10分で読めます
11月3日に検知されたGnosis Payの情報流出では、カード番号、自宅住所、紐づいた仮想通貨ウォレットのアドレスが漏れました。仮想通貨カードを使っているなら、今週まず手を打つべきなのはこの件です。同じ週には、63億4000万ドル規模のバイナンスハッキングで新たな資金洗浄の動きがあり、韓国の取引所Gopaxでは入出金と取引が止まりました。この記事では3つの事件で何が起きたのかを整理して、私なら今日やる対策をチェックリストにまとめます。
要点まとめ
- Gnosis Payは11月3日に消費者向けカードシステムへの不正アクセスを検知し、11月6日に公表しました。同社によると、顧客の資金に被害は出ていません。
- Bitcoin Magazineによると、バイナンスは10月29日の被害額を63億4000万ドルとしており、うち約28億5000万ドルを凍結または差し押さえたとしています。
- Elliptic（エリプティック）によると、攻撃者は約4200万XRP（約5000万ドル）を主にTHORChain経由でビットコインに交換済みで、約1億9200万XRPはまだ交換されていません。
- Bitcoin Magazineによると、Gopaxはハッキング予告メールを受けて、11月6日の現地時間14時55分に通常の入出金を停止しました。今のところ被害は報告されていません。
Gnosis Pay情報流出で何が漏れたのか
Gnosis Payは、仮想通貨と連動するVisaデビットカードを発行している会社です。同社の説明では、11月3日に監視システムが消費者向けカードシステムへの不正アクセスを検知し、2時間以内に封じ込めを始めました。公表したのは11月6日（金）です。
CoinDeskの報道では、流出した情報には自宅住所、カード番号、紐づいた仮想通貨ウォレットのアドレスが含まれます。Rotki創業者のLefteris Karapetsas氏は、自分の氏名、自宅の住所すべて、カード番号、紐づけたウォレットアドレスが全部データに入っていたと公に明かしています。
Cointelegraphは顧客に届いた流出通知を確認していて、そちらのリストはもっと長いです。カード番号の全桁、有効期限、CVVコード、氏名、自宅住所、メールアドレス、電話番号、国籍、紐づいたウォレットアドレス、さらに一部の人についてはIBANとBICといった銀行口座情報まで含まれていました。
影響を受けた顧客の数はまだ公表されていません。規模感の目安として、CointelegraphはOpenRateのデータを引いて、1日あたりのアクティブなカード利用者が約2400人いると伝えています。
Gnosis Payはどこまで対応したのか
明るい材料は多くありませんが、ゼロでもありません。同社によると顧客の資金は無事でした。フィンテック企業やウォレット、ネオバンク向けにホワイトラベルのカード事業を提供している法人向けプラットフォームは別系統で、こちらは被害を受けていません。
漏れた認証情報は差し替え済みで、脆弱性も修正し、ネット決済では3Dセキュアを必須にしました。Decryptによると、カード発行会社とデータ保護当局への報告も済ませています。なお、この消費者向けカードシステムはもともと12月20日に終了する予定でした。
仮想通貨カードの流出が銀行カードより怖い理由
普通の銀行カードが漏れたなら、止めて再発行すれば話は終わります。今回はそうはいきません。カード情報に自宅住所とウォレットアドレスがセットで漏れていて、アドレスはブロックエクスプローラーに貼り付ければ誰でもだいたいの保有額を見られるからです。DecryptはChainalysisのデータを引用し、2026年上半期だけで仮想通貨保有者を狙った物理的な襲撃、いわゆる「レンチ攻撃」で3000万ドル以上が奪われたと伝えています。
フィッシングもまとめて来ると私は見ています。Gnosis Pay自身も、詐欺師が本物の個人情報や過去の購入履歴を使って偽メッセージを本物らしく見せてくる可能性があると警告しています。同社がシードフレーズ、PIN、カード番号の全桁を聞くことはなく、資金の移動を求めることもないそうです。
バイナンスのハッキング資金はどこへ流れているのか
金額で見れば、やはりバイナンスの件がいちばん大きいです。Bitcoin Magazineによると、バイナンスは10月29日の被害額を63億4000万ドルとしています。
UTCで20時05分から20時09分のあいだに、5つのホットウォレットから攻撃者のアドレスへ2億3346万XRPが送られました。FBIはこの攻撃を北朝鮮のハッカー集団TraderTraitorによるものとしています。バイナンスは顧客の損失を自社資金で補償するとしていて、出金も段階的に再開してきました。
今週の新しい情報はブロックチェーン分析企業Ellipticからです。攻撃者は11月5日の午後から、XRPを数十の新しいアカウントに分け、主にTHORChainを通じてビットコインに替え始めました。Ellipticの最新情報の時点での状況を、TRM Labsの凍結額とあわせて下の表にまとめます。
| バイナンスハッキングの指標 | 金額・数量 | 出典 |
|---|---|---|
| 被害総額(10月29日） | 63億4000万ドル | バイナンス(Bitcoin Magazine経由） |
| 5つのホットウォレットから抜かれたXRP | 2億3346万XRP | Bitcoin Magazine |
| バイナンスが凍結・差し押さえた額 | 約28億5000万ドル | バイナンス(Bitcoin Magazine経由） |
| ビットコインに交換済みのXRP | 約4200万XRP（約5000万ドル） | Elliptic |
| 未交換のXRP | 約1億9200万XRP（約2億2600万ドル） | Elliptic |
| 盗難資金から替えられたビットコインの合計 | 約1650BTC（約1億2400万ドル） | Elliptic |
| 関連アドレスに残っている額 | 約31億1000万ドル（大半がETHとBTC) | Elliptic |
| 資金移動から37分後にテザーが凍結したUSDT | 9億7110万USDT | TRM Labs |
| 発行体が凍結したステーブルコインの合計 | 約26億7000万ドル | TRM Labs |
この流れは、10月29日にテザーとCircleがステーブルコインを大口で凍結したことを踏まえると納得がいきます。凍結できるものは凍結されたので、攻撃者は凍結できない資産に逃げたわけです。
TRM Labsがバイナンス事件を「サイバー戦争」と呼ぶ理由
Cointelegraphのインタビューで、TRM Labs幹部のAri Redbord氏は今回の盗難をサイバー戦争だと表現しました。各国政府は北朝鮮のハッカー本人だけでなく、彼らが現金化に使う資金洗浄ネットワークや銀行にも直接手を打つべきだ、というのが同氏の主張です。
個人として押さえておきたいのは、攻撃の入口です。Cointelegraphがまとめた11月3日のバイナンスの事後報告によると、攻撃者は採用担当者になりすまし、エンジニアの業務用PCにマルウェアを仕込みました。そのうえで乗っ取った社内AIツールを使い、ウォレットの署名サービスにたどり着いています。
つまり、もっともらしい転職オファーが侵入口だったということです。同じ手口は個人にも通用します。狙われる金額が小さいだけです。
Gopaxはなぜ出金を止めたのか
Bitcoin Magazineによると、Gopaxは11月6日（金）の現地時間14時55分に通常の入出金を停止しました。15時53分には取引も止め、未約定の注文をすべてキャンセルしています。
きっかけは、取引所をハッキングできると主張する人物からのメールでした。Gopaxの担当者は聯合ニュースに対し、脅迫の真偽は確認できていないと話していて、今のところ被害は報告されていません。
Gopaxは全ての仮想通貨をコールドウォレットに移しているとしています。その後、入金は再開されたと報じられました。ただしWebとアプリからの出金は止まったままで、出金したい顧客はサポートセンター経由で申請し、手作業で処理してもらう形になっています。取引の再開日は決まっていません。
これとは別に、9月から続いているアカウントアクセスの問題で、顧客7人と現職・元職の従業員2人の情報が漏れています。Gopaxはこれを今回とは無関係としています。全資産をコールドストレージに移すのは慎重な対応で、損失が出たサインではないと私は受け止めています。それでも割を食うのは利用者です。あの金曜の午後に資金を動かす必要があった人は、動かせなかったわけですから。
3つの事件、カード利用者と取引所ユーザーへの影響を比べる
各社の発表をもとに、利用者が今どういう立場にあるかを並べるとこうなります。
| 事件 | 被害を受けたもの | 利用者の資金（各社の説明） | 今あなたにとっての主なリスク |
|---|---|---|---|
| Gnosis Pay | 消費者向けカードシステム：カード情報、住所、ウォレットアドレス | 影響なし | 狙い撃ちのフィッシング、カードの不正利用、保有者だと特定されること |
| バイナンス | ホットウォレット、10月29日に63億4000万ドルが流出 | バイナンスの自社資金で補償 | ニュースに便乗した偽の「資金回収」「返金」詐欺 |
| Gopax | 脅迫メール。資金の流出は確認されていない | 今のところ被害報告なし | Web・アプリの出金停止中は資金が動かせない |
情報流出のあと、仮想通貨を守るためにやること
慌てる必要はありません。1時間ほどの片付けで十分です。効果が大きい順に、だいたい次のとおりです。
- カードに関するメッセージは、自分で確認するまで全部ニセモノだと思ってください。流出のあとは、詐欺師があなたの名前や住所、最近の購入履歴まで知っている可能性があります。本物の取引を引用したSMSが届いても、本物の証拠にはなりません。リンクはタップせず、アプリを自分で開くか、URLを自分で入力しましょう。
- 送金のたびにアドレスポイズニングを警戒してください。ウォレットアドレスを知った攻撃者は、先頭と末尾の数文字だけが同じ似たアドレスから少額を送りつけ、あなたが履歴から間違ったほうをコピーするのを待ちます。アドレス帳に登録したアドレスを使い、全文字を照合する習慣をつけましょう。
- Gnosis Payから通知を受け取った人は、カードの停止や再発行について問い合わせ、利用明細をこまめに見てください。Cointelegraphが確認した通知の一つには、その顧客のカードは11月3日にすでに停止済みで、不審な取引は見つかっていないと書かれていました。
- 長期保有分はセルフカストディにしましょう。ハードウェアウォレットなら取引所が凍結されても影響を受けませんが、管理の責任は自分に移ります。シードフレーズはオフラインで紙に書き、どのサイトにも入力しないこと。端末はメーカーから直接買ってください。Decryptは、第三者の販売者から買ったLedger端末に関連して8700万ドルが抜かれた疑いのある事例に触れています。
- 取引所の二段階認証はハードウェアセキュリティキーかパスキーに切り替えましょう。SMSの認証コードはSIMスワップで乗っ取られることがあり、Cointelegraphによると電話番号もGnosis Payの流出データに含まれていました。FIDO2キーなら、本物そっくりのフィッシングドメインではログイン自体を拒否してくれます。SMSや認証アプリのコードにはそれができません。
- 使っていないトークンの承認(Approve)は取り消しましょう。Revoke.cashやブロックエクスプローラーの承認チェッカーを使えば、あなたのトークンを動かせるコントラクトが一覧で出てきます。取り消すたびに少額のガス代がかかりますが、ドレイナーサイトが頼りにしている扉を一つずつ閉じられます。
- 身元と資産は切り離しておきましょう。名前やカード、取引所アカウントと一度も紐づけていない新しいウォレットなら、あなたまでたどられにくくなります。SNSで保有額の話をするのも避けてください。
- リクルーターや「お試し課題」は疑ってかかりましょう。バイナンスの侵入は偽の採用担当者から始まりました。ウォレットや取引所のログイン情報が入っているPCで、転職オファーに付いてきたファイルやコードを実行してはいけません。
私が次に注目しているポイント
Gnosis Payについては、影響を受けた顧客の人数と、12月20日に消費者向けシステムが終わる前にカードが再発行されるのかを知りたいところです。バイナンスについては、残る約1億9200万XRPが同じくTHORChainルートをたどるのか、関連アドレスにある約31億1000万ドルのうちどこまで凍結できるのかが焦点です。Gopaxについては、Web・アプリからの出金と取引の再開日を待っています。
Gopaxへの脅迫が本物だったのか、ただのハッタリだったのかは、まだ誰にもわかりません。どちらだったとしても、上のチェックリストは3つのタイプの失敗すべてに効きます。これは投資助言ではありません。資金を動かす前に、ご自身でもよく調べてください。
FAQ
Gnosis Payの顧客資金は盗まれたのですか？
Gnosis Payは、顧客の資金には影響がなかったとしています。今回流出したのは、消費者向けカードシステムにあった個人情報とカード情報です。影響を受けた顧客の人数は公表されていません。
Gnosis Payの流出に自分の情報が含まれていたら、何をすればいいですか？
カードの停止や再発行について問い合わせ、利用明細をこまめに確認し、カードや購入履歴に触れてくるメッセージは疑ってかかってください。ウォレットアドレスも知られている可能性があるので、送金のたびにアドレスを全文字確認しましょう。
ハッキングのあと、バイナンスに置いている資産は安全ですか？
バイナンスは顧客の損失を自社資金で補償するとしていて、出金も段階的に再開してきました。「資金を取り戻します」と持ちかけてくる相手には注意してください。事件のあとによくある二次被害の詐欺です。
Gopaxの出金と取引はいつ再開されますか？
再開日はまだ決まっていません。最新の報道では、入金は再開されたものの、Webとアプリからの出金は止まったままで、出金申請はサポートが手作業で処理していました。今のところ被害は報告されていません。
あわせて読みたい
本記事は情報提供のみを目的としており、投資助言ではありません。暗号資産は価格変動が大きく、元本をすべて失う可能性があります。