暗号資産取引所のBinanceは、北朝鮮のハッカーが偽の採用面接を使って従業員をだましマルウェアをインストールさせ、最終的に同社のウォレットインフラに侵入して約63億4,000万ドル相当のデジタル資産を盗んだと明らかにしました。
この新たな情報は、本日公開されたインシデントレポートで共有されました。レポートでは、攻撃者がソーシャルエンジニアリング、悪意のあるソフトウェア、侵害した社内システムを駆使して、10月29日の暗号資産窃取を実行した経緯が詳しく説明されています。
BleepingComputerが先に報じたとおり、FBIはこの攻撃を、TraderTraitorとして知られる北朝鮮の国家支援ハッカーによるものと断定しています。このグループはLazarus Group、Jade Sleet、APT38としても追跡されています。
Binanceによると、攻撃は9月に始まりました。正規の求職プラットフォームを通じて、実在しない企業のプロジェクトディレクターを名乗る人物が、あるソフトウェアエンジニアに接触したのです。
このエンジニアのプロフィールにはBinanceでの経験が記載されていました。そのため、暗号資産取引所への侵入を狙う攻撃者にとって、格好の標的となりました。
偽の採用担当者は、この従業員に対して2回の面接を設定しました。1回目は人事担当者を装う人物、2回目は同社のCEOを名乗る別の人物が相手でした。
1回目の面接で、偽の人事担当者はライブのビデオ通話を行いました。さらに、個人の写真や動画を掲載したSNSアカウントを共有し、信頼を得ようとしました。
2回目の面接は、広く使われているソーシャルチャットアプリ上で行われました。従業員はそこで、オンラインのコードリポジトリからコーディング課題をダウンロードするよう指示されました。
Binanceによると、このリポジトリには悪意のあるコードが含まれていました。実行すると、ウイルス対策ソフトに検知されない未知のカスタムマルウェアによって、従業員のデバイスが侵害されました。
Binanceは次のように説明しています。「このマルウェアは高度な難読化・回避技術を使っていました。たとえば、正規の開発ツールのコンポーネントを悪意のあるバージョンに置き換え、コマンドを実行して攻撃者が管理する外部サーバーとの通信を確立していました」
「このゼロデイマルウェアは、当時のエンドポイントセキュリティ保護ツールでは検知されませんでした。攻撃者は悪意のある活動を隠し、侵害の痕跡を消す対策も講じていたため、検知とその後の調査はより困難になりました」
Binanceの説明では、悪意のあるスクリプトはmacOSのHomebrewインストールディレクトリに、pyenv_という名前の置き換え用実行ファイルを作成しました。
続いてスクリプトは、正規のpyenv実行ファイルを削除しました。そのうえで、悪意のあるファイルの名前をpyenvに変更し、シンボリックリンクを書き換えて、Zシェル（zsh）プロセスの起動に利用しました。
この悪意のある置き換えにより、攻撃者は自らが管理するサーバーから受け取ったコマンドを実行できるようになりました。
10月20日までに、攻撃者は侵害したエンジニアのコンピューターと社内のAIツールを使い、Binanceのウォレットインフラを担当する別の従業員2人も侵害しました。その結果、認証情報とコンテナのデプロイトークンを入手しています。
10月29日、ハッカーは盗んだ認証情報を使って悪意のあるスクリプトをデプロイし、Binanceのウォレット署名サービスに不正アクセスしました。これにより、複数のブロックチェーンをまたいで数十億ドル相当の暗号資産を移動させることが可能になりました。
攻撃者はさらに、EthereumのEIP-7702認可メカニズムを悪用しました。このため、取引所が出金を停止した後も、暗号資産の窃取を続けられました。
Binanceは、影響を受けたシステムを再構築し、侵害されたデバイスを交換し、盗まれた認証情報を失効させたと説明しています。
11月3日時点で、盗まれた資産のうち約28億5,000万ドルが凍結または差し止められています。また、影響を受けたトークン資産の98%は、10月31日時点で補填済みです。
Binanceは、引き続き侵害の調査を進めています。調査結果の検証には、独立したセキュリティ企業も加わっているということです。
悪意のある採用面接
マルウェアのインストールにつなげる偽の採用面接は、北朝鮮のハッキングキャンペーン「Contagious Interview」や「Operation Dream Job」で多用される手口です。これらのキャンペーンは、偽の求人や面接を使って、開発者や暗号資産関連企業の従業員をだまし、マルウェアをインストールさせます。
2025年6月、サイバーセキュリティ企業のSocketは、Contagious InterviewキャンペーンがLinkedIn上で採用担当者になりすまし、悪意のあるnpmパッケージを含むコーディング課題を開発者に送りつけていたと報告しました。
これらの攻撃では、ハッカーが35個の悪意あるnpmパッケージを配布していました。パッケージはマルウェアをインストールし、感染したコンピューターからブラウザーの認証情報、暗号資産ウォレットのデータなどを盗み出していました。
北朝鮮のLazarusのハッカーは、Operation Dream Jobでも同様の手口を使っています。ソフトウェア開発企業やDeFi企業の従業員に、雇用関連の書類を装ったマルウェアを配布していました。
Binanceは、今回の従業員への侵害をどちらかの特定のキャンペーンと結びつけてはいません。しかし、偽の採用担当者、複数回の面接、悪意のあるコーディング課題という流れは、これまでに確認されている北朝鮮の手口と酷似しています。
