虚偽の採用フィッシング？Binanceが北朝鮮関連攻撃の全容を公開

原文来自Binance公式

2026年10月29日、Binanceで重大かつ高度に複雑なセキュリティインシデントが発生しました。これは本来起こるべきではない事態でした。本件によりユーザー、パートナー、そして業界全体にご心配と影響、不確実性をもたらしたことについて、深くお詫び申し上げます。

ユーザーの保護は当社の最優先の責任です。盗まれた資金による財務的影響はBinanceが負担し、ユーザーに転嫁することはありません。損失額の100%を超える資金を用意し、損失の補填に充てています。2026年10月31日時点で、影響を受けたトークン資産のうち98%が補填済みであり、当社の準備金証明ページで確認できます。まだ補填されていない流動性の低い資産については、現在購入を進めています。

本件は約63億4,000万米ドル相当のデジタル資産に影響を及ぼしました。本アップデート時点で、約28億5,000万米ドル相当のデジタル資産が凍結または遮断されており、具体的な金額はなお確認が必要で、市場価格の変動により変動する可能性があります。

当社は直ちに行動を起こして事態を封じ込め、関連システムを強化しました。今回の攻撃で悪用されたことが確認された侵入経路は閉鎖済みです。攻撃経路に関与したシステムは再構築または交換しました。さらに、より厳格なデバイス管理を実施し、ウォレットサービスのリスク管理を強化し、AIベースの異常行動検知を拡大しました。

これは当社の初期報告書であり、現時点で把握している情報と完了した改善措置について説明するものです。調査は継続中であり、調査結果はさらに独立した審査を受けます。悪意のある行為者が関連情報を利用して攻撃を計画するのを防ぐため、一部の技術的詳細は引き続き機密として扱います。当社は独立したセキュリティ企業にさらなる審査を依頼しています。

連邦捜査局（FBI）が発表した最新情報によると、朝鮮民主主義人民共和国が本件の責任を負うとされています。

当社がこの初期報告書を公表するのは、業界全体で共に学ぶことがセキュリティ水準の向上につながると考えるためです。

10月29日に発生したこと

攻撃は複数のネットワークに急速に広がりました。

攻撃者は内部ウォレット署名サービスへの不正アクセスを利用し、通常の出金フローとは別にトランザクションを開始しました。

UTC時間20:05から20:09の間に、5つのBinanceホットウォレットから攻撃者が管理するアドレスへ2億3,346万XRPが送金されました。

SolanaおよびOptimism上のBinanceホットウォレットから、攻撃者が管理するアドレスへ約970,500 SOLおよび4,420万OPが送金されました。

その後、Binanceは大口送金に関する内部アラートを受信し、直ちに調査を開始しました。

Binanceホットウォレットから攻撃者が管理するアドレスへ18,270 BTCが送金されました。

続いて、攻撃者は署名サービスの悪用によりイーサリアムのEIP-7702承認メカニズムを利用しました。EIP-7702は、アカウントが秘密鍵を露出することなく、特定の実行権限をスマートコントラクトに委任することを可能にします。本件では、攻撃者がこのメカニズムを利用して、自身が管理するスマートコントラクトにBinanceホットウォレットの一部の実行権限を付与させました。

Binanceは直ちに複数の封じ込め措置を開始しました。これには、さらなる資産流出を制限するための出金一時停止、影響を受けたトークンの凍結に向けたパートナーとの調整、不正な権限を失効させるための措置が含まれます。これらの取り組みにより、総額28億5,000万米ドル相当の資産が凍結されました。

しかし、出金の一時停止だけではすべての不正な資産移動を阻止することはできませんでした。悪意のあるEIP-7702承認はすでにオンチェーンに存在しており、Binanceの通常の出金インフラとは独立して機能します。攻撃者は50件の署名済みトランザクションを送信してアカウントのnonceを操作し、悪意のある委任承認を確立しました。承認が確立されると、攻撃者はBinanceの通常の出金インフラとは独立して資産の移動を継続できるようになりました。Binanceは追加のトランザクションを通じてこれらのオンチェーン承認を失効させる必要がありました。

封じ込めプロセスには他の技術的複雑さも伴いました。このホットウォレットはマルチパーティ計算（MPC）を使用しているため、悪意のあるEIP-7702承認を即座に失効させるために使用できる単一の秘密鍵は存在しませんでした。そのため、チームは専用の失効プロセスを策定・実行する必要があり、これには追加の時間を要しました。さらに、出金の一時停止やホットウォレットサービスの停止は、既存のオンチェーン承認を自動的に無効にするものではありません。

これらの課題により、不正な資産移動を完全に封じ込めるまでに要する時間が延びました。当社はインシデント対応プロセス、署名ポリシーの適用範囲、ホットウォレットの管理措置をレビューしており、将来的に脅威へ迅速に対応する能力をさらに向上させる機会を模索しています。

最後の不正送金は2,961.9 ETHに関わるもので、UTC時間23:56にオンチェーンで完了しました。このトランザクションは以前にブロードキャストされ保留中となった後、最終的に確認されたものです。その後、他の不正送金は確認されていません。

2026年10月30日UTC時間00:10、BinanceはBinance14ホットウォレットからゼロアドレスに対して新たな承認を実行し、EIP-7702の委任コードをクリアしました。

攻撃の準備

当社の現時点の調査によると、これは単一の孤立したセキュリティ上の脆弱性や単純なフィッシング事案ではなく、複雑な多段階の作戦でした。攻撃者は、偽の採用面接を通じたソーシャルエンジニアリング攻撃、マルウェアのダウンロード、内部AIツールへの侵入、端末への侵入、高度なトランザクション承認手法の採用など、複数の技術を組み合わせて使用しました。

• 2026年6月——サプライチェーン攻撃。Wallet DevOpsのエンジニアAは、人気のAIプログラミングツールを検索エンジンで検索した後、そのツールをインストールするために改ざんされたHomebrewインストーラをダウンロードしました。当社のセキュリティチームは異常を検知した後、事前の安全措置としてデバイスを交換し、関連するすべての認証情報をローテーションしました。しかし、エンジニアAの身元およびウォレットインフラチームの同僚に関する情報はハッカーに露出していました。
• 2026年を通じて、Binanceのセキュリティチームは北朝鮮に関連すると疑われる57件のサイバー脅威事案を検知し、阻止しました。これらの攻撃は、国家支援の行為者が暗号資産業界に対して継続的な脅威となっていることを示しています。彼らが使用する手法には、偽の求人面接、人気の開発ツールに偽装したマルウェア、侵害されたソフトウェアパッケージやブラウザ拡張機能、偽のビデオ会議アプリ、認証情報の窃取やリモートアクセスマルウェアの配備を目的としたソーシャルエンジニアリング活動などが含まれます。
• 2026年9月——ソーシャルエンジニアリング攻撃。ソフトウェアエンジニアBは、正規の求人プラットフォームを通じて、プロジェクトディレクターを自称する人物から連絡を受けました。ソフトウェアエンジニアBの同プラットフォーム上のプロフィールには、Binanceでの勤務経験が記載されていました。プロジェクトディレクターを自称する人物は、人事担当者を名乗る人物による一次面接を設定し、その後、架空の企業の最高経営責任者を自称する人物による二次面接を設定しました。
• 一次面接では、人事担当者を自称する人物がソフトウェアエンジニアBとリアルタイムのビデオ面接を行いました。信頼を築くため、面接者は同プラットフォームに投稿した個人の写真や動画を含む自身のソーシャルメディアアカウントを共有しました。この手法は、これまでに見られたソーシャルエンジニアリング攻撃よりも高度かつ欺瞞的です。
• 二次面接は人気のソーシャルチャットアプリで行われました。面接の終盤、エンジニアBは悪意のあるコードリポジトリを含む「課題」を業務用コンピュータにダウンロードするよう求められました。そのコードリポジトリ内の悪意のあるコードはセットアップ過程中に実行され、一連の不正な活動を開始しました。
• このマルウェアは複雑な難読化および回避技術を採用しており、正規の開発ツールのコンポーネントを悪意のあるバージョンに置き換えてコマンドを実行し、攻撃者が管理する外部サーバーとの通信を確立しました。当時、端末セキュリティ保護ツールはこのゼロデイマルウェアを検知できませんでした。攻撃者はまた、悪意のある活動を隠蔽し侵入の痕跡を消去する措置を講じており、検知とその後の調査をより困難にしました。
• スクリプトは難読化技術を適用してセキュリティ検知を回避し、以下の手順を実行しました。

作成 /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

変更 pyenv_ → 3,414 B

削除 .../libexec/pyenv (3,344 B) ← 有効なpyenvを削除

名前変更 pyenv_ → pyenv (3,414 B) ← 悪意のあるバージョンに置き換え

削除 /opt/homebrew/bin/pyenv (3,414 B)

ln（新しいシンボリックリンクを作成） + zshを起動

• 2026年10月20日——内部AIツールを足がかりとして悪用。攻撃者はエンジニアBの侵害されたコンピュータを利用し、内部AIツールを通じてWallet DevOpsエンジニアAと別のウォレットソフトウェアエンジニアCを掌握しました。攻撃者はほどなくして、Wallet DevOpsエンジニアAのコンピュータ上にコンテナデプロイ権限トークンがあることを発見しました。
• 2026年10月29日——ウォレット署名操作への侵入。10月29日17:15から19:56の間に、攻撃者はソフトウェアエンジニアCのコンピュータにログインし、Wallet DevOpsエンジニアAから窃取した認証情報を使用してコンテナをデプロイし、悪意のあるスクリプトを起動して攻撃を開始しました。

当社が実施した措置

2026年11月3日時点で、当社は以下の措置を実施しました：

• 影響を受けたウォレットシステムを新しい環境で再構築。
• 影響を受けた内部AIツールを再構築し、アクセス制御を強化。
• 影響を受けたデバイスを交換。
• 影響を受けたエンジニアの関連認証情報およびトークンを無効化。
• 全従業員のデバイスに対する強化セキュリティスキャンを完了。
• AIベースの異常行動検知を強化。
• ウォレットサービスのリスク管理を強化。
• 法執行機関、ブロックチェーンインテリジェンス企業、業界パートナーと協力して影響を受けた資産を追跡・凍結。

調査の進展に伴い、当社は各措置を引き続き強化していきます。当社は複数のセキュリティ対策を実施済みであり、実施中です。悪意のある行為者が関連情報を利用して当社のセキュリティを損なうのを防ぐため、一部の措置は引き続き機密として扱います。

今後の措置

当社は以下の措置を直ちに講じています。

1. 独立したサイバーセキュリティ審査

当社は独立した第三者のサイバーセキュリティ専門家に依頼し、本件の全面的な審査、当社の調査結果の検証、および補足措置の提案を行っています。審査の範囲と結果は、当社が継続的に進める是正措置の根拠となります。

2. AIセキュリティと予防への投資拡大

当社は、AIを活用した検知、端末保護、開発環境のセキュリティ、行動異常の監視への投資を拡大しています。

3. セキュリティ研究基金と業界イニシアチブ

当社は、大手AI企業、業界関係者、セキュリティ企業と協力して、セキュリティ研究基金の設立を準備し、ブロックチェーン環境におけるAIセキュリティに焦点を当てた専門的なイニシアチブを展開しています。

当社は引き続き最新情報を積極的に共有していきます。