サイバーセキュリティ非営利団体Security Alliance（SEAL）によると、北朝鮮系ハッカーは10月29日に同取引所の63億ドルのエクスプロイトを実行するまでの約8週間、ビナンスのシステムへのアクセスを維持していた。ただしビナンスは、より広範な攻撃キャンペーンは6月に始まり、ハッカーが追加のウォレットインフラ関連デバイスへのアクセスを獲得したのは10月20日になってからだと説明している。

SEALは木曜日の報告の中で、ハッキング集団が9月に偽のリクルート手法を通じてビナンスのソフトウェアエンジニアのデバイスを侵害したと述べ、脅威アクターは初回侵入後、「長期間にわたって高度なステルス性を維持しながら」侵害されたシステム内を移動できると付け加えた。SEALの8週間という推定は、9月から10月にかけての侵入期間を指すものであり、ビナンスが説明するより広範なキャンペーンの開始時点を指すものではない。

Cointelegraphはこのタイムラインの明確化についてビナンスに取材した。広報担当者は、初期のデバイス侵害は6月と9月に発生したものの、攻撃者がウォレット運用に必要なアクセスを獲得したのは10月20日だったと述べた。

「発表の通り、初期のデバイス侵害は6月と9月に発生しましたが、攻撃者がウォレット運用に必要なアクセスを獲得したのは10月20日です。攻撃者はその足場を利用して横方向に移動し、追加のデバイスと認証情報へのアクセスを獲得しました」と広報担当者は述べた。

SEALは、2026年のTraderTraitorによる偽リクルートキャンペーンに関連する少なくとも4つの「ダミー企業」を特定した。具体例はcitalab.net、citalab.com、bitfit.io、oddium.ioで、これらのドメインは標的に対して正規の雇用主を装っていた。

ビナンスは攻撃キャンペーンの起点を6月と特定した。当時、別の従業員がAIコーディングツールをインストールしようとした際、改ざんされたHomebrewインストーラー（macOSやLinuxにソフトウェアをインストールするためのオープンソースのパッケージマネージャー）をダウンロードしたことでデバイスが侵害された。以前報道した通りである。同取引所はこのインシデントを検知し、デバイスを交換して関連する認証情報をローテーションした。しかし攻撃者はすでに、ビナンスのウォレットインフラを担当する従業員に関する情報を入手していた。火曜日のX投稿によるとのことだ。

ビナンスによると、10月20日、攻撃者は9月に標的となったエンジニアの侵害されたコンピューターと内部AIツールを利用し、ウォレットインフラ担当エンジニア2名のデバイスを掌握した。その後、10月29日のエクスプロイトで使用されたデプロイ権限トークンを発見したという。

SEALの分析は、他の著名な暗号資産ハッキング事件においても同様の多段階侵入パターンが見られたことを指摘している。それによると、攻撃者は3億8800万ドルのBitgetハッキングの前に約6週間のアクセスを持ち、2億9300万ドルのKelp DAOエクスプロイトにつながった脆弱性の前にLayerZeroへ6週間アクセスしており、2400万ドルのAFXエクスプロイトの実行前には約3週間のアクセスがあったという。これらの事例を総合すると、初回侵入から実行までの長い潜伏期間は、ビナンスに固有の異常ではなく、大規模な暗号資産侵入に共通する特徴だと位置づけられる。

米連邦捜査局（FBI）は土曜日の報告で、この攻撃を北朝鮮のTraderTraitorによるものと特定した。北朝鮮の金正恩総書記の妹である金与正氏は、この指摘を一蹴しており、エクスプロイトの責任の所在はワシントンとピョンヤンの間で公に対立している。両政府の主張が正反対である中、ビナンス、SEALまたは米国機関によるさらなる情報開示が、6月から10月にかけて侵入がどのように進展したかについての詳細を明らかにする可能性がある。

関連：GrayscaleのPandl氏、ビナンスハッキングは暗号資産にとって「一時的な挫折」の可能性と指摘