Binance、北朝鮮関連とみられる攻撃57件を2026年に阻止

偽装面接と悪意ある開発ツール

Binanceの共同創設者で共同CEOのイー・ハー氏は11月3日、同取引所のセキュリティチームが2026年の初め以降、北朝鮮関連とみられるサイバー攻撃57件を検知・阻止したと明らかにした。Xへの投稿で同氏は、一連の侵入の試みは国家資金による攻撃者の執拗な脅威を反映しているとし、その多くを迎撃したものの、一件でも阻止に失敗すれば代償は深刻だったと述べた。発言は同日公開された、10月29日の侵害に関する初期調査結果に合わせたものだ。

報告書によると、9月にソフトウェア技術者が、正規の求人プラットフォーム上でプロジェクトディレクターを名乗る人物から接触を受けた。偽の人事担当者がビデオ面接を実施し、私的な写真や動画を含むSNSプロフィールで信頼性を演出した後、架空の企業の最高経営責任者を自称する二人目の面接官が、業務用端末に仕事の課題ファイルをダウンロードするよう指示したという。ファイル内の悪意あるコードはセットアップ時に実行され、当時導入されていたエンドポイントセキュリティツールの検知をすり抜けた。10月20日、攻撃者はこの乗っ取られた端末と社内のAIツールを使ってウォレット担当の技術者2人に到達し、資産移転を承認する秘密鍵情報へのアクセスを可能にする認証情報を取得した。先行するウォレット承認の調査では、セキュリティレビューで50件のEIP-7702承認が確認され、うち1件が悪意あるコントラクトへの実行権限の委任に成功していたことから、盗難の一部はイーサリアムのホットウォレット「Binance 14」に遡ることが判明している。イー氏の投稿は57件のうち採用面接を餌にした件数の内訳には触れなかったが、初期報告書は採用を装った詐欺、改ざんされたブラウザ拡張、偽の会議アプリを主要な攻撃経路として挙げている。

FBIがTraderTraitorと特定、補填は98%

10月29日の事件は約63億4,000万ドル相当のデジタル資産に影響し、FBIは10月31日のサイバー警報でこの窃盗を北朝鮮の仕業と断定、活動をTraderTraitorと特定した。米シークレットサービスおよびIRS犯罪捜査局と連携した同局によれば、攻撃者は盗んだ資産を主にイーサ(ETH)へ変換し、0xプロトコルのようなルーティングプロトコルを含む分散型金融や即時スワップサービスを通じた追加の資金洗浄を見込んでいたという。各機関は取引所、分析企業、インフラ事業者に対し、リスト掲載アドレスに関わる取引を遮断するよう呼びかけた。北朝鮮は11月3日、国営メディアが伝えた声明の中でキム・ヨジョン氏がこの容疑を否定した。

Binanceは11月3日の報告で、影響を受けたトークン資産の98%の補填が完了し、流動性の低い残り資産の購入を継続中と説明した。損失額を上回る資金を確保しているという。同取引所はBTC、ETH、USDT、BNB、SOL、XRP、USD1、RLUSD、ZECを全額担保済みと特定し、Circle発行のステーブルコインUSDCも含めた。買戻しの財源は、ユーザー資産を担保するセキュア・アセット・ファンド、先物保険ファンドの余剰準備金、そして企業の社内資金から充てられている。出金は資産ごとに再開が進んだ。11月1日にビットコインの出金が再開され、当時リチャード・テンCEOは補填率を約95%と表明。11月3日にはイーサリアム上の31資産、Solana上の20資産の出金が復旧し、先行してイーサリアム上の5つのステーブルコインの出金再開が行われていた。オンチェーンの追跡データでは、約28BTC(220万ドル相当)が11月1日から2日初めにかけて18件のCoinJoin取引に流入した一方、取引所から直接盗まれた18,270BTCは評価時点で19のアドレスに留まっていた。窃盗関連アドレスには推定32億4,000万ドルがイーサリアムとビットコイン中心に残っており、レビューは約12,000のウォレットと11のブロックチェーンに及んだ。

57件の阻止と1件の成功という対比が、今回の開示で最も際立った事実だ。攻撃者は取引所の境界防御を破る必要がなかった。偽の面接を通じて到達した技術者1人の業務用端末が、1か月足らずでウォレット担当技術者と署名認証情報への経路を与えた。採用パイプラインと開発ツールチェーンは、もはや各プラットフォームが織り込むべきカウンターパーティーリスクであり、社内セキュリティの脚注ではない。資金洗浄のパターンも同じ方向を指す。約28億5,000万ドルが凍結または傍受された一方、32億4,000万ドルが窃盗関連アドレスに残り、盗まれたBTCはすでにCoinJoinミキサーを通じて動き始めている。回収の現実的な上限はほぼ見えており、取引所の残るリスクは買戻しを続ける非流動性トークンの尾部にある。