Binanceのハッキング・訴訟・規制の経緯（2019年以降）

1. なぜこの振り返りを読むのか

金融サービスやそれに近いサービスに口座を開くときは、手数料や機能だけでなく、その事業者のこれまでの経緯も見ておきたいところです。過去にユーザーをどう扱い、規制当局にどう対応し、事故をどう処理してきたか。そこには、いまの宣伝文句よりもリスクの実像がよく表れます。

Binanceは2017年の夏に開設され、短期間で大手の中央集権型取引所のひとつになりました。その間に、ホットウォレットへの不正アクセス、各国の規制当局からの警告、米国の主要な執行機関による複数の訴訟、創業者個人の有罪答弁と経営陣の交代を経験しています。一方で、SAFU基金、Proof of Reserves、新しいコンプライアンス体制といった対応も公表してきました。本記事では、この両方を並べて示します。

ここで取り上げる出来事は、主に米国のSEC、CFTC、司法省、英国のFCAの公表資料と、Binance公式ブログでの説明にもとづいています。記事の末尾に一次資料へのリンクをまとめてあるので、まとめ記事だけでなく原文もご自身で読めます。

2. 2019年のハッキング盗難事件

2019年5月、Binanceはホットウォレットが大規模な攻撃を受けたことを公表しました。攻撃者はフィッシングやウイルスなど、すべては公表されていない複数の手口で、大量のAPI keyや二要素認証コードといった機密情報を入手し、1回のトランザクションでBTCのホットウォレットから約7000 BTCを送り出しました。Binanceが当時公表した内容によると、被害を受けたのはホットウォレットだけで、コールドウォレットに影響はなく、調査のあいだ入出金が一時停止されました。

この事件で押さえておきたい点は2つあります。ひとつは、BinanceがSAFU（Secure Asset Fund for Users）基金で損失を全額負担し、ユーザーには負担させなかったこと。もうひとつは、事件のあとでアカウントのセキュリティ、APIの権限、リスク管理システムが強化されたことです。事件は一時的な価格の変動を招きましたが、Binanceが出金を止めたまま資金を持ち逃げするような事態にはなりませんでした。「持ち逃げ」にあたるかどうかを考えるときの前提になる事実です。

ユーザーの側から見ると、この事件から分かるのは、大手の取引所であってもホットウォレットは攻撃の対象になり続ける、ということです。そしてアカウント単位のセキュリティ設定（APIのホワイトリスト、出金ホワイトリスト、二要素認証、端末の管理）は、ユーザー自身が固めるしかありません。設定の手順はアカウント・セキュリティチェックリストにまとめてあります。口座を開いたときや、定期的な見直しのときにお使いください。

3. 2021年：無登録・無認可をめぐる各国当局の警告

2021年に入ると、各国の規制当局による中央集権型取引所への警告が相次ぎました。英国の金融行為監督機構（FCA）は、Binance Markets Limitedが英国で規制対象の業務を行う認可を受けていないと通知しました。日本の金融庁は、Binanceが日本で登録を受けていないとして警告を出しました。イタリア、オランダ、マレーシア、タイなどでも同様の通知が続きました。

これらの警告は、同じ違反を指しているわけではありません。暗号資産、証券型トークン、デリバティブ、カストディのそれぞれについて、国や地域ごとに規制の基準が違うためです。Binanceはその後、サービスの提供方針を一部見直しました。一部の地域で先物のレバレッジ上限を引き下げ、一部のユーザーについてデリバティブの利用を制限し、複数の国で業務を停止または縮小しています。ユーザーにとっていちばん直接的な影響は、住んでいる地域によって、使える商品と使えない商品が分かれることです。

ある商品が別の国で適法に提供されていても、お住まいの地域でも同じとは限りません。関連する考え方は、Binance情報とリスクチェックのコンプライアンスと地域制限の項目に整理しています。

4. 2023年の米司法省などとの43億ドル和解と、SEC訴訟の結末

2023年6月、米国証券取引委員会（SEC）は、Binance Holdings、Binance.USの運営会社、創業者のChangpeng Zhao（CZ）を相手に、合わせて13項目の主張を含む訴訟を起こしました。対象になったのは、未登録での証券の発行と販売、未登録のまま取引所・ブローカー・清算機関として営業していたこと、顧客資産の管理と開示などです。

このSECの訴訟は、2023年11月の和解には含まれていません。11月の和解は、Binanceが米国司法省（DOJ）、金融犯罪取締ネットワーク（FinCEN）、外国資産管理局（OFAC）、CFTCとまとめて結んだものです。公表資料によると和解金は合計で約43億ドルで、中心になった論点はマネーロンダリング対策の体制、制裁対象のスクリーニング、未登録での営業でした。Binanceはこの和解で、独立したコンプライアンス監督人を受け入れること、一部の事業から撤退すること、コンプライアンス体制を強化することを約束しています。SECの訴訟はその後も別に続き、のちにSECが取り下げています。

司法省の案件では、Binanceという会社自体が有罪を認めています。「認めも否定もしない」形でまとまることの多い民事の和解とは、性質が違います。実際の影響として、Binanceは外部によるコンプライアンスの監督を受け入れなければならず、今後起こり得る関連訴訟にも対応していくことになります。本記事がこの出来事を「コンプライアンス体制の立て直しの出発点」と位置づけているのは、そのためです。

5. 2023年のCFTC提訴とデリバティブ違反

2023年3月、米国商品先物取引委員会（CFTC）は、Binance、CZ、元CCOのSamuel Limを相手に訴訟を起こしました。主な論点は3つです。未登録のまま米国の顧客にデリバティブを提供していたこと、米国ユーザーの本人確認に関する審査が不十分だったこと、社内のやり取りに規制を回避するよう促す指示があったこと。CFTCの訴訟はSECの訴訟と並行して進みましたが、扱う法律の分野は別です。CFTCは商品デリバティブ市場を、SECは証券市場を所管しています。

この案件も、最終的には2023年11月の複数機関との和解に含まれました。Binanceは制裁金の支払いに同意し、デリバティブ業務のコンプライアンス是正を受け入れています。ユーザーにとっていちばん分かりやすい変化は、複数の国でデリバティブ（とくにUSDT建ての無期限先物）を利用できるかどうかについて、居住地域と本人確認による審査が厳しくなったことです。

関連する公表資料へのリンクは、当サイトのBinance情報とリスクチェックのコンプライアンスの項目にまとめています。デリバティブ商品について判断する前に、SNSなどの要約だけで済ませず、一度は原文に目を通すことをおすすめします。

6. 2023年以降：CZの有罪答弁、退任、判決と経営陣交代

2023年11月、複数機関との和解の一環として、CZは個人として、米国のマネーロンダリング対策に関する法律（実効性のあるマネーロンダリング対策プログラムを整備・維持しなかったこと）に関して有罪を認め、BinanceのCEOを辞任しました。その後、CZは米国の裁判所で実刑判決を受け、刑期を終えています。Binanceは辞任と同時に、地域事業の責任者だったRichard TengをCEOに任命し、CZ退任後の経営体制に移りました。

この時期の出来事がユーザーにとって何を意味するかは、2つに分けて考えられます。ひとつは、CZ個人の法的責任と、会社としてのコンプライアンス上の責任は別だということです。CZが退任したからといって、会社としての是正が終わったことにはなりません。もうひとつは、経営陣の交代にあわせて、コンプライアンス、現地ライセンス、独立した取締役会、最高コンプライアンス責任者、外部監査といった体制面の変更が公表されていることです。長く使うかどうかを考えるときの判断材料になります。

ただし、人事がひとつ変わったことを「リスクがなくなった」と受け取るのはおすすめしません。中央集権型取引所のリスクは、仕組み、ルール、市場、規制といった複数の面から生じるもので、誰かが去ったり戻ったりすることで消えるわけではありません。

7. 2024年以降のコンプライアンス再構築

Binanceが公表している、コンプライアンス体制に関する主な変更は次のとおりです。

• 現地ライセンス：複数の国で、現地の登録やライセンスを申請、または取得しています。
• 独立したコンプライアンス体制：CCOを置き、コンプライアンス部門の組織を改め、外部による審査の仕組みを取り入れました。和解の合意にもとづき、独立したコンプライアンス監督人（compliance monitor）も受け入れています。
• Proof of Reserves：マークルツリー方式の準備金証明を継続して公開しています。ユーザーは、スナップショットの時点で自分のアカウントの資産が含まれているかを自分で確認できます。
• SAFU基金の開示：SAFUのオンチェーンアドレスと資産の評価額を公開しています。誰でもブロックチェーンエクスプローラーでアドレスの残高を確認できます。

こうした動きで過去の問題が消えるわけではなく、今後新しい問題が起きないと保証されるわけでもありません。それでも、判断するときに自分で確かめられる材料にはなります。コンプライアンス体制の立て直しは、外から経過を追える取り組みであって、結果の約束ではありません。

8. これらの事象から学べること

ここまでの経緯から、すぐに実行できる確認事項を絞り込むと、次の5つになります。

• お住まいの地域の法令を確認する：暗号資産、デリバティブ、証券型トークンの扱いは、国によって大きく違います。口座開設、商品の利用、出金を決める前に、お住まいの地域の規制上の要件と税務上の義務を確かめてください。
• 利用前に公式の開示を見る：Proof of Reserves、SAFU基金の状況、Binance Blogの公式発表、お住まいの地域に適用される利用規約などです。SNSで回ってきたスクリーンショットだけで判断しないでください。
• アカウントの安全設定は自分で固める：取引所が何をうたっていても、アカウント単位のセキュリティ（端末の登録、二要素認証、出金ホワイトリスト、APIのホワイトリスト、メールのフィッシング対策）を整えるのはご自身です。手順はアカウント・セキュリティチェックリストをご覧ください。
• 公式の入口を見分ける：大きな出来事が報じられている時期ほど、公式を名乗るリンクやサポートには慎重になってください。リンクを開く前に、Binance公式サイトの確認を先に読んでおくことをおすすめします。
• 資産をすべて預けない：規模が大きい取引所だからといって、重大な事故や規制上の問題が起きないわけではありません。取引所に置くのは全額を失っても受け入れられる資金にとどめ、長く持つ資産は自分で鍵を管理できる場所に移す。仕組みのうえでは、そのほうがリスクを抑えられます。

9. よくある質問

Binanceが出金を止めて資金を持ち逃げしたことはありますか？

公開資料で確認できるかぎり、Binanceは2017年の設立以来、出金を止めたまま資金を持ち逃げしたことはありません。2019年のハッキングではホットウォレットから約7000 BTCが流出しましたが、損失はBinanceがSAFU基金で全額負担し、ユーザーの資産には影響しませんでした。いわゆる「持ち逃げ」とは性質の違う出来事です。Binanceは詐欺か？でも、この点を比べながら整理しています。

Binanceは今でも安全ですか？

安全かどうかは、程度の問題です。Binanceは現在、Proof of Reserves、SAFU基金の規模、CCOの任命、コンプライアンス体制の見直しを公開しています。それでも、プラットフォーム自体のリスク、地域ごとの規制リスク、市場リスクがなくなったわけではありません。利用するかどうかは、お住まいの地域の法令、ご自身のリスク許容度、自分で確認した結果をもとに判断してください。ひとつの情報源だけで決めないことをおすすめします。

CZがCEOを辞任して、ユーザーに影響はありましたか？

CZは2023年11月にCEOを辞任し、地域事業の責任者だったRichard Tengが後任に就きました。日々の業務、顧客資産の管理、サービスの提供は、現在の経営陣とコンプライアンス体制のもとで続いています。CZ個人の法的責任と、会社としてのコンプライアンス是正は別の話です。ただ、経営陣が替わったこと自体は、長く使うかどうかを考えるときの判断材料のひとつになります。

Binanceは今後も規制当局から処分を受ける可能性がありますか？

規制の対象になる金融サービスや、それに近い事業は、どれも継続的に監督を受ける可能性があります。Binanceは米国のDOJ、FinCEN、OFAC、CFTCと和解しており、SECはのちに訴訟を取り下げました。また、複数の国で現地のライセンスを申請、または取得しています。今後新たな執行措置があるかどうかは、各地の規制の進み方、Binanceの是正の進み具合、業界全体の動向によって変わります。

SAFU基金とは何ですか？どんなときに補償されますか？

SAFUはSecure Asset Fund for Usersの略で、Binanceが2018年に設けた緊急用の準備資金です。重大な事故が起きたときに、ユーザーへの補償に充てられます。Binanceは基金の資産構成と評価額を公開しており、公式に示されたブロックチェーン上のアドレスで残高を確認できます。ただし、SAFUは法律にもとづく保険ではありません。補償の範囲、上限、発動の条件はBinanceが決めるものなので、「元本がいつまでも保証される」という意味に受け取らないでください。