた場所を先に見ておくことです。

同じ事件のほかのチェーンでの資金の流れは、XRP側の記事とSolana側の記事にまとめています。