ビナンスによると、同社のセキュリティチームは2026年、北朝鮮系とみられるサイバー脅威事案57件を検知・阻止してきたが、ついに1件の攻撃が突破に成功した。その攻撃は偽の求人面接を利用し、最終的に取引所がユーザーの出金処理に依存するインターネット接続型ウォレットであるホットウォレットから資産を流出させた。

インシデントに関する初期報告をXで公開したビナンスは、約63億4000万ドル規模のデジタル資産に影響が及び、約28億5000万ドルが凍結または捕捉されたと述べた。同社は損失をユーザーに転嫁せず自らが負担するとし、影響を受けたトークン資産の98%は補充済みであり、その数値は準備金証明(Proof of Reserves)ページで確認できるとしている。

規模の参考として、これまでに記録された最大の暗号資産窃盗事件は2025年2月に発生した取引所バイビットの侵害事件で、被害額は約15億ドルに上り、バイビットは北朝鮮系ハッカーの関与としていた。

連邦捜査局(FBI)の最新情報を引用し、ビナンスはこのインシデントを北朝鮮の仕業とした。

1年にわたる標的型攻撃の試み

同社によれば、57件の事案は暗号資産業界を標的とする国家支援型攻撃者の持続的な脅威を反映している。確認された手口には、偽の求人面接、人気開発者ツールを装った悪意あるソフトウェア、改ざんされたソフトウェアパッケージやブラウザ拡張、偽のビデオ会議アプリ、認証情報の窃取やリモートアクセスマルウェアの設置を目的としたソーシャルエンジニアリングキャンペーンなどが含まれる。

このリクルーティングを利用した手口は、北朝鮮系の工作員がリクルーターや雇用主になりすまして標的のコンピュータにマルウェアを感染させていると警告する、米当局が近年発出した公開勧告とも一致する。

ビナンスは今回の侵害を、単発の孤立した侵害や単純なフィッシング攻撃ではなく、多段階のキャンペーンと説明した。最初の警告サインは6月にさかのぼり、ウォレットのDevOpsエンジニアがAIコーディングツールを探す中で、改ざんされたHomebrewインストーラをダウンロードした。ビナンスは異常を検知し、デバイスを交換し、関連する認証情報をローテーションしたが、すでにそのエンジニアの役割とウォレットチームの同僚たちの情報は攻撃者に暴露されていた。

面接の仕組み

9月、求人プラットフォーム上のプロフィールにビナンスでの経験を記載していた2人目のエンジニアが、プロジェクトディレクターを装う人物から接触を受けた。続く一次面接では、人事担当者を名乗る人物が信頼を築くために個人的な写真や動画を含むソーシャルメディアアカウントを共有した。ビナンスはこれを、従来のソーシャルエンジニアリングより狡猾な手口と説明した。

二次面接は人気チャットアプリ上で行われ、相手は架空の企業のCEOを名乗った。終盤近く、エンジニアは業務用コンピュータに「課題」をダウンロードするよう求められた。内部のコードはセットアップ時に実行され、攻撃者が管理するサーバーへの通信経路を開いた。ビナンスは、このゼロデイマルウェアは当時、同社のエンドポイントセキュリティツールでは検知できなかったと述べた。

攻撃者はその後、侵入したコンピュータと社内AIツールを利用して、他の2人のウォレットエンジニアの掌握にも成功した。ビナンスによると、あるエンジニアのマシン上で見つかったコンテナデプロイ権限トークンが攻撃当日に使用され、コンテナがデプロイされ悪意あるスクリプトが起動された。

封じ込めに時間がかかった理由

ビナンスによると、攻撃者は署名サービスを利用してイーサリアムのEIP-7702認証メカニズムを悪用した。これは2025年のイーサリアム「Pectra」アップグレードで導入された、標準のユーザーアカウントがスマートコントラクト機能で動作できるようにするアカウント機能であり、出金停止後も資産の移動が続けられた。ホットウォレットはマルチパーティ計算(MPC)を使用していたため、悪意ある認証を取り消す単一の秘密鍵が存在せず、チームは追加の時間を要する専門手順を構築する必要があった。

同社はその後、影響を受けたウォレットシステムと社内AIツールを再構築し、対象デバイスを交換し、関連する認証情報を無効化し、異常検知を強化したと述べた。また、独立したセキュリティ審査を計画しており、一部の技術的詳細は機密保持される。

ビナンスは今回の報告を初期のものであると位置づけており、その調査結果は依然として独立審査の対象となっている。今後の注目点は、計画されている審査の結果と、被害額や回収額の更新数値である。