Binance流出のXRP側 — 2億3,000万XRPはどう分けられ、THORChainでBitcoinへ替えられようとしているか

1. 何が起きたのか

2026年10月29日、暗号資産取引所Binanceの複数の「ホットウォレット」(取引所が日々の出金に使う、オンラインの財布)から資産が抜き取られました。FBIは10月31日に北朝鮮が関与したとするアラートを出しています(FBIのアラート)。

被害はいくつものチェーンにまたがっています。この記事が扱うのはXRP Ledger(XRPという暗号資産を記録しているブロックチェーン)の部分です。チェーン上の記録では、10月29日20:05〜20:09(UTC)の4分間に、BinanceのXRP用ホットウォレット5つから1つの口座へ計233,461,943 XRPが送られています。

XRPは、Bitcoinのように発行元が凍結できない通貨です。USDCやUSDTのようなステーブルコインと違い、盗まれた後で発行元に止めてもらうことはできません。だからこそ、どこへ動いたかを早く知ることが大切になります。

2. 先に知っておきたい言葉

• XRP Ledgerのアカウント(口座): XRP Ledgerでは、お金は「アカウント」に入ります。銀行の口座番号のようなもので、作るには一定額のXRPを入れておく必要があります(準備金(reserve))。この記事では「口座」と呼びます。
• 宛先タグ(destination tag): 送金に付けられる番号です。取引所や交換サービスは、1つの入金用口座を大勢の利用者で共有し、「誰の入金か」をこの番号で見分けます。銀行振込で言えば、同じ振込先口座に送るときの「お客様番号」にあたります。タグ付きの送金が多い先は、取引所や交換サービスの入金口であることがほとんどです。
• THORChainとスワップのメモ: THORChainは、Bitcoin・Ethereum・XRPなど別々のチェーンの資産を、取引所を通さずに直接交換できる仕組み(クロスチェーンスワップ(cross-chain swap))です。利用者はTHORChainが管理する口座(保管庫(vault))にXRPを送り、送金に「メモ」を付けて「何に替えて、どこへ送ってほしいか」を指定します。今回のメモは、ほとんどが「Bitcoinに替えて、このBitcoinアドレスへ送って」という内容でした。
• 返金(refund): THORChainでは、注文に「最低これだけは受け取りたい」という条件を付けられます。相場が動いて条件を満たせないときや、注文が受け付けられないときは、交換せずに送り元へ送り返されます(手数料は差し引かれます)。これが返金です。

3. お金の流れを順に追ってみる

時刻はすべてUTCです。

1. 10月29日20:05〜20:09 Binanceのホットウォレット5つから、1つの攻撃者の口座へ233,461,943 XRPが入る。
2. 11月2日 その口座が、残高を6つの口座に分ける。5つは約4,000万XRPずつ、1つは約3,346万XRP。
3. 11月5日14:56〜 6つのうち1つの口座が、ほかの2つの口座の残高を集め、約1億300万XRPを49の中継口座へばらまく。
4. 49の中継口座は、さらに72の口座へ送る。事件ページの図に載っている中継口座は、11月8日UTC朝の時点で合わせて124です。
5. 中継口座が、THORChainの保管庫へXRPを送る。メモの中身は、ほとんどが「Bitcoinに替えてこのアドレスへ」。
6. 条件を満たせなかった注文は返金され、戻ってきたXRPがまた別の注文として送り直される。

1つの大きな口座のままでは目立ち、交換もしにくいので、細かく分けて大勢の「利用者」に見せかけ、THORChainに少しずつ流し込んでいる形です。

4. 資金はどこへ行ったのか

11月8日UTC朝の時点で、盗まれた233,461,943 XRPの行き先は次のとおりです(事件ページの「資金の現在地」の図と同じ数字です)。

THORChainとのやりとりを分けると、次のようになります(11月5日〜11月8日UTC朝)。

返金は送った量の約4割にのぼります。同じお金が何度も送られては戻ってきているので、「送った量」をそのまま足すと実際より大きく見えます。ここでは返金を差し引いた正味の量で数えています。

まだ動いていない分のうち、約1億1,300万XRPは3つの口座に入ったままです(11月8日UTC朝の時点)。これらがいつ動くかは分かりませんが、動けばすぐに分かるようにしてあります(次の節)。

5. ChainAnalyzerで追えるようにしたこと

11月8日に、次のことを入れました。

• 攻撃者の全口座の残高を見張る: 事件に登録したXRPの口座すべてについて残高を定期的に確かめ、減ったら数分以内に知らせます。送り先の口座は自動で事件の記録に加わり、THORChainへの送金なら、メモに書かれたBitcoinなどの受け取り先も記録に加えます。
• 図で見られる: 事件ページのネットワーク図と「資金の現在地」の図(保有中の量と各出口へ出た量を帯の太さで表すサンキー図(Sankey diagram))に、XRPの流れが加わりました。
• THORChainの受け取り先を登録: スワップのメモから、Bitcoin・Ethereum・TRONの受け取り先(11月8日UTC朝の時点で55件)を取り出し、事件の記録に加えました。
• ウォレットスキャンに反映: 攻撃者の口座と受け取り先はScamDB(当社の不正アドレスのデータベース)に登録しました。全プランのウォレットスキャン・REST API・MCPで、これらのアドレスに触れた取引が警告されます。

閉じる / Close

閉じる / Close

宛先タグ付きの送金先や、THORChainの保管庫そのものは、攻撃者ではありません(ほかの大勢の利用者のお金も通っています)。無関係な事業者や利用者を「盗難資金の受け取り手」にしないよう、これらは不正アドレスとしては登録していません。

6. どうやって確かめたか

• Binanceのホットウォレットから攻撃者の口座への送金を、XRP Ledgerの記録で1件ずつ確認し、合計がBinanceの初期報告の数字と合うことを確かめました。
• 分割・中継の各段で、送り元と受け取り先、量をチェーン上の記録から取り、口座ごとに足し合わせました。
• THORChainへの送金と返金は、口座ごとに1件ずつ照らし合わせ、返金を差し引いた正味の量で数えました。返金かどうかは、THORChainの保管庫から送り元へ戻ってきた送金かどうかで判断しています。
• 「資金の現在地」の4つの行き先(保有中・THORChain・タグ付き送金・下流へ移動)を足すと、盗まれた233,461,943 XRPにちょうど戻ることを確かめました。
• まだ動いていない分は、各口座の現在の残高をXRP Ledgerから直接読んで確かめました。

7. おわりに — 凍結できない通貨を追うということ

XRPは発行元が凍結できないため、盗まれた後にできることは「どこへ動いたかを早く知らせる」ことに限られます。今回の流れは、細かく分けた口座からTHORChainへ少しずつ流し込み、Bitcoinに替えて別のチェーンへ移そうとするものでした。替えた先のBitcoinアドレスはメモに書かれているので、記録さえ追えば行き先は分かります。私たちはそのアドレスを事件の記録とScamDBに載せ、取引所や交換サービスが入金を受けたときに気づけるようにしています。

まだ動いていない約1億1,300万XRPがこの先どう動くかも、引き続き見張ります。

同じ事件のSolanaでの資金の流れは、Solana側の記事にまとめています。