バイナンス、約63億ドル流出の初期調査を公表 偽の採用面接と社内AI悪用が侵入経路に

バイナンスが公表した流出事件の初期調査報告の中身

バイナンスは11月3日、10月29日（UTC）に発生した大規模な資産流出について、初期調査の結果をX（旧Twitter）などで公表しました。あたらしい経済やBITTIMESの報道によると、影響額は約63.4億ドル相当で、このうち約28.5億ドル相当は凍結または移転を阻止できたとしています。ただし、いずれも初期調査に基づく数値で、最終的な損失額は確定していません。

報告によると、日本時間10月30日5時05分から5時09分（UTC29日20時05分〜20時09分）のわずか4分間に、5つのホットウォレット（取引所が入出金用にオンラインで管理するウォレット）から計2億3,346万XRPが攻撃者のアドレスへ送られました。続いてソラナ（SOL）とオプティミズム（OP）のウォレットから約97万500SOLと4,420万OP、別のウォレットから1万8,270BTCが移されたと説明しています。

偽の採用面接と社内AIツール、5カ月にわたる侵入経路

報告によれば、攻撃の起点は2026年6月です。ウォレットの開発・運用を担うエンジニアAが、AIコーディングツールを導入しようとして検索経由で改ざんされたHomebrew（ソフトウェア導入用の管理ツール）のインストーラーを入手しました。セキュリティチームは異常を検知して端末を交換しましたが、Aの役割や同僚の情報は攻撃者に把握されていたといいます。

9月には別のエンジニアBが、正規の求人プラットフォーム上で架空の採用担当者から接触を受けました。複数回のオンライン面接で信頼を得た攻撃者は、採用課題を装った悪意あるコードを業務用PCにダウンロードさせました。BITTIMESによると、マルウェアは開発ツール「pyenv」を不正なものに置き換えて外部サーバーと通信しており、当時の端末保護ツールでは検知できなかったとバイナンスは説明しています。

10月20日、攻撃者はBのPCと社内AIツールを使い、AとエンジニアCの端末を操作できる状態にしました。さらにAの端末から、内部システムへコンテナを配置する権限を持つ認証トークンを入手しています。10月29日にはCのPCにログインして悪意あるスクリプトを実行し、ウォレット署名サービスを悪用して通常の出金手続きを経ずに資産を移したとされます。なお、社内AIツールが具体的にどう悪用されたかは公表されていません。

EIP-7702悪用で出金停止後も流出が止まらなかった理由

イーサリアム（ETH）上では、EIP-7702と呼ばれる仕組みが悪用されました。これは通常のウォレットが、スマートコントラクト（ブロックチェーン上で自動実行されるプログラム）に処理を委任できるようにする仕様です。攻撃者は50件の署名付き認可データを使い、バイナンスのウォレットの処理を自らが管理するコントラクトへ委任させたと報告されています。

バイナンスは出金やホットウォレットのサービスを停止しましたが、不正な委任はチェーン上に記録されていたため、停止だけでは解除できませんでした。対象のウォレットはMPC（マルチパーティ計算、署名に必要な情報を複数の当事者で分散管理する方式）を採用しており、単一の秘密鍵で即座に取り消すことができず、専用の解除手順を開発する必要があったといいます。

最後の不正送金となった2,961.9ETHは、日本時間10月30日8時56分（UTC29日23時56分）に確定しました。同9時10分（UTC0時10分）にはホットウォレット「Binance14」からゼロアドレスへの新たな認可を実行し、不正な委任を無効化しています。以降、新たな不正送金は確認されていないとしています。署名がどのような経緯で生成されたかは明らかにされていません。

北朝鮮の関与と利用者への補填、業界が注視する論点

あたらしい経済によると、FBI（米連邦捜査局）は10月31日、今回の攻撃を北朝鮮のサイバー攻撃活動「TraderTraitor」によるものと発表しました。BITTIMESは、同グループが2025年2月のBybitからの約15億ドル相当の窃取にも関与したとFBIが特定していたと伝えています。バイナンスは今年、北朝鮮との関連が疑われる攻撃57件を阻止していたことも明らかにしました。

偽の技術面接を使う手口は以前から警戒されてきました。日本の警察庁も9月、北朝鮮を背景とするグループ「WaterPlum」が偽の面接やコーディング課題で開発者を感染させていると発表しています。利用者への影響では、バイナンスは損失を利用者に負担させず全額補填する方針で、影響を受けたトークン資産の98%を補充済みとしています。これは取引所の不足分を埋める措置で、盗難資産の回収とは別物である点には注意が必要です。

第三者レビューなど今後の再発防止策と確認ポイント

バイナンスは侵入経路を遮断し、影響を受けたウォレットシステムと社内AIツールを再構築したと報告しています。関連端末の交換や認証情報の無効化、全従業員端末のセキュリティ強化も実施しました。今後は独立した専門家による第三者レビューで調査結果と対策を検証し、AIを使った脅威検知への投資や、業界と連携したAIセキュリティ研究基金の設立を進めるとしています。

調査は継続中で、最終的な損失額や社内AIツールの悪用方法、署名生成の経緯など未公表の点が残ります。第三者レビューの結果や、凍結された資産の扱い、残る流動性の低い資産の補充状況が、今後の確認ポイントになります。