Binanceは、先週発生した 63億4000万ドルの窃取事件 について、ハッカーが数カ月に及ぶ攻撃キャンペーンの末、同社のウォレット署名システムに到達していたことを明らかにしました。この攻撃では3人のエンジニアのコンピューターが侵害され、うち1人は偽の採用面接を通じて狙われました。
同取引所は11月3日、インシデントの第一報を公表しました。盗まれた資産のうち約28億5000万ドルは、凍結または差し止められています。
Binanceは「このようなことは起こってはならないことでした。ユーザー、パートナー、そして業界全体に不安と混乱をもたらしたことをお詫びします」とコメントしています。
FBIは、この窃取事件を北朝鮮政府の支援を受けるハッカー集団TraderTraitorの犯行だと断定しています。
攻撃の経緯
Binanceによると、侵入は段階的に進行し、偽のリクルーター、悪意あるダウンロード、乗っ取られた従業員のコンピューター、そして社内のAIツールが悪用されました。同社は「単発の侵害や、単純なフィッシング事案ではありませんでした」と説明しています。
攻撃が始まったのは6月です。Wallet DevOpsのエンジニアが、人気のAIコーディングツールを検索エンジンで探していた際、改ざんされたHomebrewのインストーラーをダウンロードしてしまいました。
Binanceのセキュリティチームはこれを検知し、このエンジニアの端末を交換して関連する認証情報をリセットしました。しかしその時点で、攻撃者はこのエンジニアの業務内容や、ウォレットインフラのチームで誰と仕事をしているかという情報をすでに握っていました。
9月には、2人目のエンジニアのもとにプロジェクトディレクターを名乗る人物が接触しました。このエンジニアは2回の面接に招かれ、1回目は偽の人事担当者、2回目は実在しない企業のCEOを名乗る人物が相手でした。
1回目の面接で、人事担当者になりすました人物は、親しみを持たせるために個人的な写真や動画を載せたSNSアカウントを共有しました。2回目の面接はチャットアプリ上で行われ、業務用コンピューターにコーディングの「課題」をダウンロードするよう求められて終わりました。
この課題には悪意あるコードリポジトリが仕込まれており、エンジニアがセットアップした途端に実行されました。マルウェアは、正規の開発者ツールのコンポーネントを偽物にすり替え、攻撃者が運用するサーバーへの通信経路を開きました。
Binanceは「このゼロデイマルウェアは、当時のエンドポイントセキュリティ製品では検知されませんでした」と述べています。
10月20日、攻撃者は感染したマシンと社内のAIツールを使い、1人目のエンジニアのシステムと、3人目のウォレットエンジニアのシステムを掌握しました。AIツールがどのように使われたのかは、報告書では説明されていません。
1人目のエンジニアのコンピューターには、コンテナのデプロイを可能にするトークンが保存されていました。10月29日、攻撃者は3人目のエンジニアのコンピューターにサインインし、1人目から奪った認証情報を使ってコンテナをデプロイして、悪意あるスクリプトで攻撃を開始しました。
Binanceによると、攻撃者は社内のウォレット署名サービスへの不正アクセスを悪用し、ホットウォレットからXRP、SOL、OP、BTCを流出させました。同じサービスを使ってイーサリアムのEIP-7702の仕組みも悪用し、攻撃者の管理下にあるコントラクトにホットウォレットの部分的な実行権限を与えていました。
同社は「しかし、出金を停止するだけでは、すべての不正な資産移動を止めることはできませんでした。悪意あるEIP-7702の認可はオンチェーン上に存在し、Binanceの通常の出金基盤とは独立して動作していたためです」と説明しています。
このホットウォレットはマルチパーティ計算（MPC）で保護されていました。そのためBinanceには、委任を即座に取り消すために使える単一の鍵がありませんでした。最後の不正送金が確定したのはUTCの23時56分で、委任が解除されたのは午前0時過ぎです。
Binanceは、影響を受けたウォレットシステムとAIツールを再構築し、端末を交換したうえで、エンジニアの認証情報とトークンを無効化したとしています。独立系のセキュリティ企業にインシデントの検証を依頼しているほか、ブロックチェーン環境でのAIセキュリティに焦点を当てた研究基金の立ち上げも進めています。
同取引所は、今年だけで北朝鮮との関連が疑われる脅威57件を検知し、阻止したことも明らかにしました。
その他の動き
北朝鮮は、この窃取事件をTraderTraitorの犯行とするFBIの見解を否定しました。金正恩氏の妹である金与正氏は、国営メディアが伝えた声明で「世界各地で起きるあらゆるサイバー犯罪をわが国の仕業であるかのように、米国が国際世論を欺くのは、DPRKに対する重大な政治的挑発です」と述べました。
[ 関連記事：North Korea Launches Missiles Toward the Sea to Protest Binance Hack Claims ]
Binanceは、10月31日時点の準備金スナップショットについて、ゼロ知識証明も完了させました。これにより、主要10種類のトークンの保有者は、自身の残高が少なくとも1対1で裏付けられていることを検証できます。共同CEOのリチャード・テン氏は、影響を受けたトークンの98%がすでに補填されたと述べています。
テン氏は11月3日、出金は全般的に再開されたとも説明しました。同取引所は11月1日から段階的に再開を始めていました。
資金洗浄の面では、Ellipticが、盗まれた資金は4日足らずで11のブロックチェーンにまたがる約1万2000のウォレットを経由したと指摘しています。自動化は使われていたものの、AIエージェントが判断を下している形跡はないといいます。11月3日時点で、窃取に関連するアドレスには約31億8000万ドルが残っていました。これとは別に、Chainalysisは、無関係な技術的問題をきっかけとしたTHORChainの緊急停止が、資金洗浄を一時的に遅らせたと明らかにしています。
