バイナンス巨額流出「偽採用面接から内部AI侵害」5カ月の攻撃経路を公表

Googleニュースで「優先ソース」に登録すると、
BITTIMESの記事が見つかりやすくなります

巨額流出、偽面接と改ざんツールが発端

大手仮想通貨取引所Binance（バイナンス）は2026年11月3日、約63.4億ドル（約9,510億円）相当の仮想通貨が流出した10月29日のハッキング事件について初期調査報告を公表し、改ざんされた開発ツールや偽の採用面接を通じた従業員端末への侵入から、不正送金に至るまでの約5カ月にわたる攻撃の経緯を明らかにしました。

同年6月には従業員が改ざんされた開発ツールをダウンロードし、9月には別の従業員が偽の採用面接を通じて悪意あるプログラムを業務用端末にダウンロードさせられるなど、複数の従業員が標的となっています。

攻撃者はその後、侵害した端末と同社の内部AIツールを足がかりにアクセス範囲を拡大し、10月29日にウォレットの署名サービスを悪用して複数のブロックチェーンから仮想通貨（暗号資産）を流出させました。

この一連の攻撃について、FBI（米連邦捜査局）は北朝鮮による犯行と特定しており、バイナンスも調査報告でその判断を明記しています。

被害への対応では、約28.5億ドル相当の資産が凍結・差し止められたほか、同社はユーザーの損失を全額負担する方針を示し、10月31日時点で被害対象となったトークン資産の98%を補充したと説明しています。

バイナンスの署名基盤侵害、流出阻止までの経緯

6月に改ざんツール、9月に偽採用面接

同調査によると、2026年6月にウォレット運用を担当するエンジニアAが、AIコーディングツールを導入するために検索エンジン経由で改ざんされたHomebrewインストーラーをダウンロードし、セキュリティチームが異常を検知して端末交換と認証情報の更新を実施しました。

6月の侵害ではエンジニアAの職務や関連チームの情報が攻撃者に露出しており、9月には別のソフトウェアエンジニアBも偽の採用面接を利用した攻撃の標的となりました。

攻撃者は求人プラットフォームで架空の「プロジェクトディレクター」を名乗って接触し、人事担当者やCEOを装った面接を通じて信頼関係を築いた後、「課題」と称する悪意あるコードリポジトリをエンジニアBの業務用コンピュータにダウンロードさせています。

このリポジトリに仕込まれたマルウェアは、正規の開発ツール「pyenv」を悪意あるコードに置き換えて外部サーバーとの通信を確立するもので、当時のエンドポイント保護ツールでは検知できなかったとバイナンスは説明しています。

内部AIを足がかりに複数チェーンから流出

10月20日には、攻撃者がエンジニアBの侵害されたコンピュータと内部AIツールを利用してエンジニアAとエンジニアCの端末へのアクセスを獲得し、エンジニアAの端末からコンテナのデプロイ権限を持つトークンを発見しています。

10月29日にはエンジニアCの端末にログインし、エンジニアAから窃取した認証情報を使ってコンテナをデプロイした後、悪意あるスクリプトを実行してウォレット署名サービスへの不正アクセスに至りました。

その後、30日5時05分〜5時09分（日本時間）のわずか4分間に5つのホットウォレットから計2億3,346万XRPが流出し、続いてソラナ(SOL)とオプティミズム（OP）のウォレットから約97万500SOLと4,420万OP、さらに1万8,270 BTCが攻撃者の管理下に移されました。

攻撃者はさらに、イーサリアム(ETH)のアカウント権限委任機能「EIP-7702」を悪用し、自身が管理するスマートコントラクトにバイナンスのホットウォレットの一部実行権限を付与することで、通常の出金処理とは独立して資産を移動できる状態を作り出しています。

50件の署名操作、出金停止後も流出

バイナンスは不正送金を検知して出金停止や資産凍結に着手したものの、攻撃者が50件の署名トランザクションを通じてオンチェーン上に不正な委任認可を設定していたため、通常の出金停止だけでは資産流出を完全に阻止できなかったと説明しています。

対象のホットウォレットには複数の当事者で署名を管理するマルチパーティ計算（MPC）方式が採用されており、不正認可を即座に取り消せる単一の秘密鍵が存在しなかったことから、同社は専用の取り消し手順を開発する必要に迫られました。

最後の不正送金となる2,961.9ETHは30日8時56分（日本時間）にオンチェーンで確定し、9時10分にはBinance14ホットウォレットからゼロアドレスへの新規認可が実行され、EIP-7702の不正な委任コードが無効化されています。

不正送金の封じ込め後、バイナンスは影響を受けたウォレットシステムと内部AIツールを再構築し、関連デバイスの交換や認証情報の無効化、全従業員端末の強化スキャンを完了したと報告しています。

北朝鮮系攻撃が再び、バイナンスが対策強化

北朝鮮のサイバー犯罪活動「TraderTraitor」は2025年2月にも仮想通貨取引所Bybitから約15億ドル相当の仮想通貨を窃取したとされており、FBIは当時の公式警告で北朝鮮による犯行と特定しています。

今回のバイナンス事件はBybit事件の約4.2倍に相当する被害規模に達しており、バイナンスが2026年に北朝鮮との関連が疑われる57件のサイバー脅威を阻止していたにもかかわらず、約5カ月にわたる攻撃を防げなかったことも明らかになりました。

同社はAIを活用した異常行動検知やウォレットサービスのリスク管理をすでに強化しており、今後は独立した第三者の専門家による包括的なセキュリティレビューを通じて追加対策を検討するとともに、開発環境の保護やAIを利用した脅威検知への投資を拡大する方針を示しています。

※価格は執筆時点でのレート換算（1ドル=158.52 円）

>>ハッキング関連の最新ニュースはこちら

Source：Binance X投稿
サムネイル：Shutterstockのライセンス許諾により使用