初期調査で明らかになった資金管理への侵入経路

暗号資産交換業者のバイナンスは11月3日、10月29日（日本時間30日）に発生した資金流出の初期調査結果を公表しました。被害額は約63億4,000万ドルで、1ドル159円換算で約1兆円に相当します。同社によると、攻撃者は偽の採用面接などを通じて従業員の端末を侵害し、社内AIツールを足場に、資産移転を承認するウォレット署名サービスへ到達しました。

米連邦捜査局（FBI）は10月31日、北朝鮮による犯行と発表し、関連するサイバー活動を「TraderTraitor」と呼称しています。ブロックチェーン分析会社TRM Labsは、今回の被害を同社が把握する過去最大の暗号資産窃取と位置付けており、採用活動を装った接触が取引所の資金管理にまで及んだ経緯が明らかになりました。

偽の採用課題を使う手口、国内事件との共通点

バイナンスの報告書によると、6月にウォレットの開発・運用担当者がAIコーディングツールの導入過程で、改ざんされたHomebrewのインストーラーを取得しました。同社は端末交換と認証情報の更新を行いましたが、担当業務や同僚の情報が攻撃者に知られたと説明しています。その後、9月には別の技術者が求人サイト経由で偽の採用面接に誘導され、業務用端末に取り込んだプログラミング課題のセットアップ時にマルウェアが動作したとしています。

採用課題を入口にした侵入は、2024年のDMM Bitcoin事件でも確認されています。FBIや日本の警察庁などの共同発表では、ウォレット関連企業Gincoの従業員が採用担当者を装う人物から接触を受け、試験を名目に悪意あるPythonコードへ誘導されました。その後の侵入を経てDMM Bitcoinから4,502.9BTCが流出したとされ、開発者への求人接触が資金管理業務への侵入につながった点で共通します。

こうした手口の広がりについて、分析会社Chainalysisは11月3日、過去18カ月に北朝鮮関連の類似する偽面接・マルウェア事案で計1,430万ドル超の被害を確認したと公表しました。同社は、小規模な標的への攻撃を重ねる中で手法が洗練された可能性を指摘しており、今回の事件を継続的な攻撃の蓄積から捉えています。

社内AIから署名サービスへ、停止措置を越えて残った権限

バイナンスによると、攻撃者は10月20日、侵害済みの端末と社内AIツールを利用してウォレット担当者2人の端末へ侵入を拡大し、コンテナを配備する権限を持つトークンを取得しました。29日には盗んだ認証情報でコンテナを配備し、不正なスクリプトを実行して署名サービスを悪用したとしています。従業員の端末侵害が、社内ツールと開発・運用権限を経由して資金移転へつながった構図です。

さらにイーサリアムでは、EIP-7702の仕組みを使い、攻撃者のスマートコントラクトにホットウォレットの一部実行権限が与えられました。同社の説明では、この権限がブロックチェーン上で通常の出金システムから独立して機能したため、出金停止後も不正な資産移転が続きました。封じ込めには委任権限を取り消す追加処理が必要となり、取引所側のサービス停止に加えて、チェーン上の権限を解除する対応が求められました。

資産凍結と利用者への補填を並行

TRM Labsは、流出の大半が約20分間に集中し、ステーブルコイン発行企業などによる凍結と、攻撃者による別資産への転換が並行して進んだと分析しています。 バイナンスは11月3日時点で約28億5,000万ドル相当を凍結または移動阻止し、10月31日時点で被害トークン資産の98％を補充したと説明しました。この補充率は同社による買い戻しなどを含む補填の進捗を示し、盗難資産の回収率とは区別されます。

日本法人のBinance Japanは、顧客資産を自社のコールドウォレットで管理し、10月30日の点検で預かり資産の安全を確認したと発表しました。11月1日には予防措置として停止していた暗号資産の出庫を順次再開したと案内しており、日本の利用者に関わる資産管理とサービス状況を説明しています。

再発防止の検証点は権限分離と解除手順

バイナンスは、影響を受けたウォレット基盤と社内AIツールの再構築、アクセス制御の強化、端末交換、認証情報の失効などを実施し、独立した専門家による検証も進める方針です。 TRM Labsは業界向けに、想定外のEIP-7702承認を署名ポリシーで拒否することや、署名基盤・承認経路をチェーンやウォレットの用途ごとに分離することを提言しています。

公表された経緯からは、端末への侵入を資金管理へ波及させない権限設計と、不正な承認が成立した後の解除手順を一体で検証する必要性が読み取れます。第三者レビューを踏まえた追加対策では、社内AIを含む業務ツールのアクセス範囲、署名要求の審査、緊急時の権限解除を、実際の攻撃経路に沿ってどう改めるかが重要になります。

公式発表：バイナンス