Binance侵害：偽の採用面接でハッカーが63億4000万ドルを窃取

Binanceは、北朝鮮のハッカーが偽の採用面接、悪意ある開発者ツール、社内AIツールを悪用し、63億4000万ドル相当の暗号資産を盗んだ手口について説明しました。

Binanceによると、2026年10月29日に63億4000万ドル相当の暗号資産が盗まれる前、偽の採用面接と社内AIツールの悪用によって、攻撃者はウォレット基盤にたどり着いていました。11月3日に公表した初期インシデントレポートでは、3人のエンジニアの侵害されたデバイスを経由した攻撃の経緯をたどっています。

Hackread.comが以前報じたとおり、FBIはこの攻撃を北朝鮮の犯行と断定しました。

同取引所は、金銭的損失を補填する方針を表明しています。BinanceのリチャードTeng共同CEOは、金銭的影響への懸念に対し、Xへの投稿で「ハッキングによる損失は、すべて自社資金で補填します。皆様の資産は安全です」と述べました。

偽の採用活動がウォレットへのアクセスにつながる

Binanceは最新のインシデントレポートで、攻撃の発端を6月まで遡りました。ウォレット部門のDevOpsエンジニアがAIコーディングツールを探していた際、改ざんされたHomebrewのインストーラーをダウンロードしたといいます。Binanceはこの不審な動きを検知し、端末を交換して認証情報もローテーションしました。しかし、攻撃者はすでに、このエンジニアの役割とウォレットチーム内の人間関係を把握していました。

LearnAI Tools

9月には、別のエンジニア（エンジニアB）が、求人プラットフォームを通じて採用担当者を名乗る人物から接触を受けました。2回目の面接の最後に、エンジニアBは業務用ノートPCにコーディング課題をダウンロードするよう求められました。

Binanceによると、このリポジトリにはマルウェアが仕込まれていました。正規のpyenvファイルが悪意あるファイルに置き換えられ、攻撃者は端末上で任意のコマンドを実行し、自らが管理するサーバーと通信できるようになりました。

10月20日、攻撃者はエンジニアBの侵害されたコンピューターと社内AIツールを使い、エンジニアAと、もう1人のウォレットエンジニア（エンジニアC）のデバイスにアクセスしました。エンジニアAのコンピューターには、コンテナのデプロイ用トークンが保存されていました。なお、AIツールがどのようにこのアクセスを可能にしたのか、Binanceは説明していません。

攻撃者はイーサリアムの認可メカニズムを悪用

10月29日、攻撃者はエンジニアCのコンピューターにアクセスし、エンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、悪意あるスクリプトを起動しました。UTCの20時05分から20時09分の間に、Binanceの5つのホットウォレットから2億3346万XRPが送金されました。続いて、SolanaとOptimism上のウォレットから約97万500 SOLと4420万OPが、さらに1万8270 BTCが送り出されました。

攻撃者は、イーサリアムのEIP-7702というアカウント認可メカニズムも悪用しました。この仕組みでは、アカウントが特定の実行権限をスマートコントラクトに委任できます。これにより、攻撃者が管理するコントラクトは、秘密鍵を入手しなくても、Binanceのホットウォレットに対する実行権限の一部を得ました。

出金を停止しても、こうしたオンチェーン上の認可をすぐに止めることはできませんでした。Binanceは、同社のマルチパーティ計算（MPC）ウォレットの構成では、認可を即座に取り消せる単一の秘密鍵が存在しなかったためだと説明しています。

同取引所はインシデントレポートでこの困難さを認め、「こうした課題により、不正な資産移動を完全に封じ込めるまでに要する時間が長引きました」と述べています。

最後の不正送金は2,961.9 ETHで、先にブロードキャストされて保留状態が続いていたものが、UTCの23時56分に確定しました。Binanceは、10月30日のUTC 00時10分に、悪意ある委任を解除しました。

11月3日付のレポートによると、約28億5000万ドルが凍結または阻止されました。ただし、この数字は照合作業や市場価格の変動によって変わる可能性があります。これとは別に、Binanceは、影響を受けたトークン資産の98%を10月31日までに補充したと述べています。

ただし、この補充は代替資産によるもので、盗まれた資金の98%を回収したわけではありません。Binanceは、影響を受けたシステムの再構築、侵害されたデバイスの交換、アクセス制御の強化を終えたとしています。調査は続いており、独立系のサイバーセキュリティ企業が調査結果を検証する予定です。

今回の事件は、北朝鮮が関与したとされる別の大規模な暗号資産窃取に続くものです。2025年2月には、攻撃者がBybitから約15億ドルを盗み出し、FBIは北朝鮮の犯行と断定しました。Hackread.comは、この窃取と、その後のLazarus Groupとの関連を示した調査を報じています。

StudySecurity

Binanceの調査結果について、FortraのプラットフォームおよびThreat Intelligence担当ディレクターであるジーナ・カルデリ氏は、侵害された従業員のデバイスがなぜ機密性の高いシステムへのアクセスを可能にしたのか、疑問を呈しました。

「気になるのは、その従業員の環境を取り巻くセキュリティ対策です。転職を考えていたエンジニアが悪意あるコーディング課題をダウンロードし、それが足掛かりとなって、最終的に同社のウォレットへのアクセスを許す攻撃につながりました。業務用PCで外部のコーディング評価を受けること自体にも精査が必要ですが、より大きな問題は、その侵害が他のシステムや機微な金融基盤へのアクセスをどのように可能にしたのかという点です」

（写真：Bastian Riccardi）