TRM「バイナンスからの63億ドル窃取、北朝鮮の犯行」 36時間前から準備

バイナンスから流出した暗号資産の背後に北朝鮮がいると指摘された。米ブロックチェーン分析企業TRMラボは30日、公式ブログで「攻撃者は10のブロックチェーン上のバイナンスのウォレットから約63億6000万ドルを持ち出し、その大半は約20分で行われた」とし、「この攻撃を北朝鮮の精鋭ハッキング組織トレーダートレイター（TraderTraitor）によるものと判断する」と明らかにした。TRMは「高い確信を持った判断だ」としている。63億6000万ドルは送金時点の価格に基づく額で、2025年2月のバイビットのハッキング被害（15億ドル）の約4倍、暗号資産業界で史上最大の規模となる。

"We make this judgment with high confidence."

TRMラボ公式ブログ

米連邦捜査局（FBI）は昨年、バイビットのハッキングも同じトレーダートレイターによるものだと指摘している。ただし、バイナンスは北朝鮮の関与を直接確認していない。

攻撃36時間前からトルネードキャッシュで準備

TRMによると、準備は少なくとも攻撃の36時間前に始まった。攻撃者は取引の追跡を断ち切るミキサーサービス、トルネードキャッシュから3回にわたり少額を引き出して作業用ウォレットに入れ、別のウォレットでコードを事前に試したうえで、同じコードをバイナンスのホットウォレット（インターネットに接続された出金用ウォレット）に仕込んだ。実際の流出は韓国時間30日未明に集中した。

1. 攻撃36時間余り前トルネードキャッシュから3回少額を引き出し作業用ウォレットを用意
2. 攻撃前日2つのウォレットにコードをデプロイしてテストし、3つ目のウォレットで予行演習の後、約4時間で同じコードをバイナンスのホットウォレットに設置
3. 30日 05:05XRPレジャーのウォレット5つから2億3346万XRPが攻撃者のアドレス1つへ移動
4. 30日 05:20ビットコインのホットウォレットから1万8270BTC、トロンのホットウォレットから6億1270万USDTが流出
5. 30日 05:23イーサリアムのホットウォレットの残高全額（16万7464ETH、16億1500万USDT）が移動
6. 30日 06:01テザーが攻撃者の主要ウォレットの9億7110万USDTを凍結。3分後にサークルも8億2300万USDCを凍結
7. 30日 08:05アバランチ・ポリゴンのウォレットで2回目の流出

チェーン別ではイーサリアムが約37億9000万ドルで最も大きく、ビットコインが約14億7000万ドル、トロンが約6億2800万ドル、XRPが約2億9600万ドル、ソラナが約9600万ドルと続いた。

署名50件を事前に用意した「スイーパー」手口

TRMはイーサリアムのウォレットを狙った手段としてEIP-7702を挙げた。2025年5月のイーサリアムのアップグレード「Pectra」で導入された機能で、通常のウォレットがスマートコントラクトのように動作するよう権限を委任できる。攻撃者は連続する取引番号（ナンス）50件分の委任署名を事前に作成して一度に提出し、約3分24秒後にウォレットの残高が丸ごと流出した。このウォレットを使い、バイナンスの別アカウントから8億2300万USDCも引き出した。TRMは、他のチェーンが通常の署名付き送金で流出したことから、バイナンスのホットウォレットの署名システムが侵害されたとみている。

バイナンスは韓国時間30日午前11時25分ごろ、公式Xアカウントで「初期調査の結果、DevOps（開発・運用）エンジニアのノートパソコンが侵害され、攻撃者がサービスコンテナにアクセスし、承認されていない出金取引を送信した可能性がある」と明らかにした。さらに「ウォレットの秘密鍵が漏えいした証拠は見つかっていない」とし、被害総額を約63億ドルと推計した。

発行体も凍結できないETH・BTC 24億ドル

TRMの集計では、韓国時間30日午前9時30分時点で凍結された額は約27億ドルだ。テザーが約17億7000万USDT、サークルが約8億2500万USDCを凍結し、リップル（4050万RLUSD）、ワールド・リバティ・ファイナンシャル（2780万USD1）、アービトラム・セキュリティ・カウンシル（約3000万ドル）も凍結に動いた。バイナンスは確認済みの凍結額を約30億ドルとしている。

残りの資金のマネーロンダリングはすでに始まっている。TRMによると、攻撃者は3億2500万USDTをUniswapXで約12万2300ETHに交換したが、1ETHあたり約2650ドルと、市場価格（2300〜2350ドル）より高く買い入れた。Aaveには約6000万USDTを預けて1万9760ETHを借り入れ、トロンでは3億USDTをJustLendに移した。攻撃者の手元には依然として42万ETH以上と1万8270BTC、約24億ドル相当が残っている。発行体のない暗号資産のため、凍結する手段はない。ブロックチェーン分析企業チェイナリシスのジョナサン・レビンCEOもトレーダートレイターを容疑者に挙げたと、コインテレグラフが伝えた。

入金は再開、出金は48時間以内の再開を目指す

バイナンスは韓国時間30日午後1時17分ごろ、「出金サービスと関連アドレスのセキュリティ点検・刷新を進める間、出金は引き続き停止する」とし、出金再開の時期として「48時間以内」を示した。午前に併せて停止していた入金は正常に戻った。バイナンスは損失をユーザー保護基金（SAFU）と自社資金ですべて補填するとしている。

市場は下げ幅を一部取り戻した。バイナンスでビットコインは30日午前5時の8万848ドルから午前11時台に7万6500ドルまで下落した後、午後3時33分に7万8604ドルで取引された。同時刻のBNBは716ドル、イーサリアムは2250ドルだった。韓国の取引所アップビットではビットコインが1億582万5000ウォン、イーサリアムが303万ウォンで取引され、アップビットとバイナンスのビットコイン価格差を示すキムチプレミアム（韓国の取引所価格と海外価格の差）は約0.6%だった。