暗号資産取引所Binanceは、社内の倫理的ハッキング部隊であるレッドチームが自社従業員に対し月次で模擬フィッシング攻撃を実施している。同社最高セキュリティ責任者のジミー・スー氏がCointelegraphに語り、2026年7月26日に報じられた。実施は3〜4年に及び、失敗した従業員には是正トレーニングを課す。結果は人事評価に反映され、深刻な失敗を繰り返した場合は解雇に至ることもある。
シナリオには採用リクルーターへのなりすましや、無料のカンファレンス招待による個人情報収集がある。同報道時点で、Binanceの登録ユーザーは3億2300万人、DefiLlamaが追跡する同取引所関連の資産は約1377億ドルだった。AMLBotは2026年2月、同社が扱った2025年の調査案件のうち65%がソーシャルエンジニアリングに起因すると推定した。2026年4月にはDrift Protocolが長期のソーシャルエンジニアリング工作を経て2億8500万ドルのハッキング被害を受けた。
From: 
Binance ‘red teams’ its own staff every month to keep hackers out
【編集部解説】
「人間」が主要なアタックサーフェスのひとつになった
セキュリティの世界で長く語られてきた「人間が最も弱い輪（weakest link）」という言い方があります。今回のBinanceの取り組みは、その言い回しをスローガンから運用制度へ落とし込んだ事例として読むことができます。
注目すべきは、レッドチームが従業員に対して仕掛けるシナリオの中身です。採用リクルーターへのなりすまし、無料カンファレンスへの招待——これらは想像上の脅威モデルではありません。現実に暗号資産業界で使われてきた攻撃パターンと重なります。
4月のDrift事件が示した「6ヶ月かけて信頼を築く」攻撃
記事が触れているDrift Protocolの被害を掘り下げると、その意味がはっきりします。
2026年4月1日、Solana上の分散型パーペチュアル取引所Driftから約2億8500万ドルが流出しました。Chainalysisによれば、これは攻撃前のTVL（預け入れ資産総額）の50%超に相当します。TRM Labsは事件直後の時点で、2026年最大のDeFiハッキングであり、Solana関連では2022年のWormholeブリッジ（3億2600万ドル）に次ぐ規模と位置づけました。
ただし、この事件はスマートコントラクトのバグではありませんでした。Drift側の事後調査を引用するChainalysisによれば、攻撃はクオンツ取引会社を装った人物たちが2025年秋から複数の国際カンファレンスで特定のコントリビューターに対面で接近し、約6ヶ月かけて関係を構築するところから始まっています。彼らは実際に100万ドル超の資金を預け、プロダクト議論にも参加していました。なおChainalysisは、この経緯がDrift側の調査に基づくものであり、公開時点では第三者による独立検証が完了していないと注記しています。
最終的にSolanaの「durable nonce（永続ノンス）」という機能を使い、セキュリティ評議会のメンバーに意味を十分認識させないまま取引へ事前署名させ、管理権限を奪取。無価値の偽トークンを担保として登録し、TRM Labsの分析では約12分の間に31件の主要な出金を実行しました。Chainalysisによれば、その後を含む流出処理全体は約2時間半に及んでいます。
攻撃主体について、Drift側の調査はMandiantが以前Radiant Capital事件で分類した北朝鮮系グループUNC4736との関連を、中〜中高程度の確信度で評価しています。Mandiant自身がDrift事件を直接帰属させたわけではない点は、押さえておく必要があります。
Solana Foundationの最高プロダクト責任者ヴィブ・ノービー氏は当時、これはプログラムやスマートコントラクトの脆弱性ではなく、運用セキュリティかソーシャルエンジニアリングに起因する可能性が高いと指摘しました。同氏はあわせて、これがSolanaのDeFi全体の構造的問題を示すものではないとも述べています。
技術で守れる領域の外側から入ってこられた——Binanceの演習は3〜4年前から続いており、この事件が制度の直接の導入理由ではありません。ただしDrift事件は、月次演習が備えようとしているリスクを、これ以上ないほど鮮明に示した事例です。
65%という数字の正しい読み方
記事にあるAMLBotの「2025年のインシデントの65%がソーシャルエンジニアリング起因」という数字には、原典を読むと重要な前提があります。
この65%は、AMLBotが自社で扱った約2,500件の調査案件に基づくものです。暗号資産業界全体の発生率を示すものではありません。内訳は投資詐欺25%、フィッシング18%、デバイス侵害13%、長期間かけて信頼を築く投資詐欺（pig butchering）とOTC詐欺が各8%、チャットベースのなりすましが7%。
被害後に同社へ相談が持ち込まれた案件という選択バイアスもあり、取引所が受ける標的型攻撃よりも個人投資家の被害が多く含まれている可能性があります。コードを狙う攻撃が減ったことを示すデータではないため、「人的攻撃が主要なリスクのひとつとして定着した」という読み方が妥当でしょう。数字の絶対値ではなく、傾向を示す指標として受け取るのが安全です。
Venus事件の金額が報道によって揺れた理由
2025年9月2日のVenus Protocolの事例も、数字を正確に押さえておく価値があります。
被害者はEureka TradingのCEOであるクアン・サン氏。偽リンク経由で実行された悪意あるコードによってPCを掌握され、攻撃者に口座の委任権限（delegate）を与える取引に署名させられました。SlowMistの解析によれば、ウォレット拡張機能が改ざんされ、資産引き出しの`redeemUnderlying`が権限委任の`updateDelegate`へ置き換えられていたとされます。同社はChromeの開発者モードを利用した改ざんを可能な経路のひとつとして挙げていますが、ログが削除されており、実際にこの方法が使われた確証はないとも記しています。
数字が揺れるのは、何を数えているかが報道ごとに違うためです。当初報じられた2700万ドルは負債相殺前のポジション総額、約1350万ドルが負債を考慮した純損失、1140万ドルはThe Blockが伝えた返還時点のポジション評価額にあたります。
Chainalysisによれば、Venusは悪意ある取引から20分以内にプロトコルを停止し、約7時間で緊急ガバナンス投票による攻撃者ウォレットの強制清算を実行、12時間以内に回収と全面復旧まで完了させました。報道によれば、SlowMistはこの攻撃を北朝鮮系のLazarus Groupに結び付けています。攻撃経路も対象も帰属の確度も異なりますが、人的な信頼と署名権限を狙うという点でDriftと同じ層を突いています。
「解雇」という設計への、率直な疑問
ここからは編集部の解釈になります。
Binanceの施策のうち、月次という高頻度の実施そのものは、一部の業界ガイダンスが推奨する水準と一致します。年次や四半期では間隔が空きすぎて習慣化しないという指摘は各所で見られます。ただしこれはセキュリティ研修ベンダーによる推奨であり、研究上の普遍的な合意ではありません。
効果の手がかりとして参照できるのは、同一の欧州持株会社傘下の20法人・1,300名超を対象とした12ヶ月の縦断研究です。不安全な行動の発生率は初期の8.5%から最終四半期平均で4.2%へ低下し、低下の多くは最初の約6ヶ月に生じました。また、一度失敗した参加者の約70%は、その後のシミュレーションで不安全な行動を繰り返していません。
この研究はIEEE Big Data 2025の会議論文として正式にプロシーディングへ収録されており、arXiv版はその著者公開原稿にあたります。ただし失敗者にはフォローアップ研修が課される設計で、未研修の対照群を置いた研究ではないため、この70%を研修による因果的な低下率とみなすことはできません。同一持株会社傘下の組織を対象としている点でも、他業種・他地域への一般化には限界があります。
問題は、その先です。人事評価との連動、そして解雇の可能性。
罰則的アプローチについては、専門家やガイダンスが繰り返し副作用を警告してきました。理由はシンプルで、罰則は失敗した従業員に申告をためらわせるおそれがあるからです。セキュリティ研修企業AwareGOは、出典の詳細を示さないSANS Instituteの2025年調査として、懲罰的なテスト文化を持つ組織では自己申告によるインシデント報告率が60%低いという数字を紹介しています。この数値の一次資料は確認できていないため、傍証として扱うべきものです。
より確実な裏づけは、Krebs on Securityが2019年に掲載した専門家の証言でしょう。処分が伴う環境では、クリックしてしまった従業員が申告しなくなる可能性が高まるという指摘です。実際の攻撃で誰かが誤ってリンクを踏んだとき、組織が被害を抑えられるかどうかは「どれだけ早く申告されるか」に大きく左右されます。評価が下がる、最悪クビになるかもしれないという環境では、初動に必要な数分から数時間が失われるおそれがあります。7年前の論点が、いまだに解けていません。
もっとも、Binanceの立場を擁護する材料もあります。2026年7月26日の報道時点で登録ユーザーは3億2300万人、DefiLlamaが追跡するBinance関連ウォレット等の資産は約1377億ドル。一回の失敗による潜在的損失が極めて大きいことは、一般的な事業会社との重要な違いです。同じKrebsの記事では、金融業界の一部に実際の制裁を伴う制度が存在するという証言も紹介されています。記事の文言も「深刻な失敗の繰り返し」を条件としており、一度の失敗が即座に処分へつながる設計ではないことは読み取れます。ただし「繰り返し」「深刻」の閾値がどこにあるかは示されていません。
そして記事には、失敗率の実数値も、実際に解雇に至った件数も示されていません。「大幅に改善した」という定性的な自己評価があるだけです。少なくとも公開されている資料からは、制度の有効性を定量的に外部検証できる材料を確認できません。
AIが「人間への攻撃」を安くする
長期的な視点として、もうひとつ触れておきたい論点があります。
スー氏は2026年5月5〜7日にマイアミビーチで開催されたConsensus 2026でのインタビューで、直近半年でAIの活用がセキュリティに限らず事業全体へ広がっていること、そして攻撃側もAIによって攻撃の規模とスピードを上げ、脆弱性の発見から攻撃までの時間を短縮していることに言及しています。
ここから先は編集部の分析です。ソーシャルエンジニアリングの本質はコストです。従来、標的の経歴を調べ、自然な文面を書くには人間の時間が必要でした。生成AIとディープフェイクは、その単価を下げると考えられます。同時に、多言語対応も容易になる。ただしスー氏の発言はAIによる攻撃の高速化・大規模化を指したものであり、ディープフェイクや多言語化の効果を個別に実証したものではありません。
その延長線上にある、検証されていないシナリオとして、Drift型の「高コストで丁寧な攻撃」が、これまでスケールしなかった中規模組織にまで降りてくる展開は想定しておく価値があります。ただし6ヶ月の対人関係構築までAIで代替できるかは未知数です。月次の模擬フィッシングという運用が、暗号資産取引所だけの特殊事情でなくなる可能性は十分にあります。
innovaTopiaが今これを取り上げる理由
私たちが注目しているのは、Binanceの人事制度の是非そのものではありません。
技術だけでは閉じられない穴が残り続けるという構造です。スマートコントラクトは監査できます。多重署名はリスクを大きく下げます。それでもDriftを破ったのは、カンファレンス会場での接触と、半年にわたる信頼構築、そして署名内容を十分に検証できなかった表示・運用でした。
Tech for Human Evolution——テクノロジーが人間を拡張するとき、その接点にいる人間自身が防御の一部になります。Binanceの月次レッドチーム演習は、その部分を鍛えようとする試みであり、同時に「鍛え方を間違えると逆効果になる」という難問を可視化してもいます。
自分の会社に置き換えたとき、どう設計するか。それを考える材料として、この事例には十分な密度があると考えました。
【用語解説】
レッドチーム（Red Team）
NISTの定義では、許可を受けたうえで敵対者の視点や手法を模倣し、防御態勢を検証するチームを指す。社内組織として置かれる場合も、外部へ委託される場合もある。守る側を指すブルーチームと対になる概念で、軍事演習の「赤軍役」に由来する。
ソーシャルエンジニアリング
技術的な脆弱性ではなく、人間の心理や信頼関係を突いて情報や権限を奪う攻撃手法の総称である。なりすまし、偽の求人、緊急性を装った依頼などが典型で、コード監査だけでは対処しきれない領域にある。
セキュリティ衛生（Security Hygiene）
組織や個人が日常的に維持すべきセキュリティ上の基本動作を指す。手洗いのように、地味だが継続することでリスクを下げるという含意がある。パスワード管理、多要素認証、不審なリンクを踏まないといった習慣の総体だ。
フィッシング
正規の相手を装った連絡で、認証情報や資産へのアクセス権を詐取する手口である。認証情報の窃取だけでなく、送金の誘導やマルウェアの導入も含まれる。受け手が自分の手で扉を開けてしまう点が本質的な厄介さになっている。
偽ビデオ会議クライアントを用いた攻撃
ビデオ会議への参加を口実に、アプリのアップデートを装ったマルウェアを標的自身にインストールさせる手法である。「Zoomミーティング攻撃」と呼ばれることもあるが標準化された分類名ではなく、正規のZoomに脆弱性があるという意味ではない。偽の求人から始まる例が多く、事業提携や資金提供の打診が使われる場合もある。
delegate（委任権限）
Venus Protocolなどの貸借プロトコルで、第三者に自分の口座からの借入や償還を代行させる権限を指す。秘密鍵を渡さずに資産を動かせるようになるため、悪意ある相手へ付与すると重大な資産損失につながる。Venus事件では、この権限を使って被害者のポジションが実質的に掌握された。
durable nonce（永続ノンス）
Solanaブロックチェーンの機能で、通常は短時間で失効する取引を、nonceが更新・無効化されるまで有効に保てる仕組みである。オフライン署名など署名と実行を分離したい正当な用途のためのものだが、保持された署名が後日悪用されるリスクはSolana公式資料でも警告されている。
TVL（Total Value Locked）
DeFiプロトコルに預け入れられている資産の総額である。借入資産や再利用された資産の扱いが集計サイトごとに異なるため、単独でプロトコルの信用を測る指標として扱うには注意が要る。
強制清算（Forced Liquidation）
DeFiの貸借プロトコルで、担保価値が基準を下回ったポジションを第三者が強制的に決済する通常の仕組みを指す。Venus事件で実行されたのはこの通常清算ではなく、ガバナンス投票によって攻撃者ウォレットへ適用された緊急の特別措置だった。
UNC4736
Mandiantが分類する、北朝鮮に紐づくとされる攻撃者クラスターである。AppleJeus、Citrine Sleet、Golden Chollima、Gleaming Piscesなど、各セキュリティ企業が追跡する関連・重複する活動クラスターと結び付けられているが、名称ごとに対象範囲が異なるため完全な同義語ではない。
Lazarus Group
同じく北朝鮮に紐づくとされるハッキング集団で、業界報道では広義の傘名称として使われることも多い。分析会社ごとの厳密なクラスター名とは一致しない場合がある。
teachable moment / embedded training
模擬フィッシングに失敗した直後、その場で解説を提示する研修方式を指す。学習効果が高いとする報告がある一方、時間を置いた研修と比べて一貫して優れるかについては研究結果が分かれている。
【参考リンク】
Binance 公式サイト（外部）
世界最大級の暗号資産取引所。ジミー・スー氏が最高セキュリティ責任者を務める。登録ユーザー数は随時更新される。
DefiLlama – Binance CEX（外部）
中央集権取引所の関連ウォレット資産を追跡するデータ分析ページ。表示額は随時更新され、顧客預かり資産と同義ではない。
AMLBot 公式ブログ（外部）
ブロックチェーン分析企業AMLBotの2025年犯罪レポート。約2,500件の自社調査案件から65%という数字を導いた一次情報。
Drift Protocol 公式サイト（外部）
Solana上に構築された分散型パーペチュアル先物取引所。2026年4月1日に約2億8500万ドルの流出被害を受けた。
Venus Protocol 公式サイト（外部）
BNB Chainを中心に展開する分散型レンディングプロトコル。緊急ガバナンス投票による資産回収を実行した。
NIST CSRC – Red Team 用語定義（外部）
米国立標準技術研究所によるレッドチームの標準定義。許可を受けて敵対者を模倣するチームと規定されている。
IEEE Computer Society – 継続的フィッシング研修の長期効果（外部）
本文で参照した縦断研究のIEEE Big Data 2025プロシーディング掲載ページ。DOIが付与された正式版にあたる。
SlowMist 公式サイト（外部）
Venus事件の技術解析を公開したブロックチェーンセキュリティ企業。取引置換の手口を詳細に検証した。
TRM Labs（外部）
ブロックチェーン分析企業。Drift事件を事件直後の時点で2026年最大のDeFiハッキングと位置づけた。
Chainalysis（外部）
ブロックチェーン分析大手。Drift事件とVenus事件の双方について事後分析と再発防止の提言を公開する。
【参考記事】
North Korean Hackers Attack Drift Protocol In USD 285 Million Heist（外部）
約12分で31件の主要な出金が実行された経緯と、Wormhole 3億2600万ドルに次ぐ規模という事件直後の位置づけ。
Drift Protocol Hack: How Privileged Access Led to a $285M Loss（外部）
流出額がTVLの50%超に相当し、処理全体は約2時間半続いたと説明。Drift側調査は独立検証未完了と注記されている。
AMLBot Says Social Engineering Drove 65% of Crypto Incidents in 2025（外部）
65%という数値の出典。約2,500件の自社調査案件に基づき、業界全体の発生率を示すものではないと明記される。
SlowMist: In-Depth Analysis of the $13 Million Venus User Hack（外部）
ウォレット拡張機能の改ざんと権限委任へのすり替えを記した一次解析。Chrome開発者モードは可能な経路の一つ。
How Chainalysis and Hexagate Stopped the Venus Protocol Hacker（外部）
悪意ある取引から20分以内の停止、約7時間での強制清算、12時間以内の回収という対応時間を時系列で記録する。
Sustaining Cyber Awareness: The Long-Term Impact of Continuous Phishing Training（外部）
IEEE Big Data 2025掲載論文のarXiv公開版。20法人1,300名超を対象に不安全行動が8.5%から4.2%へ低下したと報告。
Phishing Simulation: A Strategic Guide to Human Risk Resilience in 2026（外部）
月次実施を推奨する一方、罰則型運用の弊害としてSANS調査の60%という数字を出典詳細なしで紹介する。
【編集部後記】
DefiLlamaのBinance CEXページ（defillama.com/cex/binance-cex）では、Binance関連ウォレット等の資産額が随時更新されています。2026年7月26日の報道時点では約1377億ドル、翌27日の確認時には約1381億ドルを示していました。Chainalysisが公開したDrift事件の事後分析と並べて読むと、資産の所在はここまで追えるのに、権限を持つ人間が誰にいつ接近されたかは事後にしか分からないという非対称が浮かびます。
Driftの署名者は、durable nonceで事前署名した時点で、その取引が後に何を許可することになるのかを十分に認識していませんでした。月次の演習が鍛えるのは判断力ですが、あの手口が突いたのは判断の手前にある署名内容の検証しやすさです。制度が鍛えるべき対象は、本当に人間の側なのでしょうか。