FRBとOCC、63億ドルのBinanceハッキングを受け米銀行に照会

FRBとOCCが米銀行のシステムを調査

米国の銀行規制当局は11月2日、63億ドル規模となったBinanceのハッキング事件が従来型の銀行インフラに影響を残していないかを確認するため、金融機関への照会を開始した。米連邦準備制度理事会(FRB)と米通貨監督庁(OCC)の担当者は、各機関に対し不審な取引、サービス障害、サイバーセキュリティ上の脆弱性を報告するよう要請した。関係筋の話では、この動きは予防的な性格が強く、照会を受けた米国の銀行が侵害されたことを示す兆候は報告されていないという。照会を受けたある銀行幹部は、顧客からの問い合わせはほとんどなく、対応用の声明を準備しながら通常どおりサービスを提供していると述べた。別の関係筋は、AIの急速な進化に伴い銀行は攻撃者への対応が追いつかない中でサイバーセキュリティにより多くのリソースを投入せざるを得なくなっており、この問題がすでに複数の大手銀行をオンラインプラットフォームからのAI駆動ボットの禁止に踏み切らせたと説明した。今回の照会は、暗号資産業界史上最大級の窃盗事件に端を発するもので、懸念の中心は取引高で世界最大の暗号資産取引所で明らかになった脆弱性が、従来型の銀行システムを脅かす可能性があるかという一点にある。この懸念は民間セクターにも急速に広がった。侵入の発覚から数時間のうちに、米大手銀行の一つがサイバーセキュリティチームを通じてBinanceと直接連絡を取り、現在は自行の防御体制について内部評価を準備している。この評価書は、追加のセキュリティレビューやソフトウェア更新の足がかりになるとみられる。FRBとOCCはいずれもコメントを控えた。Binanceは米規制当局と銀行の協議内容を確認できないとしつつ、監督当局との対話は継続していると強調した。広報担当者は「世界中の規制当局と緊密に連絡を取り、今回のセキュリティ侵害について情報を更新している」と述べた。こうした監視の強化は、ワシントンが暗号資産関連業務に従事する銀行への一部規制を緩和してから数週間しか経っていない時期に起きた。この政策転換は伝統的金融とデジタル資産市場の結び付きを深めている。

10月29日の侵入はこう進んだ

規制当局の動きの背景にある侵入は、数か月にわたる準備を経て実行された。調査関係者によると、攻撃の発端は、Binanceのエンジニアが人気のAIコーディングツールを探していた際に悪意ある検索エンジン広告をクリックし、マルウェアを仕込まれたソフトウェアをインストールしたことだった。取引所のセキュリティチームはこの最初の侵入を検知して封じ込めたが、その時点でエンジニア本人とチームの情報はすでに流出していた。3か月後、別のエンジニアが偽の面接に誘われ、「課題」として渡されたファイルに含まれる悪意あるコードをダウンロードし、端末から機微な情報が抽出された。攻撃者はこの足がかりを基に、3人目のエンジニアのコンピューターにログインし、10月29日に窃盗を実行するスクリプトを起動した。流出額は約63億ドルに達し、暗号資産史上最大級の窃盗事件となった。FBIはこの作戦を、北朝鮮政府と関係し暗号資産窃盗の歴史を持つTraderTraitorによるものとしており、同グループはLazarus Groupともつながっている。調査筋の説明では、攻撃者はまずBinanceの内部システムに侵入し、その後、暗号資産の出金を承認するインフラへのアクセスを取得した。取引所は影響を受けた顧客への補償を約束しており、法執行機関やステーブルコイン発行体と連携して窃取された資産の追跡と凍結を進めている。今週は別の事案も業界の神経を尖らせた。11月4日、フランスの銀行グループCrédit Mutuel Arkéaが不正取引を伴うサイバー攻撃を確認し、オンチェーン調査者のZachXBTは、暗号資産プラットフォームを経由して移動した推定1億3,300万ドル超の窃取資金を追跡した。資金がステーブルコインのネットワークに入る前に銀行からの不正送金が行われたと研究者はみており、銀行インフラの侵害が暗号資産関連の犯罪に接続されうる構図を示す事例となった。Crédit Mutuel Arkéaは顧客資産は保護されており、財務の安定性に影響はないと主張している。フランスの事案とBinanceのハッキングを結ぶ確証は得られていないが、いずれも相互接続が進む金融システムの弱点を犯罪者が突く姿を浮き彫りにしている。

両事案は同じ手口を共有している。出発点はオンチェーン上のコードの欠陥ではなく、人と認証情報だった。Binance自身の検証では、攻撃者はプライベートキーを解読したわけでも、DeFiのコントラクトを破ったわけでもない。従業員を侵害し、その経路を通じてカストディを管理する出金承認レイヤーという中央集権的な層を奪った。この事実は対応の方向性を決める。大手銀行が進める内部点検は、ブロックチェーンのセキュリティ監査の読み方で説かれる規律と重なるもので、セルフカストディを検討する個人投資家にはTangemモバイルウォレットといった選択肢もある。規制当局が銀行に向けた質問の内容からは、監督者側が現時点でリスクを封じ込め可能とみていることが読み取れる。照会は予防的なものであり、米国の銀行が実際に侵害されたとの確証は現れていない。