Binance、63億ドルの仮想通貨巨額盗難事件の詳細を公表　偽の面接や社内AIツールの悪用が判明

仮想通貨取引所Binanceは、ハッカーがいかにして過去最大規模の仮想通貨盗難（数ヶ月にわたる強奪で総額63億ドル）を実行したかを詳細に記したポストモーテム（事後分析）を公開した。同社によると、この攻撃は検索エンジンのマルウェア、求人プロセスを装った巧妙なソーシャルエンジニアリング、そしてBinance独自の社内AIツールへの不正アクセスを組み合わせたものだったという。

FBIを含む連邦当局は、この侵害を「TraderTraitor」として知られる北朝鮮のサイバー部隊によるものと断定している。

多段階の攻撃計画

Binanceによると、この侵害は6月から数ヶ月にわたって展開された。最初の侵害は、開発者が悪質なGoogle広告を通じて配信された、改ざんされたインストーラーをダウンロードした際に発生した。Binanceのセキュリティチームは初期のマルウェアを検出し、該当する従業員のデバイスを交換したが、攻撃者は社内エンジニアや技術的なワークフローに関する重要な情報の収集に成功していた。

9月、脅威アクターは求人を装い、別のエンジニアを標的とした第2段階を開始した。雇用主候補を装った攻撃者は、複数回の面接をスケジュールし、通話を行い、信頼を築くためにSNSのリンクを共有した。最終的に、偽の雇用主はエンジニアに技術課題をダウンロードするよう説得したが、そこにはゼロデイ・マルウェアが含まれていた。

セキュリティツールはこの2番目のペイロードを検出できず、標準の pyenv 実行ファイルが、修正された悪意のあるバージョンに置き換えられた。このコンポーネントにより、攻撃者はバックドア・アクセスを獲得し、足跡を隠蔽しながら外部のコマンドサーバーとの通信を確立することが可能になった。

悪用された社内AIシステム

10月20日までに、攻撃者はBinanceの社内AIツールを利用して、6月に侵害されたエンジニアおよび3人目の従業員が所有するウォレットの制御権を掌握した。10月29日、ハッカーは3人目の従業員のワークステーションに直接ログインし、メインの攻撃を開始した。

最初の不正送金が検出された後も、盗難は約2時間にわたって続いた。Binanceは、送金停止の遅れは、マルチパーティ計算（MPC）を使用するホットウォレットのアーキテクチャに起因すると説明している。MPCは権限を分散させているため、攻撃者による不正なEIP-7702認証を即座に無効化できる単一のプライベートキーが存在しなかったためだ。

復旧への取り組みと影響

BinanceのCEOであるRichard Teng氏は、ユーザーがこの侵害による金銭的損失を負担することはないと述べた。盗まれた資産のうち約28億5000万ドルは、セキュリティチームやパートナーによって凍結、または差し押さえられている。

Teng氏は、影響を受けたトークンの98％がすでに補充されており、残りの2％を完了させて出金を全面的に再開するための作業が進行中であることを認めた。また、Binanceは、同社の防御策が過去に北朝鮮に関連すると疑われる57件の他のサイバー脅威ケースを阻止することに成功しているとも指摘した。

調査結果が公表されたものの、社内AIツールがどのように設計されていたのか、そしていかにして攻撃者が社内ウォレットの制御を侵害するのに十分な権限を得るに至ったのかについては、依然として疑問が残っている。