作者：Nancy、PANews
10月30日、突如として発生したセキュリティ上の問題が暗号資産市場の平穏を破った。
世界最大の暗号資産取引所バイナンスで大規模な異常資金流出が発生し、その金額は約58億ドルに達した。これを受け、市場のパニックが急速に広がり、暗号資産価格は一斉に下落した。現在、緊急対応が継続的に進む中で、既に半分以上の資金が凍結され、純流出規模は著しく縮小している。
この突然降りかかった「ブラック・スワン」は、バイナンスの緊急対応とリスク管理能力を試すだけでなく、暗号資産取引所の資産の安全性とリスク管理体制を再び業界の注目の焦点に押し上げた。
約30億ドルが凍結済み、プラットフォームは損失負担を約束
本日未明4時頃、バイナンスの複数のホットウォレットが大規模な攻撃を受けたとみられ、大口の異常な資金流出が発生した。
オンチェーンデータの集計によると、バイナンスのラベル付きウォレットから当時約56.43億ドル相当の資産が流出した。うちイーサリアムネットワークが約35.28億ドル、ビットコインネットワークが約14.49億ドル、トロンネットワークが約6.28億ドル、Arbitrum、Optimism、Baseなどのネットワークの合計が約3800万ドル。今回の異常取引はBinance 14、Binance 16、Binance Hot Wallet 34など複数のホットウォレットに関わり、関連資金はその後複数の新規アドレスに移された。
一方、Arkhamの最新データによると、今回の事件に関連するハッカークラスターのアドレスが現在保有する資産総額は約57.6億ドルで、65種類のトークンに及ぶ。
突如のセキュリティ問題に直面し、バイナンスは迅速に緊急対応措置を発動し、出金および一部の取引サービスを停止するとともに、ステーブルコイン発行体、法執行機関、オンチェーンセキュリティチームと連携して資金の追跡と凍結作業を展開した。
今回の事件では、Tether、Circleなど複数のステーブルコイン発行体が資金処理に協力した。公開情報によると、Tetherは約15.667億ドル相当のUSDTを凍結し、Circleは約8.23億ドル相当のUSDCの凍結を支援、Ripple、WLFIなどの関係者も資金処理に参加した。
多方面の協力により、資金凍結作業はさらに進展した。バイナンスの最新公表によると、現時点で累計約30億ドル相当の関連資金が凍結され、バイナンスは各方と緊密に協力して関連資産の追跡を続けており、凍結額はさらに増える見込みだとしている。
資産規模から見ると、バイナンスのカストディ資産は約1440億ドルで、今回の異常資金流出の規模がカストディ資産に占める割合は比較的限定的だ。バイナンス側も、ユーザー資金は安全であり、プラットフォームが今回の攻撃による全損失を負担し、事件がユーザー資産に影響を与えることはないと強調した。
バイナンス共同創業者の何一（ヘ・イー）氏は、現在プラットフォームは全面的なセキュリティチェックを行っており、関係機関と協力して関連資金の追跡・凍結を進めていると述べた。その間、入金・出金サービスは一時停止される。調査とセキュリティチェックの完了後に、バイナンスは完全な事後分析レポートを公表し、ユーザーには公式チャネルのみから最新情報を入手するよう呼びかけるとしている。
攻撃者は事前に演習、操作ミスで追跡の手がかりを残す
資金流出の規模に加え、今回の事件の背後にある攻撃経路も注目に値する。
Blockaid CEOのIdo Ben-Natan氏は、今回バイナンスが受けた攻撃は秘密鍵の盗難に起因するものではなく、署名システムが悪用された可能性があると述べた。攻撃者は50件のEIP-7702承認リクエストを1つの取引にまとめ、悪意ある承認によってバイナンスのウォレットを乗っ取り、資産を移したとされる。
セキュリティ企業SlowMist（慢霧）創業者の余弦（ユー・シエン）氏も文章を発表し、攻撃者がイーサリアム上でEIP-7702を選んだのは、主にバイナンス関連のホットウォレット内のトークンを一括で掃き出すためだと指摘した。オンチェーン上の操作はやや粗雑で、実際の窃取前に数時間の演習準備も行っており、関連アドレスの最初の5件の取引記録を参照できるとした。ただしEIP-7702の仕組み自体に問題はなく、同プロトコルがなくても同様の効果を達成する他の方法は存在するとしている。
Cobo共同創業者の神魚（シェンユー）氏もオンチェーンデータに基づいて攻撃プロセスを振り返り、同様に今回の事件がEIP-7702の承認メカニズムに関わるもので、その場の思いつきによる行動ではないと指摘した。
同氏の分析によると、攻撃者は同日未明4時20分頃に50件の承認リクエストを含む取引をブロードキャストし、バイナンスのホットウォレットの秘密鍵で署名を完了した。約3分後、関連資産が一括で移され始めた。攻撃者は事前に64種類のトークンを含む移転リストを作成し、テスト用ウォレットで2回の演習を行っており、最後の演習は本番攻撃の約3時間半前だった。本番行動の開始後、攻撃者は複数のウォレットおよびコントラクトウォレットを通じて資産を分割して移し、一部のUSDTなどのステーブルコインをETHに交換して、発行体による凍結リスクを低減した。現在のオンチェーンデータから見ると、核心的な問題は署名の段階を指しており、今のところコントラクトの脆弱性は見つかっておらず、バイナンスは秘密鍵の漏洩や署名システムが悪用された具体的な原因をまだ公表していない。
SlowMistの最高情報セキュリティ責任者23pds氏は、過去のフォレンジック経験に照らすと、攻撃者がリスク管理システムを回避できたとして、その侵入経路が秘密鍵の漏洩なのか署名機への攻撃なのかは依然として重点的に確認する必要があると述べた。同氏個人は秘密鍵漏洩の仮説をより支持している。また、攻撃者はおそらくカスタマイズされた出金ツールを使用している。セキュリティ部門には、原因究明と証拠収集の際、秘密鍵漏洩の経路と異常な出金ツールの特徴を重点的に深掘りするよう勧めている。
注目すべき点として、プロトコルエンジニアのJustin Kalland氏の指摘によれば、バイナンス攻撃の被疑者がMetaMaskでGas代を支払う際に操作ミスを犯し、追跡可能な手がかりを残した可能性がある。
同氏が公開した取引記録によると、攻撃者は新規ウォレットに1.75億USDTを送金した。約2.5分後、このウォレットはGas代の支払い用に2枚のETHを受け取り、他の攻撃用ウォレットのパターンと一致した。さらに約2分後、このウォレットはMetaMaskのGas Station機能を呼び出したが、それ以前にGas代を支払うのに十分なETHを既に得ていた。連続する3件の取引は同一ブロックにパッケージされ、それぞれGas StationへのETHの入金、Kyber Networkルーターへの無制限のUSDT承認、Gas Stationへの127.67 USDTの支払いに関わるものだった。最も注目されるのは、このETH入金額が後ろ2件の取引の最大Gas予算の合計とちょうど等しく、wei単位まで一致していたことだ。
Kalland氏は、攻撃者が当時MetaMaskウォレットを使用し、慌ただしい操作の中で誤ってUSDTをGasの支払い方法として選択したと推測している。MetaMaskは時にこれをデフォルト設定にしており、同一ブロック内の入金順序もその実装方法に合致する。同氏は、Gas Stationの利用にはMetaMask Sentinelを経由する必要があり、取引は通常のRPCではなくMetaMaskを通るため、このやり取りがMetaMaskにIPメタデータを含むオフチェーン記録を残す可能性があると指摘した。同氏が確認したすべての攻撃者ウォレットのうち、Gas Stationの利用が見られたのはこれ1つだけだった。
暗号資産市場がパニック売りで下落、ビットコインの売り圧力は予想を下回る可能性
世界最大の暗号資産取引所の一つとして、今回バイナンスが受けた攻撃は、同社設立以来の重大なセキュリティ危機であるだけでなく、暗号資産業界で最大規模の窃取事件の一つとなる可能性もあり、市場のパニックを急速に引き起こした。
これを受け、暗号資産市場は明らかに下落した。CoinGeckoのデータによると、ビットコインは一時7.7万ドルを割り込み、日中下落率は5.1%に達した。イーサリアムは約2200ドルまで下落し、日中下落率は5.9%。BNBは693ドルまで下落し、日中下落率は8.5%で、他の暗号資産も総じて圧力を受けた。
市場の下落は同時に大規模なレバレッジ清算を引き起こした。CoinGlassのデータによると、過去24時間で暗号資産市場の清算総額は15.5億ドル超、うちビットコインの清算額は4.8億ドル超、イーサリアムの清算額は3.7億ドル超で、ロングポジションが主な被災者となった。
ただし、今回の事件がもたらす可能性のある今後の売り圧力について、業界関係者は市場が過度に悲観する必要はないかもしれないとの見方を示している。
Coinkarma創業者のBenson Sun氏は文章で分析し、今回の事件で関わる盗まれたビットコインの価値は約10数億ドルだが、BTCにはTornado Cashのような大規模なミキシングプールがなく、関連アドレスは取引所やオンチェーン分析機関に容易にマークされるため、その後の換金難易度はETHより明らかに高いと述べた。同氏は、2016年にBitfinexから盗まれたビットコインが長年動かされなかったこと、また今年7月にColdcardから約1800枚のBTCが盗まれ、9月初旬時点でなお9割が移されていないことなどの事例を挙げ、今回関わるBTCの規模はより大きく、攻撃者はアドレスの分割、ミキシング、割引付きのOTC取引などを通じて段階的に処理する必要があり、その過程は数年続く可能性があると指摘した。したがって、短期的にこれらのBTCが大規模な市場売り圧力となる可能性は比較的限定的だ。もしバイナンスがSAFUを活用して賠償し、ビットコインを補充すれば、むしろ買い圧力が生じる可能性がある。
これに対し、大量のERC20トークンがETHに交換された後にTornadoへ入ると追跡が難しくなり、実際に市場の売り圧力に転じる規模は10数億ドル程度になる可能性がある。Benson Sun氏は、市場の信頼感は打撃を受けるが、ビットコインの直接的な売り圧力は想像ほど大きくないとし、業界にポストAI時代のホットウォレット管理、署名承認、耐量子といったセキュリティ対策に真剣に向き合うよう呼びかけた。
現在のオンチェーン動向から見ると、攻撃者は今回の関連資産で最大規模のBTCをまだ大規模に動かしておらず、他の一部のアルトコインは順次ETHに交換されている。オンチェーン監視によると、攻撃者に関連するアドレスはUNI、PEPE、RLUSDなどのトークン、および一部の移転可能なステーブルコインをETHに交換し、資産が発行体に凍結されるリスクを低減している。現在、ハッカーが保有するETHは約46.7万枚に増加し、価値は約10.6億ドルに達している。
総じて、今回のバイナンスのセキュリティ事件は改めて暗号資産業界にセキュリティの警鐘を鳴らした。特にAI技術の進化が加速し、攻撃手法が絶えず高度化する中で、暗号資産プラットフォームが直面するセキュリティ課題は日増しに複雑になっている。バイナンスにとって、目下最も重要な課題は、可能な限り関連資産を回収し、できるだけ早くプラットフォームサービスを復旧させることだけでなく、透明性のある調査結果と実効性のある是正措置を通じて、自社のセキュリティ体制が日増しに複雑化する攻撃手法に耐えうることを市場に証明することだ。
長期的に見れば、セキュリティはプラットフォーム運営の最低ラインであるだけでなく、暗号資産業界が長期的な信頼を築く基盤でもある。
