偽の採用面接で社員PC感染バイナンス、5カ月の侵入経路を公表

Coinyong 2026-11-04 08:37 · 閲覧 5

バイナンスは3日に初期報告書を公表、被害は約63億4000万ドル、うち28億5000万ドルを凍結・阻止した。

9月に偽CEOの面接課題で業務用PCが感染、10月20日に社内AIツールで同僚2人の端末を掌握した。

出金を止めてもEIP-7702の委任が残り、最初の流出から委任の解除まで4時間以上かかった。

攻撃者は偽の採用面接の課題を使い、バイナンス社員のパソコンに最初の足場を築いた。バイナンスは韓国時間11月3日夜、公式Xアカウントに掲載した初期調査報告書で、10月29日（UTC）の事故により約63億4000万ドル相当の暗号資産が流出し、攻撃者は5カ月にわたって社員のパソコンと社内AIツールを順に掌握したうえでウォレット署名サービスに入り込んだと明らかにした。このうち約28億5000万ドルは凍結または阻止した。

"This should not have happened, and we apologise for the concern, disruption and uncertainty it caused"
バイナンス初期調査報告書

バイナンスは損失をユーザーではなく会社が負担するとし、10月31日時点で被害を受けたトークン資産の98%を補充し、流動性の低い残りの銘柄は買い入れを進めているとした。報告書は米連邦捜査局（FBI）の最新発表を根拠に北朝鮮を関与者と記した。攻撃の経路は以下の通り（時刻は韓国時間）。

6月ウォレットDevOpsエンジニアAが、検索で見つけた改ざん版Homebrew（Mac用ソフトのインストールツール）をダウンロードしてAIコーディングツールを導入。セキュリティチームが異常を検知して端末を交換し認証情報を更新したが、Aとウォレット基盤チームの同僚の役割はすでに攻撃者に把握されていた
9月エンジニアBが求人プラットフォームで偽の「プロジェクトディレクター」から連絡を受け、2回の面接を受ける。2次面接の終わりに渡された課題ファイルで業務用パソコンが感染
10月20日攻撃者はBのパソコンと社内AIツールを足がかりに、AとウォレットエンジニアCの端末を掌握。Aのパソコンでコンテナのデプロイ権限トークンを発見
10月30日2:15〜4:56Cのパソコンにログインし、Aの認証情報でコンテナをデプロイして悪意あるスクリプトを実行
10月30日5:05〜5:09ホットウォレット5つからXRP 2億3346万枚が流出。続いてソラナ約97万500枚、OP 4420万枚、ビットコイン1万8270枚が流出
10月30日8:56最後の不正送金（ETH 2961.9枚）が確定
10月30日9:10バイナンスが悪意ある委任を消す新たな承認を実行。以後、追加の流出はなし

2次面接官は実在しない会社のCEOだった

Bは正規の求人プラットフォームに、バイナンスでの経歴を記したプロフィールを載せていた。プロジェクトディレクターを名乗る人物は、人事担当者との1次ビデオ面接と、架空の会社のCEOを名乗る人物との2次面接を設定した。1次面接官は個人の写真や動画が投稿されたSNSアカウントまで見せて信頼を築いた。バイナンスはこれを「これまでに見たソーシャルエンジニアリングの手口より高度で巧妙だった」と評した。

2次面接はメッセージアプリで行われ、終盤にBは「課題」として渡されたコードリポジトリを業務用パソコンにダウンロードした。セットアップ中に実行された悪意あるコードは、正規の開発ツールであるpyenvのファイルを削除して同じ名前の悪意あるファイルに置き換え、外部サーバーと通信した。未知のゼロデイマルウェアだったため当時のセキュリティ製品は検知できず、攻撃者は痕跡も消した。

出金を止めても流出が続いた理由

攻撃者はウォレット署名サービスを使い、通常の出金手続きの外で取引を作成した。続いてイーサリアムのEIP-7702機能を悪用した。EIP-7702はウォレットが秘密鍵を明かさずにスマートコントラクトへ実行権限の一部を委任できる機能で、攻撃者は署名取引50件を送り、自身のスマートコントラクトがバイナンスのホットウォレット1つに対して一部の実行権限を持つようにした。

この権限はブロックチェーン上に記録されていたため、バイナンスが出金を止めホットウォレットのサービスを停止しても消えなかった。ホットウォレットは複数に分けた鍵の断片を合わせて署名するマルチパーティ計算（MPC）方式で、権限をすぐに取り消せる単一の秘密鍵もなかった。バイナンスは別の手順を用意して権限を消すのに時間を要し、最初の流出から委任の解除まで4時間以上かかった。

今年だけで57件、北朝鮮関連が疑われる攻撃を阻止

バイナンスは今年、北朝鮮との関連が疑われる攻撃57件を検知し阻止したと明らかにした。偽の採用面接、人気の開発ツールを装ったマルウェア、汚染されたソフトウェアパッケージやブラウザ拡張機能、偽のビデオ会議アプリなどが使われた。今回の事故後は、被害を受けたウォレットシステムと社内AIツールを新たな環境で再構築し、関連端末を交換し、該当エンジニアの認証情報とトークンを無効化した。外部セキュリティ企業による独立したレビューを受けるほか、AI企業やセキュリティ企業とブロックチェーン環境のAIセキュリティに関する研究基金も設ける計画だ。

北朝鮮は反発した。VOAによると、金与正（キム・ヨジョン）氏は3日、朝鮮中央通信を通じた談話でFBIの発表を「とんでもない詭弁」「重大な政治的挑発」と非難した。市場は落ち着いていた。4日午前8時30分ごろ、アップビットでビットコインは1億497万8000ウォンと前日比1.3%上昇し、バイナンスでは7万7914ドルだった。キムチプレミアム（韓国の取引所価格と海外価格の差）は約0.2%だった。

出典: バイナンス公式X（29 October Binance Security Incident: Initial Findings and Response Update、2026年11月3日）

本記事は公開された発表・資料をもとにまとめたもので、投資を勧誘するものではありません。投資判断はご自身の責任で行ってください。