バイナンスが不正流出事件の初期調査結果を公表
海外大手暗号資産（仮想通貨）取引所バイナンス（Binance）が、10月29日に発生した大規模な資産不正流出事件について、偽の採用面接や社内AIツールを悪用した侵入経路と、不正送金の仕組みを明らかにする初期調査結果を11月3日に公表した。
バイナンスによると、今回の事件では約63億4,000万ドル（約1兆50億円）相当の資産が影響を受けた。このうち、11月3日の発表時点で約28億5,000万ドル（約4,514億円）相当を凍結または移転阻止したとのことだ。なお、これらは同社の初期調査に基づく数値であり、最終的な損失額は確定していない。
米連邦捜査局（FBI）は10月31日、今回の攻撃を北朝鮮のサイバー攻撃活動「トレーダートレイター（TraderTraitor）」によるものと発表している。また、バイナンスは今年、北朝鮮との関連が疑われるサイバー攻撃57件を検知し、阻止したことも明らかにした。
バイナンスは盗難資産による損失を利用者に負担させず、同社が補填する方針を示した。同社は補填に必要な額を超える資金を確保しており、11月3日の初期調査報告では、影響を受けたトークン資産の98％を補充したと説明している。また同取引所は、残る流動性の低い資産についても購入を進めている。なお、この補充は取引所の資産不足を補う措置であり、盗難資産の回収とは異なる。
バイナンスは11月3日時点で侵入経路を遮断し、影響を受けたウォレットシステムと社内AIツールを再構築した。また、関連する認証情報の無効化や従業員端末のセキュリティ対策を実施し、ウォレットサービスのリスク管理も強化した。
今後は独立したセキュリティ専門家による第三者レビューを実施し、初期調査結果や再発防止策を検証する予定だ。さらに、AIを活用した脅威検知への投資拡大や、業界関係者と連携したAIセキュリティ研究基金の設立も進める方針だ。なお、事件の調査は継続中であり、一部の技術的な詳細は公表されていない。
偽の採用面接から社内AIツールへ、数カ月にわたる侵入の経緯
バイナンスの初期調査によると、攻撃者は少なくとも今年6月から従業員の業務用PCを標的としていた。同月、ウォレットの開発・運用を担当するエンジニアAが、AIコーディングツールを探す過程で、改ざんされたホームブリュー（Homebrew）のインストーラーをダウンロードしたとのこと。なお、ホームブリューは、ソフトウェアの導入や管理に使用されるツールだ。
バイナンスのセキュリティチームは不審な動作を検知し、エンジニアAの端末交換と関連する認証情報の更新を実施した。しかし、同社の調査では、攻撃者がエンジニアAの業務上の役割や、ウォレット関連業務を担当する同僚の情報を把握したと説明されている。
9月には、別のエンジニアBが正規の求人プラットフォームを通じて、架空の企業の採用担当者を名乗る人物から接触を受けた。攻撃者は複数回のオンライン面接でエンジニアBの信頼を得た後、採用課題を装って悪意あるコードを含むリポジトリを業務用PCにダウンロードさせた。
これによりマルウェアが実行され、正規の開発ツールの一部が悪意あるプログラムに置き換えられた。また、エンジニアBのPCと攻撃者が管理する外部サーバーとの通信も確立された。バイナンスによると、このマルウェアは当時の端末保護ツールでは検知されなかったとのことだ。
なお、こうした偽の採用面接を利用する攻撃は、北朝鮮系の攻撃者による手口としても報告されている。日本の警察庁は9月、北朝鮮を背景とする攻撃グループ「ウォータープラム（WaterPlum）」が、偽の技術面接やコーディング課題を通じて開発者をマルウェアに感染させる手口を使用していると発表した。また、別の事例として、北朝鮮系IT労働者とみられる人物が身元を偽り、国内暗号資産交換業者ビットフライヤー（bitFlyer）のエンジニア職に応募した事例も明らかにしている。
10月20日には、攻撃者がエンジニアBの侵害されたPCと社内AIツールを利用し、エンジニアAとエンジニアCの端末を制御できる状態にした。さらに、攻撃者はエンジニアAのPCから、内部システムへのプログラム配置を許可する認証トークンを入手した。ただし、社内AIツールが具体的にどのように悪用されたのかは公表されていない。
10月29日、攻撃者はエンジニアCのPCにログインし、エンジニアAから盗んだ認証情報を使用した。さらに、コンテナを配置して悪意あるスクリプトを実行し、大規模な資産不正流出につながる攻撃を開始したとのこと。バイナンスの調査では、攻撃者がウォレット署名サービスへの不正アクセスを悪用し、通常の出金申請を経ずに資産を移転したと説明されている。
EIP-7702を悪用、出金停止後も不正送金が継続
バイナンスの報告によると、10月29日20時05分から20時09分（UTC）にかけて、バイナンスの5つのホットウォレットから2億3,346万XRPが攻撃者のアドレスへ送金されたという。ホットウォレットは、取引所が入出金などに使用するオンライン管理のウォレットだ。また、ソラナ（Solana）とオプティミズム（Optimism）上のウォレットから約970,500 SOLと4,420万OPが移転され、別のウォレットから18,270 BTCも送金された。
一方、イーサリアム（Ethereum）上では、「EIP-7702」と呼ばれる仕組みが悪用されたとのこと。EIP-7702は、通常のウォレットがスマートコントラクトと呼ばれるブロックチェーン上のプログラムに処理を委任できる仕組みだ。
攻撃者は50件の署名付き認可データを利用し、バイナンスのウォレットの処理を攻撃者が管理するスマートコントラクトに委任した。GCSAのオンチェーン分析では、1件のトランザクションに50件の認可データが含まれ、そのうち1件が適用されたと分析されている。ただし、バイナンスはウォレット署名サービスへの不正アクセスを報告しているものの、これらの署名が生成された具体的な経緯は明らかにしていない。
バイナンスは出金サービスやホットウォレットサービスを停止し、関係企業と連携して資産の凍結を進めた。しかし、EIP-7702による不正な委任はブロックチェーン上に記録されていたため、通常の出金処理を停止しても解除されず、不正送金を直ちに止めることはできなかった。
さらに、対象のウォレットには、署名に必要な情報を分散管理するマルチパーティ計算（MPC）が採用されていた。そのため、バイナンスは単一の秘密鍵を使って不正な委任を直ちに解除できず、専用の解除手順を開発する必要があった。
最後の不正送金となった2,961.9 ETHの移転は、10月29日23時56分（UTC）に確定した。これは以前に送信され、保留状態となっていた取引だったとのことだ。その後、バイナンスは翌30日00時10分（UTC）、ホットウォレット「Binance14」からゼロアドレスへの新たな認可を実行し、不正な委任設定を解除した。バイナンスの初期調査では、最後の不正送金以降、新たな不正送金は確認されていない。
https://t.co/sU9dUqLQDH
— Binance (@binance) November 3, 2026
画像：PIXTA