バイナンスの共同CEO、Richard Teng氏は、攻撃者が偽の開発ツールや採用面接、マルウェア、社内AIツールを利用してシステムに侵入し、10月29日の攻撃でウォレット基盤から63.4億ドル相当の暗号資産を窃取したと明らかにした。同社によると、影響を受けた資産の98％は補填済みで、残る分についても対応を進めている。流動性の低い資産の補填には時間がかかっているという。
今回の事件を受け、大手中央集権型取引所のウォレット承認手続きや従業員端末のセキュリティ、社内ツールのアクセス権管理に関心が集まっている。バイナンスは影響を受けたウォレットシステムと社内AIツールを再構築し、対応全体を独立した専門家に審査してもらう方針だ。
攻撃の準備は6月に始まったと説明
バイナンスが火曜日に公表したセキュリティ報告書によると、攻撃の準備は6月にさかのぼる。同社のウォレット部門でDevOpsを担当するエンジニアが、検索エンジンで人気のAIコーディングツールを探し、改ざんされたHomebrewのインストーラーをダウンロードしたという。
同社は不審な動きを確認した後、予防措置として当該エンジニアの端末を交換し、関連する認証情報も更新した。ただし報告書は、こうした措置を取る前に、攻撃者が本人の職務情報に加え、ウォレット基盤チームの同僚に関する情報も把握していたと指摘している。
Teng氏によれば、攻撃者は数カ月かけてアクセス経路を築いた。同氏は、事件が従業員1人のノートPCだけに起因するとの見方を否定し、攻撃者は9月に別のエンジニアも標的にしたと述べた。
偽の採用面接で悪意あるコードを持ち込む
Teng氏によると、攻撃者は9月、採用担当者を装ってエンジニアに複数回の面接を行った。その過程で渡されたコーディング課題には、セキュリティ対策を回避することを狙ったマルウェアが仕込まれていたという。攻撃者はその後、バイナンスの社内AIツールを使って活動範囲を広げ、ウォレット取引の承認システムを突破できるアクセス権を得たとされる。
攻撃は単一の端末を狙うだけでなく、従業員との接触、ソフトウェアのインストール、社内システムの権限を順に利用して進められた。バイナンスは、関係するエンジニアの端末や認証情報、トークンを無効化し、従業員端末のセキュリティスキャンも拡大したとしている。
影響資産の98％を補填、一部出金を制限
バイナンスは影響資産の98％を補填し、残る資産も調達中だと説明した。流動性の低い銘柄も含まれる。事件後、同社は一時、一部の出金を制限した一方、顧客の損失を負担すると表明し、自社の準備資産を使って不足分を補った。
Tether、Circle、Rippleなどの業界関係者は、バイナンスなどと連携し、約30億ドル相当の資産を凍結した。一方、盗まれた資金の一部はマネーロンダリング経路を通じて移動した。Coinbaseは、影響を受けたウォレットに向かう送金を阻止し、バイナンスに直接支援を提供したとしている。
Teng氏は攻撃を北朝鮮に直接帰属させることは避けたが、米連邦捜査局（FBI）が事件を北朝鮮のハッカーおよびTraderTraitorと関連付けていることは認めた。攻撃主体の特定は引き続き調査中で、バイナンスは法執行機関や業界各社と協力し、盗まれた資金の追跡と凍結を進めている。
独立専門家が対応を審査へ
Teng氏は、バイナンスが事件への対応を独立した専門家に審査してもらうと述べた。調査が続く間、防御態勢の強化も進める。影響を受けたウォレットシステムと社内AIツールは再構築し、対象端末を交換したほか、関連する認証情報とトークンを無効化。従業員端末のスキャン範囲も広げた。
今回の攻撃は、暗号資産市場における中央集権型取引所への信頼に影響を及ぼした。バイナンスは財務基盤が健全だとし、脆弱性の特定、残る資産の回収、再発防止を優先課題に挙げている。今後は、資産回収の進捗や未回収資金の行方、独立審査の結果が焦点となる。