バイナンス、偽採用面接とAIツール侵害で63億ドルハッキング被害と発表

侵害されたソフトウェアとソーシャルエンジニアリング

火曜日に公表された報告書では、攻撃は6月にはじまり10月29日の盗難に至った数か月にわたるキャンペーンであったと説明しています。バイナンスは、攻撃者が内部のウォレット署名サービスへのアクセスを悪用し、通常の出金手続きを迂回して複数のブロックチェーン間で数十億ドルを移動させたと述べています。

調査の結果、攻撃には複数の段階があったことが判明しました。その一環として、6月にはウォレットエンジニアがAIコーディングツールをインストールしようとした際、改ざんされたバージョンのHomebrewソフトウェアインストーラーをダウンロードする初期の試みがありました。バイナンスによると、同社のセキュリティチームはこの脅威を検知し、当該従業員の端末を交換するとともに、関連する認証情報を変更しましたが、この事件によりウォレットインフラ担当者の情報が漏洩してしまいました。

さらに深刻な侵害は9月に発生しました。別のバイナンスのエンジニアが正規の求人プラットフォームを通じて採用担当者を装った人物から接触を受けたのです。この従業員は2回の面接に参加しました。1回目は人事担当者だと名乗る人物とのビデオ通話、もう1回は架空の企業の代表を名乗る人物との面談でした。

2回目の面接では、この従業員に業務用コンピュータで悪意のあるソフトウェアを含むコーディング課題をダウンロードするよう指示しました。このマルウェアは正規の開発者ツールのコンポーネントを置き換え、攻撃者がコマンドを実行したり外部サーバーと通信したりできるようにしました。バイナンスによると、この未知のマルウェアは、侵害の証拠を隠蔽しようとする過程で同社のセキュリティソフトウェアを回避していたということです。

10月20日、攻撃者は侵害された端末と社内のAIツールを悪用し、さらに2名のエンジニアへのアクセス権を取得した。その後、Binanceのウォレットインフラ内でソフトウェアを展開できる認証情報を手に入れた。

10月29日、攻撃者はこれらの認証情報を使用してウォレットの署名操作にアクセスし、18,270 BTC、2億3,346万XRP、約970,500 SOL、4,420万OPをはじめとする資産を不正に送金しました。

また、ハッカーらは、スマートコントラクトがアカウントに代わって取引を実行できるようにするイーサリアムのEIP-7702承認メカニズムも悪用しました。悪意のある承認を設定することで、取引所が通常の出金を停止した後も、バイナンスのホットウォレットから資産を移動させる能力を獲得しました。

バイナンスによると、攻撃者はアカウントの取引シーケンスを操作し、これらの権限を確立するために50件の署名取引を送信した。同取引所がマルチパーティ計算技術を採用していたため、承認の取り消し作業は複雑化し、管理権限を取り戻すには特別な手順が必要となった。

最後の不正送金（約2,962 ETH）は10月29日UTC基準で深夜0時直前に確定し、バイナンスはその後まもなく悪意のある委任を取り消しました。

バイナンス、過去最大規模のハッキングから回復

この調査結果は、Bitcoin.com Newsが以前報じたバイナンス共同CEOリチャード・テン氏のコメントを補足するものです。テン氏は、今回の攻撃は単一の従業員の不正ではなく、複数の侵入経路と証拠隠滅の手法が用いられたものだと述べていました。

同取引所はまた、FBIが今回の攻撃の犯行主体を北朝鮮と特定した点にも言及した。Bitcoin.com Newsが以前に報じたように、ブロックチェーン分析企業のTRM LabsとChainalysisは、それぞれこの盗難事件を北朝鮮のハッキング活動と結びつけていた。北朝鮮指導部はその後、これらの非難を否定し、FBIの声明を「政治的挑発」と呼んでいる。

バイナンスは最新の更新時点で、盗まれた資産約28億5000万ドルが凍結または差し押さえられたと述べました。同社は金銭的損失を自社の負担で補填すると約束しており、10月31日時点で影響を受けたトークン資産の98％が補充済みであると報告しました。流動性の低い暗号資産については、引き続き購入を進めています。

同取引所はその後、影響を受けたウォレットシステムを再構築し、侵害された従業員の端末を交換し、漏洩した認証情報を無効化し、AIを活用したセキュリティ監視を拡充したと述べました。また、独立したサイバーセキュリティ監査を委託するとともに、人工知能に関連する脅威に焦点を当てたセキュリティ研究基金の設立も検討しています。こうした復旧が進む一方で、捜査当局は盗まれた資金の追跡を続けています。 Bitcoin.com Newsは月曜日、ブロックチェーン分析企業のEllipticが、4日足らずの間に11のブロックチェーンにまたがる約12,000のウォレットを通じて盗まれた資産を追跡したと報じました。 バイナンスは、調査が現在も進行中であることを強調し、追加情報を公開する前に、一部の技術的調査結果については独立した検証が行われる予定であると述べました。