改ざんされたソフトウェアインストーラーと偽の採用面接によって、攻撃者はBinanceから約63億4,000万ドル相当のデジタル資産を盗み出すのに必要なアクセス権を手に入れました。
Binanceはインシデントレポートで、「これは単独の侵害や単純なフィッシング事案ではありませんでした」と述べています。
「攻撃者は、偽の採用面接によるソーシャルエンジニアリング、悪意あるソフトウェアのダウンロード、侵害された社内AIツール、エンドポイントの侵害、高度なトランザクション承認手法など、複数の手口を組み合わせました」
資金がBinanceのウォレットから流出したのは10月29日です。史上最大規模の暗号資産窃盗とみられます。Tether、Circleをはじめとするパートナーが協力し、最初の1日で盗まれた資金のうち約30億ドルを凍結しました。取引所はユーザーの損失をすべて補填すると約束しています。
その後FBIは、北朝鮮の犯行であると断定しました。2025年2月に15億ドルが流出したBybitへの攻撃も手がけた、TraderTraitorの仕業だとしています。Binanceは11月1日から、出金を段階的に再開しています。
6月に始まっていた侵害
6月、BinanceのWalletDevOpsチームに所属するエンジニアが、人気のAIコーディングツールを探していました。その過程で、Mac向けパッケージマネージャーであるHomebrewの改ざん版をインストールしてしまいます。社内のセキュリティチームは問題を検知し、このエンジニアの端末を交換して認証情報をリセットしました。ただ、その時点で攻撃者はすでに、彼の役割とウォレット基盤チームの同僚の名前を把握していました。
9月、攻撃者は偽の求人を持って再び現れました。今回の標的は別の社員で、ソフトウェアエンジニアです。レポートによると、このエンジニアは「正規の求職プラットフォームを通じて、プロジェクトディレクターを名乗る人物から連絡を受けました」。プラットフォーム上の彼のプロフィールには「Binanceでの経験が記載されて」おり、偽のディレクターは人事担当者との一次面接を設定しました。続く二次面接の相手は「架空の企業のCEOを名乗る人物」でした。
ライブのビデオ面接を終えると、評価の一環として、会社支給のコンピューターにコードリポジトリをダウンロードするよう求められました。このコードにはゼロデイマルウェアが隠されていました。実行されると、Homebrewディレクトリ内の正規のpyenv実行ファイルを悪意あるコピーにすり替え、それを使ってZシェル（zsh）プロセスを起動しました。取引所は「当時、このゼロデイマルウェアはエンドポイントのセキュリティ保護ツールに検知されませんでした」と認めています。
10月20日、攻撃者はこのコンピューターとBinance社内のAIツールを使い、さらに2人のエンジニアを掌握しました。6月に狙われたWalletDevOpsのエンジニアと、ウォレットソフトウェアのエンジニアです。Binanceのレポートによると、攻撃者はほどなく、このDevOpsエンジニアが「自分のコンピューターにコンテナ展開の権限トークンを保存していた」ことに気づきました。
窃盗当日、攻撃者はDevOpsエンジニアから盗んだ認証情報でウォレットソフトウェアエンジニアのコンピューターにログインしました。そしてコンテナを展開し、攻撃を開始する悪意あるスクリプトを実行しました。取引所の暫定的な調査結果では、社内のウォレット署名サービスに不正アクセスがあったことが示されています。
Binanceは次のように説明しています。「攻撃者はその後、この署名サービスを使ってEthereumのEIP-7702承認メカニズムを悪用しました。EIP-7702では、秘密鍵を公開することなく、アカウントが特定の実行権限をスマートコントラクトに委任できます。今回、攻撃者はこの仕組みを利用し、攻撃者が管理するスマートコントラクトにBinanceのホットウォレットに対する部分的な実行権限を与えました」
BinanceはBinance14ホットウォレットからEIP-7702の委任コードを翌日に削除しました。すでにブロードキャスト済みだった1件のトランザクションはその後に実行されましたが、以降、ほかの不正な送金は確認されていないとしています。
同社はその後、全従業員のデバイスをスキャンし、独立系のセキュリティ企業に自社の対応の検証を依頼しました。Binanceは「調査は継続中であり、調査結果はさらに独立した審査を受けます」と述べています。初期レポートを公開したのは「業界が共に学ぶことでセキュリティが向上するから」だと付け加えました。
北朝鮮のおなじみの手口
偽の求人で被害者を誘い、マルウェアをインストールさせる手口は、北朝鮮のハッカーにとって目新しいものではありません。今や彼らの常套手段になっています。Lazarusグループは、採用担当者を装って有名企業の職をちらつかせる長期キャンペーン「Operation Dream Job」でこの手口を使いました。
2025年、ESETの研究者らは、このキャンペーンの新たな波を追跡しました。中欧と南東欧の防衛関連企業3社が標的となり、なかにはドローン開発に関わる企業も含まれていました。求人にはマルウェア入りのPDFリーダーが添付されていました。今年8月にはCheck Pointが、Lazarusがトロイの木馬化したPDFソフトウェアとWindowsのゼロデイ脆弱性を偽の求人と組み合わせ、主に防衛分野を狙った攻撃を行っていたことを確認しています。
Microsoftでサイバーセキュリティ政策・外交担当のシニアディレクターを務めるKaja Ciglic氏は、4月にHelp Net Securityのインタビューで、北朝鮮のサイバープログラムはスパイ活動、戦争、組織犯罪の境界を曖昧にしていると語りました。
同氏は次のように説明しています。「北朝鮮のサイバー作戦は、国家が主導する犯罪組織と捉えるのが最も適切です。収益の確保が中核的な目的になっています。暗号資産の窃盗、サプライチェーンの侵害、不正なITワーカーの活用が、国家の優先事項に直接資金を提供しているのです」
「既存の法的枠組みでは対処が難しくなっています。スパイ活動、犯罪、武力紛争が明確に区別できることを前提としているためです。実際には、この融合に対応するには、金融規制当局、サイバー防衛担当者、国家安全保障当局が緊密に連携する必要があります。単一の領域だけを想定した対応では、もはや十分ではありません」
窃盗後の責任追及と教訓
BinanceのRichard Teng共同CEOはCNBCでこのインシデントについて語りました。Xでは、取引所は「現在98%補填済み」で、最新のProof of Reserves（準備金証明）の検証も完了したと投稿しています。これにより「ユーザーは、自分の資産が裏付けられていることを独自に確認する手段をもう一つ得られます」とのことです。さらに「Binanceはこの件の中心にいますが、これは業界全体の問題です」と付け加えました。
Binance共同創業者のChangpeng Zhao氏は、Xでより厳しい姿勢を示し、「恥ずべき詳細もあります」と述べました。
「この規模のハッキングは、深刻なセキュリティ上の失態があったことを意味します。ハッキングされないプラットフォームはありませんが、それを言い訳にしてはなりません」
同氏はさらに、公表された説明は、数百人の従業員とシステムを標的にした「数か月から数年に及ぶ長期的な攻撃とみられるものを単純化しており、最終的に侵害されたのはそのうちのごく一部でした」と続けました。株主の立場から、Binanceが「何がうまくいかなかったのかを透明性をもって明らかにし、責任を取り、あらゆる批判から学び、意味のある改善を行う」ことを期待しているといいます。
Binanceがこのマルウェアをゼロデイと呼んだことには、脆弱性アナリストのWill Dormann氏が厳しく反応しました。同氏はMastodonで次のように投稿しています。「違います。『ゼロデイマルウェア』などというものは存在しません。2人の従業員がマルウェアをダウンロードして実行するよう仕向けられ、それがたまたま、あなた方が信じていた魔法のような保護機能に検知されなかっただけです」
同氏は「『ゼロデイ』は、『私たちのせいではない』と言いたいときに言葉に振りかける調味料ではありません」と続けました。
FortraでセキュリティR&D担当アソシエイトディレクターを務めるTyler Reguly氏は、次のように述べています。「新入社員を採用するコストは、既存の社員をつなぎとめるコストよりはるかに高いと、昔から言われてきました。Binanceの場合、そのコストは天文学的に高かったようです。『静かな退職』が存在する今の時代、従業員が勤務時間中に面接を受けていたとしても、驚くには当たりません」
同氏は次のように締めくくりました。「組織は、適切な管理策を講じてこれに対抗する必要があります。特に、会社のノートPCでダウンロードや実行できるものに関する管理と、ユーザーに付与する権限の管理が重要です」
翻訳元: https://www.helpnetsecurity.com/2026/11/04/binance-hack-north-korea-fake-job-interview/
