Binanceの事後調査報告：偽の職業面接と汚染されたAIツールが史上最大の63億ドル規模のハッキングを可能にした
重要ポイント
- •キャンペーンは6月、エンジニアがAIコーディングツールのセットアップ中に改ざんされたソフトウェアパッケージをダウンロードしたことから始まった。対象デバイスは交換されたものの、攻撃者はすでにBinanceのウォレットチームに関する情報を収集していた。
- •9月、リクルーターを装った攻撃者がエンジニアを欺き、コーディング課題に偽装した悪意あるファイルをダウンロードさせ、業務用コンピューターを侵害して取引所のセキュリティ保護を回避した。
- •攻撃者はイーサリアムのEIP-7702権限委任メカニズムを悪用し、BinanceのMPCウォレットシステムの分散構造が権限取り消しを困難にしたことで、引き出し停止後も不正な送金が継続された。
- •約63億ドル相当のデジタル資産が影響を受け、28.5億ドルが凍結または摘発され、10月31日時点で影響を受けたトークン資産の98%が補充された。Binanceは損失を顧客に転嫁せず自社で吸収している。
- •FBIは暗号資産史上最大となるこのハッキングを北朝鮮のハッカーの仕業と特定したが、金与正氏は火曜日、自国の関与を否定し、この特定は政治的動機に基づくものだと述べた。
就職希望先から届いたコーディング課題は、職業面接のごく普通的な一環に見えた。しかし実際には、Binanceから63億ドルが盗まれた数か月にわたるサイバー攻撃の一歩であり、自社の従業員を標的とした脅威に暗号資産取引所がどう対処しているのかという新たな疑問を投げかけている。
火曜日にBinanceが公表した事後調査によると、この盗難は、人間の脆弱性と内部セキュリティシステムの両方を悪用した組織的キャンペーンの一環だった。同取引所の調査結果は、10月29日の盗難に先立ち、ハッカーがどのように同社のウォレットインフラへ徐々に侵入していったかを追跡している。
ハッカーはどのようにBinanceに侵入したのか
Binanceのセキュリティレポートによると、キャンペーンは6月、エンジニアがAIコーディングツールのセットアップ中に改ざんされたソフトウェアパッケージをダウンロードしたことから始まった。取引所はマルウェアを検知し、対象のデバイスを交換したものの、攻撃者はすでにBinanceのウォレットチームに関する情報を収集していた。この一件は、感染が発覚した後でも still 影響を及ぼしうることを示している。デバイスの交換によりマルウェアは除去されたが、攻撃者がすでに完了していた偵察情報は除去できなかった。
9月には、リクルーターを装った攻撃者が別のソフトウェアエンジニアを標的とし、コーディング課題に偽装した悪意あるファイルをダウンロードさせてエンジニアを欺いた。このマルウェアはエンジニアの業務用コンピューターを侵害し、取引所のセキュリティ保護を回避した。
10月20日、攻撃者は侵害されたマシンと内部のAIツールを利用して、さらに2人のエンジニアのシステムへのアクセスを獲得し、10月29日にBinanceのウォレットインフラ内へ悪意あるソフトウェアを設置することを可能にするデプロイ資格情報を入手した。
侵入者はその後、暗号資産取引を承認する取引所の内部ウォレット署名サービスに到達し、通常の引き出しプロセスを経ずに資金を移動することを可能にした。この層でのアクセスは、取引所の通常の引き出し管理を迂回して資金が動けることを意味し、後になってBinanceが引き出しを停止した後も送金が継続されたのと同じ構図であった。
「これは単一の過ちや単一の侵害ではなく、数か月にわたるキャンペーンだった」と、Binanceの共同CEOであるRichard Tengは火曜日にXへの投稿で述べた。
EIP-7702が悪用され、送金が継続
Binanceによると、攻撃者はイーサリアムのEIP-7702メカニズムも悪用した。これはウォレットがトランザクション権限をスマートコントラクトへ委任することを可能にするもので、取引所が引き出しを停止した後も不正な送金の継続を可能にした。トランザクション署名の管理を分散するBinanceのマルチパーティ計算(MPC)ウォレットシステムは、これらの権限の取り消しを複雑にした。この2つの設計が組み合わさった結果、不正な送金を停止するには、単一の管理点を遮断するのではなく、ウォレットシステム全体にわたる権限を解除する必要があった。
この侵害により約63億ドル相当のデジタル資産が影響を受け、Binanceの最新の集計によると、28.5億ドルが凍結または摘発されたと報告している。同取引所は損失を顧客に転嫁するのではなく自社で吸収すると述べ、10月31日時点で影響を受けたトークン資産の98%を補充済みとした。これらの数値は最終的な解決ではなく最新時点の状況を示すものであり、凍結・摘発された28.5億ドルを超える資産のその後の状況や、補充率が98%を超えるかどうかが、この侵害の最終的な会計像を左右することになる。
この攻撃は暗号資産史上最大のハッキングであり、連邦捜査局(FBI)は北朝鮮のハッカーの仕業としている。火曜日には、北朝鮮の金正恩(キム・ジョンウン)総書記の妹である金与正(キム・ヨジョン)氏が自国の関与を否定し、FBIの特定は政治的動機に基づくもので、北朝鮮の国際的地位を損なうことを狙ったものだと述べた。両者の主張は公に食い違ったままであり、FBIの特定と平壌の否定は解消されていない。
Binance、今年57件のサイバー脅威を阻止したと報告
別の発表として、Binanceの共同創業者であるYi He(イー・ホー)氏は火曜日、同取引所のセキュリティチームが2026年に、北朝鮮関連が疑われるサイバー脅威57件を検知・阻止したと述べた。これには、偽の職業面接、悪意あるソフトウェアパッケージ、資格情報の窃取やマルウェア設置を狙ったソーシャルエンジニアリングの試みが含まれる。2026年のこの件数は、今回の侵害の中心にあった手法——偽リクルーターのアプローチ、改ざんされたパッケージ、資格情報収集の試み——が、一過性の出来事ではなくBinanceの脅威データにおける繰り返し見られるパターンであったことを示している。
「多くを阻止しましたが、一つでも見逃せば代償は深刻でした。このようなことは起きるはずのなかったことです」と同氏は述べた。
本記事はもともとCointelegraphにより報道されたものです。
