何が起きたか
- バイナンスは2026年11月3日、10月29日に起きた63億ドル相当の暗号資産盗難についてインシデント報告書を公表した。BleepingComputerが同日に報じた。
- FBIは、この攻撃を北朝鮮の国家支援ハッカー集団TraderTraitorによるものとした。同集団はLazarus Group、Jade Sleet、APT38としても追跡されている。
- バイナンスによると、すべては9月に始まった。ソフトウェアエンジニアが、正規の求人プラットフォームで、架空の会社のプロジェクトディレクターを名乗る人物から連絡を受けた。
- 2回の面接のあと、エンジニアはコードリポジトリからコーディングテストをダウンロードした。面接の1回は人事担当を名乗る人物とのビデオ面接、もう1回は最高経営責任者を名乗る人物とのチャットアプリでのやり取りだった。そのコードが、ウイルス対策ツールに検出されないマルウェアをインストールした。
なぜ重要か
- 攻撃は技術的な欠陥から始まったのではなく、プロフィールにバイナンスでの経験が記されていた人物に向けた、信ぴょう性のある求人から始まった。
- 「当時、エンドポイントのセキュリティ保護ツールはこのゼロデイのマルウェアを検出しなかった」と同社は書いた。
- そのコンピューターから、攻撃者はウォレットのインフラに到達した。10月20日までに、そのインフラを担当する従業員2人をさらに侵害し、認証情報とコンテナのデプロイ用トークンを入手していた。
数字で見る
28億5000万ドル。 BleepingComputerによると、11月3日時点で、盗まれた資産のうち凍結または押収されていた額だ。
背景
マルウェアは開発ツールの正規のコンポーネントを置き換え、コマンドを実行して攻撃者のサーバーと通信した。具体的には、macOSのHomebrewのインストールフォルダに偽の実行ファイルを作り、正規のpyenvを削除してその座に収まった。10月29日、攻撃者は盗んだ認証情報でスクリプトを展開し、バイナンスのウォレット署名サービスに入り込んだ。これにより、複数のブロックチェーンをまたいで暗号資産を動かせた。さらに、プラットフォームが出金を停止したあとも盗み続けるために、イーサリアムのEIP-7702の認可の仕組みを悪用した。バイナンスは、影響を受けたシステムを再構築し、侵害された端末を交換し、盗まれた認証情報を失効させたとしている。
Mamíferoは情報漏えいと攻撃者の侵入経路を追っている。これまでにQuest Diagnosticsが攻撃者による患者記録へのアクセスを確認したこと、Anthropicがマルウェアに盗まれたClaudeのセッションを閉じたことを報じた。デジタルの信頼については、Firefox、Chrome、AppleがeMudhraの8つの証明書をブロックしたこと、暗号技術については、Project ElevenとRelmが、耐量子防御が保険コストを下げるかを探っていることを伝えている。
今後
- バイナンスは、ほかのプラットフォームや当局とともに、盗まれた資金の追跡を続けている。
- 報告書には、pyenvの置き換えなど、ほかのチームが自分のマシンで探せる技術的な詳細が書かれている。
- 暗号資産企業のエンジニアを狙った偽の求人は、記録のある侵入経路であり続けている。
まとめ
バイナンスの盗難はブロックチェーンではなく、採用面接から始まった。1人のエンジニアがダウンロードしたコーディングテストだけで、攻撃者は6週間後、会社になりすまして取引に署名できた。
出典
- BleepingComputer、「Binance says fake job interview led to $6.3 billion crypto heist」、2026年11月3日、bleepingcomputer.com。バイナンスのインシデント報告書を転載しているが、報告書自体は直接読めなかった。
- TechCrunch、「Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist」、2026年11月3日、techcrunch.com
- カバー画像：Bretwa、CC BY-SA 4.0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。