バイナンスがセキュリティインシデントの初動調査結果を公表：偽の採用面接からAIツールの侵害まで、ハッカーはいかに多層的に侵入したのか

編集：大钳子

11月3日、バイナンスは10月29日のセキュリティインシデントに関する初動調査報告書を公表し、今回の攻撃の全過程と背後にいる攻撃者の侵入経路を明らかにした。報告書によると、攻撃者は偽の採用面接、マルウェア、および侵害された社内AIツールを通じて複数の従業員の端末を段階的に掌握し、最終的にウォレットの署名権限を取得。さらにEIP-7702の承認メカニズムを利用して、通常の出金プロセスを迂回して資産を移転した。

今回のインシデントで関与した資産総額は約63.4億ドル。報告書公表時点で、約28.5億ドル相当の資産がすでに凍結または阻止されており、影響を受けたトークン資産のうち98%は補填が完了している。バイナンスは、関連する損失はプラットフォームが負担するとし、影響を受けたシステムの再構築とセキュリティ防御の強化に着手したほか、独立した第三者によるさらなる審査を外部に委託している。報告書はまた、米国連邦捜査局（FBI）の最新情報として、北朝鮮が今回のインシデントの責任を負うべきだと指摘している。

以下が全文である：

2026年10月29日、バイナンスは深刻かつ極めて複雑なセキュリティインシデントに遭遇した。本来、このような事態は起こるべきではなかった。ユーザー、パートナー、そして業界全体に不安、業務の中断、不確実性をもたらしたことを深くお詫びする。

ユーザーの保護は常にわれわれの最優先の責務である。今回の盗難資金による財務上の損失はバイナンスが負担し、ユーザーに転嫁することはない。われわれは損失額の100%を超える資金を損失補填のために確保している。2026年10月31日時点で、影響を受けたトークン資産のうち98%の補填が完了しており、ユーザーはリザーブプルーフ（PoR）ページで確認できる。まだ補填が完了していない一部の流動性の低い資産については、現在調達を進めている。

今回のインシデントで関与したデジタル資産の総額は約63.4億ドル。本報告書の公表時点で、約28.5億ドル相当のデジタル資産が凍結または阻止されており、具体的な金額はさらに確認が必要で、市場価格の変動の影響を受ける可能性がある。

われわれは直ちに行動を起こしてインシデントの影響を封じ込め、関与したシステムの安全性を強化した。攻撃者に悪用された侵入口はすべて閉鎖済みであることを確認しており、攻撃経路に関与したシステムも再構築または交換済みである。さらに、デバイス管理措置を一段と厳格化し、ウォレットサービスのリスク管理を強化するとともに、AIに基づく行動異常検知の能力を拡大した。

本報告書は初動調査報告書であり、現時点で把握している状況と、すでに完了したセキュリティ改善を対象としている。調査は現在も進行中であり、関連する調査結果はさらに独立した審査を受ける予定である。悪意ある攻撃者が関連情報を利用して攻撃を計画することを防ぐため、一部の技術的詳細は引き続き非公開とする。われわれは独立系のセキュリティ企業を招聘し、さらなる審査を進めている。

米国連邦捜査局（FBI）が最新に公表した情報によると、朝鮮民主主義人民共和国（DPRK）が今回のインシデントの責任を負うべきである。

われわれがこの初動報告書の公表を選んだのは、業界全体がともに教訓を学び取ってこそ、セキュリティ水準の持続的な向上を促せるからである。

10月29日に何が起きたのか

今回の攻撃は複数のネットワーク上で急速に展開された。

攻撃者は社内ウォレット署名サービスへの未承認のアクセス権限を利用し、通常の出金プロセスとは別に取引を開始した。

UTC時間20:05から20:09にかけて、バイナンスの5つのホットウォレットが、攻撃者が管理するアドレスへ2億3346万枚のXRPを送金した。

その後、バイナンスがSolanaおよびOptimismネットワーク上に配備したホットウォレットが、それぞれ攻撃者の管理するアドレスへ約97万0500枚のSOLと4420万枚のOPを送金した。

その後、バイナンスは大口資産移転に関する社内アラートを受信し、直ちに調査を開始した。

続いて、バイナンスのホットウォレットの一つが攻撃者の管理するアドレスへ18,270枚のBTCを送金した。

その後、攻撃者は署名サービスを利用し、イーサリアムのEIP-7702承認メカニズムをさらに悪用した。

EIP-7702は、アカウントが秘密鍵を露出させることなく、一部の実行権限をスマートコントラクトに委任することを可能にする。今回のインシデントでは、攻撃者がこのメカニズムを利用し、自身が管理するスマートコントラクトにバイナンスの某一ホットウォレットに対する一部の実行権限を取得させた。

バイナンスは直ちに複数の緊急措置を発動した。さらなる資金流出を制限するための出金停止、影響を受けたトークンの凍結に向けたパートナーとの調整、未承認の権限を取り消すための措置などである。これらの行動により、合計28.5億ドル相当の資産が凍結された。

しかし、出金を停止するだけでは、すべての未承認の資産移転を阻止するには不十分であった。悪意あるEIP-7702承認はすでにオンチェーン上に存在し、バイナンスの通常の出金インフラとは独立して動作する。

攻撃者は合計50件の署名済み取引を提出し、アカウントのNonce（取引の順序番号）を操作することで悪意ある委任承認を確立した。ひとたびこれらの承認が確立されると、攻撃者はバイナンスの通常の出金インフラを迂回して資産の移転を続けることが可能になった。バイナンスはこれらのオンチェーン承認を取り消すために、追加で取引を発行する必要があった。

資産の完全な制御に至る過程には、他にも技術的な複雑さがあった。関与したホットウォレットはマルチパーティ計算（MPC）技術を採用しているため、悪意あるEIP-7702承認を直ちに取り消すためにそのまま使える単一の秘密鍵は存在しない。そのため、チームは専用の取り消しプロセスを開発して実行する必要があり、これにも追加の時間を要した。

さらに、出金の停止やホットウォレットサービスの停止は、すでに存在するオンチェーン上の承認を自動的に無効にするものではない。

これらの課題により、未承認の資産移転を完全に制御するまでに要する時間が長引いた。われわれは今回のインシデントの緊急対応プロセス、署名ポリシーの適用範囲、ホットウォレットの管理措置を検証し、将来の脅威対応の迅速化に向けた改善の機会を探っている。

最後の未承認送金は2,961.9枚のETHで、UTC 23:56にオンチェーン上で最終確認された。この取引はそれ以前にブロードキャストされ保留中の状態にあり、その後になって最終的に確認が完了した。以降、他の未承認の送金は確認されていない。

2026年10月30日00:10 UTC、バイナンスはBinance14ホットウォレットを通じてゼロアドレスに対して新たな承認取引を実行し、EIP-7702の委任コードを消去した。

攻撃の準備過程

現時点の調査によると、今回のインシデントは複雑な多段階の攻撃作戦であり、単一の孤立した侵入事件でも、単純なフィッシング攻撃でもない。

攻撃者は複数の技術的手段を組み合わせて使用した。偽の採用面接によるソーシャルエンジニアリング攻撃、マルウェアのダウンロード誘導、侵害された社内AIツールの悪用、従業員のエンドポイント端末の陥落、そして高度な取引承認技術の採用である。

2026年6月――サプライチェーン攻撃。ウォレットDevOpsチームのエンジニアAは、検索エンジンで人気のAIコーディングツールを検索した後、改ざんされたHomebrewのインストールパッケージをダウンロードし、そのインストールパッケージを使って関連ツールをインストールしようとした。バイナンスのセキュリティチームは異常を検知し、当該デバイスを主体的に交換するとともに、関連するすべての認証情報をローテーションした。しかし、エンジニアAの職務情報およびウォレットインフラチーム内の関連同僚の情報は、すでに攻撃者に露出していた。

2026年通年――継続的なサイバー攻撃。2026年以来、バイナンスのセキュリティチームは北朝鮮と関係があると疑われるサイバー脅威事案を57件検知し、阻止してきた。これらの攻撃は、国家背景を持つ攻撃者が暗号資産業界を標的にし続けていることを反映している。関連する攻撃手法には、偽の採用面接、人気の開発ツールに偽装したマルウェア、改ざんされたソフトウェアパッケージやブラウザ拡張機能、偽のビデオ会議アプリ、認証情報の窃取やリモートアクセス型マルウェアの配備を目的としたソーシャルエンジニアリング攻撃などが含まれる。

9月――ソーシャルエンジニアリング攻撃。ソフトウェアエンジニアBは、正規の求人プラットフォームを通じて、自らをプロジェクトディレクターと名乗る人物から連絡を受けた。エンジニアBは同プラットフォーム上のプロフィールに、自身が以前バイナンスで働いた経歴を記載していた。相手は人事担当者による1回目の面接を設定し、続いて某架空の企業のCEOを名乗る人物が参加する2回目の面接を設定した。

1回目の面接では、人事（HR）担当者を名乗る人物がソフトウェアエンジニアBとリアルタイムのビデオ面接を行った。信頼を築くため、面接を行った人物はエンジニアBに自身のソーシャルメディアアカウントを共有し、そこには同プラットフォームに投稿した個人の写真や動画が含まれていた。この手法は、これまでに観察されたソーシャルエンジニアリング攻撃の手口よりも巧妙で、欺瞞性が高い。

2回目の面接は人気のソーシャルチャットアプリを通じて行われた。面接の終盤、エンジニアBは業務用パソコンに「作業」という名称のファイルをダウンロードするよう求められ、その中には悪意あるコードリポジトリが含まれていた。当該コードリポジトリ内の悪意あるコードはインストールの過程で自動的に実行され、それによって一連の未承認の操作が引き起こされた。

このマルウェアは複雑なコード難読化と検知回避の技術を採用しており、正規の開発ツールのコンポーネントを悪意あるバージョンに差し替えてコマンドを実行し、攻撃者が管理する外部サーバーと通信を確立するなどの手口を用いていた。当時、エンドポイントセキュリティツールはこのゼロデイ（0-day）マルウェアを検知できなかった。攻撃者はさらに悪意ある活動を隠蔽し、関連する痕跡を消去する措置を講じており、検知とその後の調査の難易度を一層高めていた。

このスクリプトはコード難読化技術によってセキュリティ検知を回避し、具体的には以下の操作を実行した：

10月20日――社内AIツールを攻撃の足がかりとして悪用。攻撃者は侵害済みのエンジニアBのパソコンを利用し、バイナンスの社内AIツールを通じて、ウォレットDevOpsエンジニアAと別のウォレットソフトウェアエンジニアCのデバイスをさらに制御下に置いた。攻撃者はほどなく、ウォレットDevOpsエンジニアAのパソコン内にコンテナのデプロイ権限を持つトークンが存在することを発見した。

10月29日――ウォレット署名操作への侵入。10月29日17:15から19:56にかけて、攻撃者はソフトウェアエンジニアCのパソコンにログインし、ウォレットDevOpsエンジニアAから窃取した認証情報を使ってコンテナをデプロイするとともに悪意あるスクリプトを起動し、最終的に今回の攻撃を発動した。