バイナンス9280億円流出、入口は偽の採用面接と改ざんHomebrew 社内AIも踏み台に

　暗号資産取引所バイナンスは11月3日、10月29日に発生した大規模な暗号資産流出事件の「初期調査報告書」を公表した。公式Xの長文投稿として明らかにしたもので、攻撃者が社内に入り込んだ経路を時系列で示した。

　影響を受けたデジタル資産は約63.4億ドル（約9280億円）。このうち約28.5億ドル（約4170億円）を凍結または阻止したという。被害を受けたトークン資産の98％は補填済みで、損失はユーザーではなくバイナンスが負担するとしている。米連邦捜査局（FBI）は北朝鮮の犯行と断定しており、バイナンスも報告書でFBIの見解に言及した。

　報告書によると、攻撃は単発の侵害や単純なフィッシングではなく、複数の段階を踏んだ作戦だった。

　6月、ウォレット開発を担当する技術者Aが、AIコーディングツールを導入する際に改ざんされたHomebrewをダウンロードした。同社は異常を検知して端末を交換し、認証情報も更新したが、技術者Aと関連する同僚の役割は攻撃者に知られたという。

　9月には別の技術者Bが、求職サイトを通じて採用担当者を名乗る人物から接触を受けた。面接は2回行われ、2回目の終盤に「課題」として悪意あるコードを含むリポジトリを業務用パソコンに入れるよう指示された。ゼロデイのマルウェアは、端末のセキュリティ製品に検知されなかったという。

　10月20日、攻撃者は技術者Bの端末から社内AIツールを使い、技術者Aと別の技術者Cの端末を掌握した。29日には、技術者Aから盗んだ認証情報で作業を進め、ウォレットの署名サービスを悪用した。最終的に、Ethereumの仕組みであるEIP-7702の認可を使い、MPC（複数者での秘密鍵管理）で運用するホットウォレットの実行権限の一部を、攻撃者が管理するスマートコントラクトに渡したという。

　バイナンスは、攻撃に使われた入口を閉じ、関係するシステムと端末を作り直したと説明している。AIを使った振る舞い異常の検知も強化し、独立した第三者機関による検証も受けるとしている。

　その後、資金の行方も報じられている。ブルームバーグは5日、盗まれた資金の一部が中国系の資金洗浄ネットワークに流れているとブロックチェーン分析会社チェイナリシスが分析していると伝えた。