連邦準備制度理事会（FRB）および通貨監督庁（OCC）の監督当局は今週、Binanceの63億ドル規模のハッキングを受け、米国の銀行に電話で連絡を開始し、システムに侵害の兆候がないか確認を行った。連絡は11月2日（月）に始まったが、この日は、検査官が銀行にサイバーセキュリティ上の不備の修正を強制できる状況を狭める、OCCと連邦預金保険公社（FDIC）の新規則が発効した日でもあった。

規制当局が銀行のシステムの脆弱性を確認

FRBとOCCの監督当局は同日、銀行に電話をかけ、サービス障害やシステム上の異常があったかを尋ねた。この連絡について、関係筋複数がReutersに話している。

電話を受けたある銀行は、障害はなかったと報告した。行員は顧客対応用の説明資料を用意していたが、最終的に応答したのはわずかな質問だけだったという。Binanceは、銀行と規制当局の間のやり取りについて知らないとしつつ、セキュリティ侵害について世界中の規制当局に最新情報を提供し続けていると述べた。

新規則が強制是正のハードルを引き上げ

OCCとFDICが8月27日に採択し、9月1日に連邦官報で公表されたこの規則は、11月2日に発効した。FDICによると、この規則は「不健全または不審な行為」に該当するものを、規則として初めて明確化するものであり、注意を要する事項（MRA）の発行をより困難にする。MRAとは、検査官が銀行に問題の修正を求める際に用いる正式な書面による通知である。

新基準では、検査官は不備を銀行の財務への重大な悪影響の可能性、または実際の法令違反に結び付ける必要がある。この基準に満たない問題は監督上の所見（supervisory observation）となり、是正計画は付かず、正式な所見として追跡されず、取締役会に共有する義務もない。

FRBはこの規則に署名していないため、FRBの監督下にある銀行は対象外であり、FRBは代わりに内部方針を通じて類似の基準を推進してきた。OCCは、銀行の財務との関連がない場合でも重大なセキュリティ上の弱点の修正を銀行に強制できる別の権限を維持しており、FDICはこの権限をまれな場合にのみ、同じ厳格な基準の下でのみ行使するとしている。この不一致は米国の銀行監督の構造に起因する。OCCは全国銀を認可・監督し、FRBは州法上の会員銀行および銀行持株会社を監督し、FDICはFRB非会員の州法上の銀行を監督しており、同じ種類のサイバーセキュリティ上の弱点でも、どの当局が監督するかによって適用される制度が異なり得る。

銀行が自らの防御態勢を点検

銀行は報道によると、Binanceのハッキングを分析し、類似の攻撃に耐えられるかを判断するため自社システムの診断を実施している。窃盗発覚から数時間以内に、米最大手の一つである銀行のセキュリティチームがBinanceの担当者と連絡を取った。同チームは現在、内部報告書を作成しており、関係筋によると、この報告書が銀行システムの見直しとサイバーセキュリティ更新につながる可能性があるという。AIモデルの進歩の速度が速まっていることで、銀行が攻撃者に先行し続けることはより困難になっており、銀行はレビューとコード修正にリソースを投入し始めたと報じられている。

63億ドルのBinanceハッキングの経緯

Cryptopolitanが以前報じたところによると、10月29日の incident で約63億ドルが取引所から流出し、この事件は史上最大の暗号資産窃盗とされている。Binanceのインシデント報告書によると、攻撃は6月、ウォレットエンジニアが改ざんされたAIコーディングツールをインストールしたことに始まり、9月に別のエンジニアが偽の求人面接の後に悪意のあるコードをダウンロードしたことで拡大した。この2つの侵入経路――侵害された開発者ツールと偽の採用プロセスで配布されたマルウェア――は、ソフトウェアサプライチェーン侵害とソーシャルエンジニアリングという、よく知られた侵入カテゴリに合致する。攻撃者はその後、窃取した認証情報を用いて内部のAIツールを使い、取引所のウォレットへのアクセスを得た。詳細はCryptopolitanの以前の報道を参照。

FBIは10月31日の警告で北朝鮮のTraderTraitor組織を名指ししたが、平壌はこの主張を否定している。Binanceのリチャード・テン共同CEOは述べたところ、取引所は窃取資金の約95%を自己準備金から補填済みであり、財務的に健全な状態を保っているという。今後注目すべきは、継続中とされるBinanceによる世界中の規制当局への最新情報提供と、この窃盗事件を受けて銀行が開始した診断および内部報告の結果である。