Binance、偽の採用面接を悪用したハッカーによる63億ドルの暗号資産窃取の手口を公表

Binanceは、攻撃者が偽の採用面接、侵害された開発者の端末、悪意あるブロックチェーン上の認可を組み合わせた巧妙な手口を使い、2026年10月29日に約63.4億ドル相当のデジタル資産を盗み出したことを明らかにしました。

同取引所の初期調査によると、攻撃者は組織的な侵入を実行し、社内のウォレット署名サービスにまで到達していました。これにより、通常の出金統制をすり抜ける不正な取引が可能になったとしています。FBIは、この窃取を北朝鮮の「TraderTraitor」と呼ばれる活動クラスターによるものと結び付けています。

Binanceの報告では、盗まれた資産のうち約28.5億ドル分が凍結または傍受されています。ただし、照合作業の完了待ちであり、市場の変動による影響も受けるといいます。同社は金銭的な影響を自社で負担する方針を示し、10月31日までに、被害を受けたトークン資産の98%を補填したと説明しました。

Binanceの63億ドル暗号資産窃取事件

攻撃の準備は、窃取の数カ月前に始まっていました。6月、ウォレット部門のDevOpsエンジニアがAIコーディングツールのインストールを試みた際、改ざんされたHomebrewのインストーラーをダウンロードしました。Binanceは端末を交換して認証情報を更新しましたが、調査担当者は、この件でこのエンジニアと同僚の情報が攻撃者に渡った可能性があるとみています。

同様の偽Homebrewインストーラーのキャンペーンでは、本物らしく見せたWebサイトと細工したインストールコマンドを使い、macOSシステムを侵害してきました。

9月には、攻撃者が正規の採用プラットフォームを通じて別のエンジニアに接触しました。プロジェクトディレクターを名乗る人物が、人事担当者と企業のCEOになりすました者との面接を設定しました。

最初の面接官は、ライブ映像と個人の写真を載せたSNSアカウントを使い、信頼を得ようとしました。2回目の面接中に、このエンジニアは課題用のリポジトリを業務用のパソコンにダウンロードしています。

セットアップ中に悪意あるコードが実行され、正規のpyenvコンポーネントが改変された実行ファイルに置き換えられました。スクリプトはpyenv_を作成して元のバイナリを削除し、置き換えたファイルの名前を変更したうえでシンボリックリンクを再作成し、zshを起動しました。

10月20日、攻撃者は侵害したワークステーションと社内のAIツールを使い、さらに2人のエンジニアの端末に到達しました。そして、DevOpsエンジニアの端末からコンテナーのデプロイ権限トークンを見つけ出しました。

10月29日のUTC 17:15から19:56の間に、侵入者は別のエンジニアのパソコンにアクセスし、盗んだ認証情報を使ってコンテナーをデプロイして、悪意あるスクリプトを起動しました。

不正に送金された資産には、2億3,346万XRP、約97万500SOL、4,420万OP、1万8,270BTCが含まれます。

この一連の流れは、採用を装った開発者への攻撃が認証情報の漏えいを招き、特権を持つインフラへの侵入経路になり得ることを示しています。

その後、攻撃者は侵害した署名サービスを通じてイーサリアムのEIP-7702認可メカニズムを悪用し、攻撃者が管理するコントラクトにホットウォレットの実行権限を付与しました。

こうしたオンチェーン上の権限は、Binanceが出金を停止した後も有効なままでした。同取引所によると、攻撃者はアカウントのノンスを操作して悪意ある委任を設定するため、50件の署名トランザクションを送信しました。

このウォレットはマルチパーティ計算（MPC）を採用していたため、対応チームには即座に権限を取り消せる単一の秘密鍵がなく、専用の手順を新たに作成して対処しました。

最後の不正送金は2,961.9ETHで、UTC 23:56に確定しました。Binanceは10月30日のUTC 00:10に、Binance14の委任を解除しました。

Binanceは、影響を受けたシステムの再構築、端末の交換、認証情報の失効、監視の強化を実施しました。調査は現在も続いています。FBIの帰属通知は、攻撃者が盗んだ資産を主にETHへ換金し、分散型金融（DeFi）やインスタントスワップのサービスを通じて、さらにロンダリングを進めていると警告しています。

SOCにアラートの文脈を提供し、インシデントを迅速に食い止めましょう。1万6,000のSOCの脅威インテリジェンスを統合。