Binance、偽の求人面接が引き金の63億ドル流出事件を報告

偽の面接と改ざんされたインストーラー

Binanceは11月3日、10月29日に発生した流出事件の一次報告書を公表した。被害額は同社のホットウォレットから約63億ドルに達する。このインシデント報告書によると、侵入の起点は偽の求人面接で、資金が動くまで数か月にわたり段階的に攻撃が進行していた。共同CEOのRichard Teng氏は、長期にわたる組織的な作戦だったと述べている。FBIはすでに10月31日、北朝鮮系ハッカー組織TraderTraitorの関与を特定済みで、今回の報告書は史上最大の取引所流出事件がどう組み立てられたかを示す初の技術的な全体像となる。

報告書は作戦の起点を6月にさかのぼる。ウォレット運用担当のエンジニアが、AIコーディングツールのセットアップ中に改ざんされたHomebrewのインストーラーをダウンロードしたのだ。Binanceのセキュリティチームは異常を検知し、端末を交換して認証情報を刷新したが、このエンジニアの役割とウォレット基盤を担う同僚の身元はすでに割れていた。9月には、自身の職歴にBinance勤務を記載していたソフトウェアエンジニアが、正規の求人プラットフォーム上でプロジェクトディレクターを名乗る攻撃者から接触を受けた。偽の採用担当とのビデオ面接、続く「CEO」と名乗る人物との二次面接を経て、業務用端末にコーディング課題をダウンロードするよう指示される。このファイルにはマルウェアが仕込まれており、開発ツールpyenvを悪意あるバージョンに差し替え、端末型の検知を完全にかわした。

10月20日、攻撃者は乗っ取った端末と社内AIツールを使い、ウォレットエンジニア2名のコンピュータを掌握した。そこでコンテナデプロイ用の認証情報を発見する。10月29日、盗んだ認証情報でサービス用コンテナを展開し、Binanceのウォレット署名システムに対して悪意あるスクリプトを実行した。5つのホットウォレットからは4分足らずで2億3,346万XRPが動き、続いて約97万SOL、4,420万OP、1万8,270BTCが引き出された。攻撃者は署名サービス経由で50件のトランザクションを送信し、アカウントノンスを操作、アカウント実行の委任の仕組みであるEIP-7702を悪用して、悪意あるスマートコントラクトにホットウォレットの一部権限を与えた。出金停止では流出を止められなかった。最後の不正送金2,961.9ETHは、最初の資金移動から約4時間後にはすでにブロードキャストされ承認済みだった。Binanceが委任を解除できたのは10月30日0時10分(UTC)、ゼロアドレス宛ての新たな認可を送信した時点である。

28億5000万ドルを凍結、98%を復元

Binanceの発表では、約28億5000万ドルが凍結または途中で足止めされた。10月31日時点で影響を受けたトークン資産の約98%を自己資金から再補充しており、流動性の低い残りの資産は買い戻しが進行中という。損失はユーザーに転嫁されず、取引所側が吸収する。共同CEOのRichard Teng氏はXへの投稿で、出金がほぼ通常どおり再開したことを確認し、凍結の実現は法執行機関、ステーブルコイン発行体、オンチェーン分析企業との連携によるものだと説明した。報告書は完了済みの対策も列挙する。影響を受けたウォレットシステムと社内AIツールを新環境で再構築、端末を交換、エンジニアの認証情報を失効させ、全社員の機器に対するセキュリティ診断を実施した。次の段階として、第三者による独立監査とセキュリティ研究基金の設立が予定されている。

@_RichardTeng · Xの投稿

出金がほぼ通常どおり再開したことを確認.

Xで見る

金与正氏が関与を否定

北朝鮮はこの特定を公式に否定した。国営メディアKCNAが火曜日に伝えた声明の中で、金与正氏(最高指導者の妹で与党幹部)はFBIの指弾を「戯言」と一蹴し、同国を「サイバー犯罪国家」と描こうとする政治的宣伝だと主張した。同氏は、回収された資金に誰がアクセスできるかを調べれば真の黒幕が分かるかもしれないと、根拠を示さないまま示唆した。さらに2025年2月のBybit流出事件への北朝鮮の関与についても、改めて否定している。米国側はこの声明に応答していない。TRM Labs、Chainalysis、ZachXBTを含むブロックチェーン調査者らは、オンチェーンと技術の双方の証拠がTraderTraitor組織を指しているとの見方を維持している。

資金洗浄の経路と市場への影響

盗まれた資金の大半は回収ではなく移動を続けている。Ellipticの推計では、約31億8000万ドルが依然として流出元と結びつくアドレスに留まっており、大半はBitcoinとEther建てだ。同社は3日半で11のブロックチェーン上の約1万2,000のウォレット、4万件超のトランザクションを追跡した。TRM Labsは自己発行トークンや連結ブリッジを使った資金洗浄を記録し、Chainalysisは正確に1TRXだけが送金されたアドレスへの資金供給を確認した。自動化送金の特徴である。ZachXBTは、Bitget流出事件との重複を指摘している。THORChainを経由した後、一部の盗難資金が合流していた。市場は一時、Bitcoinで最大5.0%、Etherで6.1%下落した後に安定を取り戻した。出金再開後、同取引所からの純流出は47億2000万ドルに達したが、その後27億ドルが戻り流れた。

EIP-7702こそ構造的リスク

報告書が示す本質的な教訓は、今回の事件が鍵の漏えいではなく権限設定の失敗だったという点だ。攻撃者は秘密鍵を手にしていない。委任された実行権を取得し、EIP-7702がそれをオンチェーンに書き込んだため、出金停止の手が届かなかった。この違いは、預け入れ型の仮想通貨ウォレットと自己管理のどちらを選ぶかを考えるすべての人に問われる。ハードウェアウォレットやコールドウォレットなら取引所のカウンターパーティーリスクを排除できるが、運用の手間はユーザー側に移る。Binanceによれば、今回の突破を許す前に、2026年だけで北朝鮮系とみられる攻撃57件を封じ込めており、取引所防衛に向けた圧力の大きさを物語る。創業者のCZ氏は、AIを利用したハッキングは今後増え、業界はAI攻撃者に対してAIで対抗する必要があると警告しており、報告書に示されたセキュリティ投資の計画はその認識と重なる。