北朝鮮のハッカーが、約20分間でBinanceから63.6億ドルを盗み出したとみられています。ただ、世界最大の暗号資産取引所であるBinanceは、顧客に損失を負わせない対応を進めています。
10月29日に発生したこの攻撃は、暗号資産の窃取被害としては過去最大です。2025年2月に起きたBybitの15億ドルの流出を上回りました。ブロックチェーン分析企業のTRM Labsは、北朝鮮のハッキング部門「TraderTraitor」による犯行だと高い確度で断定しています。TraderTraitorはBybitへの攻撃にも関与したとされています。
Binanceは侵害の調査中、複数のブロックチェーンネットワークで出金を一時停止しました。しかし日曜日までに、盗まれた資産の約90%を補填し、段階的に出金を再開しています。
Binanceのウォレット基盤に対する20分間の攻撃
TRM Labsによると、攻撃者は10月29日の窃取に先立つ少なくとも36時間前から準備を始めていました。悪意のあるコードをテストし、トランザクションの承認データを用意していたといいます。
最初の大規模な出金は、UTC時間の20時05分に始まりました。複数のブロックチェーンにまたがるBinanceのウォレットから、攻撃者の管理するアドレスへ資金が送られました。63.6億ドルの大半は、約20分間で移されています。その後、UTC時間の23時05分ごろに、AvalancheとPolygonのウォレットを対象とする第2波が続きました。
TRMの調査では、被害額の内訳として、Ethereum関連資産が約37.9億ドル、Bitcoinが14.7億ドルと特定されました。このほか、TronとXRP Ledger上の資産でも数億ドル規模の被害が出ています。
攻撃者は、単に秘密鍵を盗んだのではなく、Binanceの出金署名基盤そのものを侵害したとみられます。Ethereumでは、署名済みのEIP-7702認可を使ってBinanceのホットウォレットに悪意のあるスマートコントラクトを実行させ、資金を移転させました。
Binanceは当初、侵害されたエンジニアのノートPCと、サービスコンテナへの不正アクセスを確認したと説明していました。しかし共同CEOのRichard Teng氏はその後、調査で新たな侵入経路が見つかったと述べ、より複雑な攻撃だったとの見方を示しています。
Arctic Wolfで敵対者オペレーション担当ディレクターを務めるJustin Moore氏は、eSecurity Planetの取材に次のように語りました。「北朝鮮による暗号資産の攻撃は、取引所やデジタル資産プロジェクトへの散発的な攻撃から、産業規模の収益モデルへと進化しています。攻撃者は単一の手口に頼るのではなく、開発者や従業員、署名システム、サードパーティ基盤を狙います。信頼されたアクセス権を、正規の送金へと転換できる一点を探しているのです」
数十億ドルの盗難資産を凍結し、補填するBinance
対応には、暗号資産の発行体やブロックチェーンのセキュリティチーム、法執行機関が関わりました。Tether、Circle、Ripple、World Liberty Financialは、約26.7億ドル相当のステーブルコインを凍結しました。Arbitrumのセキュリティ評議会も、ETHとARBトークンを追加で凍結しています。
Binanceは金曜日に、業界のパートナーの協力により、盗まれた資産のうち約30億ドルを凍結できたと明らかにしました。土曜日までには、顧客の損失を穴埋めするため、自社資金63.4億ドル超を充てています。
Binanceは土曜日の最新情報で、盗まれた資産の約90%を補填したと発表しました。残る10%は、時間がかかる可能性があります。流動性の低い暗号資産があり、必要な量を購入しにくいためです。
取引所は出金も段階的に再開しています。まずEthereumベースの資産と、BNB Smart Chainの一部の資産で再開し、その後Solanaなど他のネットワークにも広げました。
従業員のアクセス権侵害を警告するセキュリティ専門家
今回の事件は、取引所が取引を承認するシステムをどう守っているのかという疑問を投げかけています。特に、数十億ドルを動かせる基盤に従業員がアクセスできる場合が問題です。
Moore氏は、複数のブロックチェーンで出金・署名プロセスが侵害されたとみられる点について、北朝鮮による暗号資産窃取活動が大きくエスカレートしたことを示すものだと指摘します。
同氏は「Binanceの事件を特徴づけるのは、複数のブロックチェーンにまたがり、信頼された出金・署名プロセスが覆されたとみられる点です」と述べました。対策として、特権を持つ従業員の端末をより厳格に隔離すること、影響の大きい取引には独立した承認を設けること、署名基盤を日常業務の環境から切り離すことを挙げています。
SecurityScorecardの最高技術責任者（CTO）であるRand Davis氏は、eSecurityPlanetの取材に対し、今回の事件は攻撃者がいかに従業員を狙うか、そしてセキュリティ対策を支えるシステムを標的にするかを示していると語りました。SecurityScorecardのBreach Susceptibility Indicator（BSI）では、Binanceのスコアは97でした。同社によれば、97以上のスコアを持つ組織は、基準となる母集団と比べて侵害を受ける可能性が39倍高いといいます。ただし、この指標が示すのは観測されたセキュリティ上の問題や露出の度合いであり、攻撃が実際に起きるかどうかを示すものではありません。
Davis氏はさらに、暗号資産取引所やカストディアンに依存する組織に対し、そうした取引先との関係を継続的に可視化しておくよう促しました。事業者が出金やその他のサービスを停止する事態にも備えておくべきだとしています。
Binance侵害が暗号資産ユーザーに意味すること
Binanceが損失を補填する方針のため、資産に影響を受けた顧客が、窃取による直接の金銭的被害を負うことはなさそうです。ただし今回の事件は、中央集権型取引所に暗号資産を預けることのもう一つのリスクを浮き彫りにしました。顧客資産へのアクセスが、プラットフォーム内部の基盤のセキュリティに一部依存しているという点です。
Binanceは複数のネットワークで出金を再開しましたが、段階的な再開であるため、取引所がセキュリティ確認を終えるまでは、遅延が生じるユーザーもいるとみられます。同社は調査を完了させ、更新した準備金証明（プルーフ・オブ・リザーブ）も公表する必要があります。
デジタル資産を保有する企業や、決済・流動性を取引所に頼る企業にとって、今回の事件は事業継続計画の重要性を示しています。プラットフォームが盗難資金を補填できるだけの財務力を保っていても、顧客の保有資産へのアクセスが一時的に制限される可能性があるためです。
より深刻な懸念は、信頼された従業員のアクセス権や取引承認システムを侵害されると、本来ならウォレット単体への侵入を困難にしているはずの防御が回避されかねないことです。Binanceの立て直しは、損失を吸収できる能力について顧客を安心させるかもしれません。しかし今回の事件は、暗号資産業界全体に、より難しいセキュリティ課題を突きつけています。
関連記事：北朝鮮の暗号資産窃取活動について詳しくは、 2億9,300万ドルのKelpDAOハッキングが分散型金融（DeFi）のセキュリティの弱点を露呈させた事例をご覧ください。この事件は、研究者によりLazarus Groupとの関連が指摘されています。
翻訳元: https://www.esecurityplanet.com/threats/news-binance-6-billion-crypto-hack-north-korea/
