バイナンスの63.4億ドルの盗難は、偽の求人面接から始まり、1枚のコインが動く前に5か月間続いた。同取引所が10月29日の攻撃について火曜日に発表した初の公式説明によると、こう説明されている。X上で公開されたバイナンスの初期インシデント報告書は、共同CEOのリチャード・テン氏と最高セキュリティ責任者のジミー・スー氏による報道ブリーフィングとともに発表されたもので、汚染されたソフトウェアのダウンロード、仕組まれた採用プロセス、エンドポイント検知を回避したマルウェア、そして攻撃者が同社のウォレットエンジニアに対して利用した社内AIツールを組み合わせた作戦について述べている。

バイナンスによると、盗難資産の約28.5億ドルを凍結または捕捉し、影響を受けたトークンの98%を自己資金で補填し、残りは市場で買い戻しているという。この数値が完全に確認されれば、2025年2月にバイビットから奪われた約15億ドルを上回り、暗号資産業界で記録された中で最大の盗難となる — この攻撃もまた北朝鮮の関与が調査当局によって指摘されている。

「これは単なる一つのミスでも一つの侵害でもありませんでした — 数か月にわたる作戦でした」とテン氏はXに書いている。「私たちはこの報告書をすべて公開します。なぜなら、その教訓はバイナンスをはるかに超えたものだからです。」

FBIはこの攻撃を北朝鮮によるものと位置付けており、バイナンスの報告書はその調査結果を引用しつつ、独自の犯人特定には踏み込んでいない。北朝鮮は月曜日にこの主張を否定し、指導者キム・ジョンウン氏の妹であるキム・ヨジョン氏は国営メディアを通じてこれを「重大な政治的挑発」と呼んだ。国連のパネルやブロックチェーン分析企業は、長年にわたり北朝鮮のハッキング部隊を、世界中の取引所やプロトコルから盗まれた数十億ドル規模の暗号資産と結び付けてきた。

5か月にわたる準備

バイナンスによると、攻撃者による最初の足掛かりは6月に築かれた。ウォレットDevOpsエンジニアが人気のAIコーディングツールを検索し、改ざんされたHomebrewインストーラーをダウンロードしたのだ。

セキュリティチームは異常を検知し、デバイスを交換して認証情報を更新したが、この出来事により、そのエンジニアの役割とウォレットインフラチームの同僚の名前が暴露されることとなった。

9月には、2人目のエンジニアが正規の求人プラットフォーム上で、プロジェクトディレクターを装う人物から接触を受けた。続いて、人事担当者を名乗る人物とのビデオ面接が行われ、面接官は信頼を築くために個人のソーシャルメディアアカウントを共有した。CEOとされる人物との2度目の面接は「課題」で締めくくられた。それは、エンジニアが作業用マシンにインストールするよう指示されたコードリポジトリだった。

このリポジトリは、正規のpyenvコンポーネントを悪意あるバージョンに置き換え、攻撃者が管理するサーバーへの経路を開いた。バイナンスによると、このゼロデイマルウェアは当時、エンドポイントツールでは検知されていなかったという。

10月20日、攻撃者はそのマシンと社内AIツールを使って、さらに2人のウォレットエンジニアに到達した。そのうちの1人はコンテナデプロイメントトークンを保有していた。10月29日、UTC 17時15分から19時56分の間に、攻撃者は3人目のエンジニアのコンピュータにログインし、盗んだ認証情報でコンテナをデプロイし、資産の引き出しを開始した。バイナンスは、今年に入り同様の手口による北朝鮮関連とみられる57件の他の試みをブロックしたと述べている。米国当局は、テクノロジーや暗号資産企業の従業員を通じてマルウェアを仕込むことを狙ったこのような偽リクルーターの作戦について、長年にわたり警告を発してきた。

封じ込めまでの4時間

資金は急速に流出した。UTC 20時05分から20時09分の間に、5つのホットウォレットが2億3346万XRPを攻撃者のアドレスに送金した。続いてSolanaおよびOptimism上のウォレットから約97万500 SOLと4420万OPが送られ、その後バイナンスのホットウォレットから1万8270 BTCが送金された。

攻撃者はさらに、侵害された署名サービスを利用してイーサリアムのEIP-7702を呼び出した。これは2025年のPectraアップグレードで導入された標準で、アカウントが鍵を露出させることなく実行権限をスマートコントラクトに委任できるものであり、攻撃者は攻撃者が管理するコントラクトにバイナンスのホットウォレットの一部の制御権を与えた。

引き出しの停止だけでは、この最後の経路を止められなかった。攻撃者は50件の署名トランザクションを提出し、バイナンスの引き出しインフラの外で動作するオンチェーン委任を確立していた。ウォレットはマルチパーティ計算（MPC）を使用していたため、委任を取り消す単一の鍵は存在せず、チームはその場で手順を構築する必要があった。最後の不正送金である2961.9 ETHはUTC 23時56分に確定し、バイナンスは10月30日のUTC 0時10分に委任を解除した。

報告書はこの時間のずれを認めている。「これらの課題により、不正な資産移動を完全に封じ込めるまでに要する時間が延びました」と記し、同社が署名ポリシーの対象範囲とホットウォレットの管理を見直していると付け加えている。

資金流出、そして安定化の兆し

テン氏が火曜日に共有したデータによると、日曜日に引き出しが再開されてからの46時間で、顧客による引き出し額は109.7億ドルに達し、純流出額は52.8億ドルとなった。UTC 3時までに時間あたりの入金額が引き出し額を上回り、テン氏はこの変化を安定化の兆しと呼んだ。火曜日には、バイナンスは9つのネットワークにわたるさらに多くの資産について引き出しを再開した。

この侵害は、ワシントンでも話題となっている。CFTC（米国商品先物取引委員会）のマイケル・セリグ委員長は、このハッキングについて、海外取引所に対する連邦登録制度の必要性をめぐり「まさに私たちの主張を証明するものだ」と述べ、火曜日には同委員会が米国規制の対象となる取引所での株式パーペチュアル先物を承認し、5月のカルシ（Kalshi）によるビットコインパーペチュアル先物で始まったオンショアリングの動きをさらに推し進めた。

バイナンスは、ウォレットシステムと社内AIツールを新しい環境で再構築し、影響を受けたデバイスを交換し、エンジニアの認証情報を取り消し、行動異常検知を強化したと述べている。同社は独立系の調査を委託し、エンドポイントおよび開発環境セキュリティへの支出を増やし、外部企業と共同でAIセキュリティに関する研究基金の設立を計画している。残りの盗難トークンがどの程度の速さで買い戻されるか、凍結された資産を回収できるかどうか、そして独立系調査がどのような結論に達するかが、今後注目すべき当面のポイントである。報告書によると、一部の技術的詳細は非公開のままとなるという。

この記事はもともとBitcoin Magazineに掲載されたもので、Micah Zimmerman氏による執筆です。