バイナンスの最近のセキュリティ侵害に関する調査は、単一の乗っ取られたラップトップが発端だったという当初の説を超えて進展している。共同CEOのリチャード・テン氏は、調査チームが追加の侵入経路を特定し、攻撃者が取引所のホットウォレットの1つに対するオンチェーン承認をいかに取得したかを追跡したと述べた。また、秘密鍵の漏洩を示す証拠はないと付け加えた。バイナンスは、会社資金と、極端な事態における損失補填のため2018年に設立した緊急準備金であるユーザー向けセキュア・アセット・ファンド(SAFU)をもって、すべての損失を補償する方針を示している。

攻撃はワンクリック侵害よりはるかに複雑だった

X投稿にて、共同CEOのリチャード・テン氏は、バイナンスが当初、ハッキングは乗っ取られたラップトップから始まったと疑っていたと述べた。その後の調査で追加の侵入経路が判明し、攻撃はワンクリック侵害よりもはるかに複雑なものだったことが分かった。

テン氏によると、攻撃者はサービスコンテナへのアクセスを取得し、その後不正な出金トランザクションを送信した。同氏は、今回の件は単一の従業員が権限を悪用したケースではなく、バイナンスは特定の個人に責任を帰属させていないと強調した。

調査チームによると、攻撃者はツールや痕跡を消し去るための自己削除メカニズムを展開しており、これがセキュリティチームによる攻撃経路の復元を遅らせた。この種の削除戦術は、セキュリティ業界では一般にアンチフォレンジック技法と呼ばれ、事後のインシデント復元を妨げることを目的としている。

さらにテン氏は、攻撃者がイーサリアムの認証機能であるEIP-7702を悪用し、バイナンスのホットウォレットに対するオンチェーン実行承認を取得したと述べた。これにより攻撃者はバイナンスの通常の承認チェックを回避できた。EIP-7702は2025年5月のイーサリアムのPectraアップグレードの一部として稼働し、標準的なユーザーアカウントが、単一の承認の下で複数の操作をバッチ処理するなど、スマートコントラクト機能を一時的に採用できるようにするものだ。

取引所はEIP-7702自体に欠陥があったとは報告しておらず、攻撃者がこの機能を利用して内部統制を回避したとしている。バイナンスは、ウォレットの秘密鍵が露出した証拠は見つかっていないと発表した。調査は継続中であり、取引所は調査結果が検証され次第、技術的な事後分析を公表する予定だ。

バイナンス、損失補填のため63.4億ドルを確保

テン氏は、顧客資金は影響を受けておらず、バイナンスはユーザーを完全に補償すると述べた。取引所は盗まれた資産を補填するため、テン氏の先前の更新によると、63.4億ドル超の会社資金を確保している。

テン氏によると、約50億ドルはすでにインシデントに関係した同じ資産、すなわちBTC、ETH、BNB、USDT、USDCで保有されている。バイナンスは残額を市場購入および店頭取引を通じて取得しようとしている。

取引所は侵害による総影響を約63億ドルと推定し、ブロックチェーンパートナーの支援により約30億ドルがすでにオンチェーンで凍結されたと発表した。テン氏は、顧客資産の大半はコールドウォレットで保管されており、ユーザーが出金を要求した際にのみホットウォレットへ移動すると述べた。コールドウォレットは秘密鍵をオフラインで保管する一方、ホットウォレットはユーザーの出金を処理するためインターネットに接続された状態を保つ — まさにその層が現在、調査と復旧努力の中心となっている。