Binanceは2026年、北朝鮮に関連するとみられるサイバー脅威57件を検知・阻止した。一方、偽の採用面接を利用した攻撃では、エンジニアの端末に悪意あるプログラムが入り、攻撃者が社内権限を段階的に取得。最終的にウォレット署名基盤にアクセスした。11月3日に公表されたセキュリティ報告書が攻撃の経緯を明らかにした。米連邦捜査局（FBI）は10月31日、10月29日に発生した約63億4,000万ドル相当の暗号資産盗難を、北朝鮮の「TraderTraitor」作戦に結び付けている。脅威を把握していても、採用プロセスや開発環境が社内システムへの侵入口となり得ることが浮き彫りになった。
改ざんされたインストーラーから署名基盤へ
Binanceの報告によると、関連する活動を最初に確認したのは6月だった。ウォレット基盤を担当するエンジニアが、人気のAIコーディングツールを導入する際、改ざんされたHomebrewインストーラーをダウンロードした。セキュリティチームは異常を検知して端末を交換し、関連する認証情報も更新したが、攻撃者はすでに本人の担当業務や同僚に関する情報に触れていた。
9月には、攻撃者が正規の採用プラットフォームを通じて別のソフトウェアエンジニアに接触した。架空の会社のプロジェクト責任者を名乗り、続いて人事担当者を称する人物がビデオ面接を実施。本人の写真や動画を含むSNSアカウントも示し、信頼性を装った。2回目の面接では、別の人物が同社の最高経営責任者（CEO）を名乗った。
面接の終盤、エンジニアは業務用PCにコーディングテストをダウンロードするよう求められた。リポジトリは通常の開発プロジェクトに見えたが、インストール時に悪意あるプログラムが実行され、正規の開発ツールのコンポーネントを置き換えたうえで、攻撃者の管理するサーバーに接続した。Binanceによれば、このマルウェアは未知のもので、端末向けセキュリティソフトをすり抜け、侵入の痕跡も隠していた。
10月20日までに攻撃者は、侵害済みの端末と社内AIツールを使って、6月の事案で標的となった社員を含むエンジニア2人の端末をさらに掌握した。その後、コンテナ展開用の権限トークンを取得。9日後には盗んだ認証情報で悪意あるコンテナを展開し、Binanceのウォレット署名基盤に侵入した。
Binanceによると、攻撃者は通常の出金手続きを迂回して不正送金を実行し、複数のブロックチェーン上の資産が被害に遭った。同社は、阻止した57件のうち偽の面接が関係した件数や、10月の攻撃者と直接結び付く事案がどれだけあったかは明らかにしていない。
Binanceが公表した対応策
Binanceの共同CEO、何一氏は、同社のセキュリティチームが2026年に北朝鮮関連と疑われる脅威57件を発見し、阻止したと説明した。手口には、偽の採用面接、一般的な開発ツールを装うマルウェア、改ざんされたソフトウェアパッケージやブラウザー拡張機能、偽のビデオ会議アプリのほか、認証情報の窃取やリモートアクセス型マルウェアの展開を狙うソーシャルエンジニアリングが含まれるという。
何氏は、多くの攻撃を阻止した一方で、今回のように重大な結果を招く攻撃を防げなかったことを認め、「起きるべきではなかった」と述べた。
事案後、Binanceは影響を受けた社員の端末を交換し、漏えいした認証情報を無効化したうえで、影響を受けたウォレット基盤を再構築した。開発環境の保護を強化し、AIを用いた行動監視も拡大する方針を示した。ただし、これらの措置が今回悪用された採用面接の経路にどう対処するのか、報告書では具体的に説明していない。
採用を装う手口、北朝鮮関連の既知の攻撃と共通
今回の攻撃には、セキュリティ研究者や米当局が長年追跡してきた北朝鮮関連のサイバー活動と共通する点がある。FBIは2024年9月、北朝鮮のハッカーが個人に合わせた求人、作り込まれた偽の身元、継続的なやり取りを使い、暗号資産企業への侵入を図っていると警告した。技術力の高い従業員も、職歴に合わせて設計された詐欺の標的になり得るとしている。
2026年6月には、Kudelski Securityの研究者が「Contagious Interview」と呼ばれる活動を記録した。攻撃者はLinkedIn、WhatsApp、Discordで採用担当者になりすまし、開発者に悪意あるコードを実行させていた。9月にはAtlassianの研究者が、実績のある開発プラットフォーム上に偽の技術課題を置き、通常のソフトウェアプロジェクトに見せかけて悪意ある命令を隠す手口を確認した。
一連の事例では、採用手続きや開発者向けツールを通じて信頼を築き、企業内部のシステムへアクセスを広げる手法が使われている。Binanceの説明からは、6月の端末感染が確認された後も、社員間のつながりや社内ツールを利用して攻撃者が支配範囲を広げたことが分かる。同社は阻止した57件の内訳や、今回どの防御策が機能しなかったかを公表していない。確認されているのは、攻撃がウォレット署名基盤に及び、複数のブロックチェーン上で不正送金が発生したことだ。