北朝鮮のハッカーが約20分でBinanceから63.6億ドルを盗んだと報じられていますが、世界最大の暗号資産取引所は、顧客がその代償を負わずに済むよう対応を進めています。
10月29日の攻撃は、暗号資産の盗難として過去最大で、2025年2月に発生したBybitへの15億ドル規模の侵害を上回りました。ブロックチェーン・インテリジェンス企業のTRM Labsは、この事件について、Bybitへの攻撃にも関与した北朝鮮のハッキング部隊TraderTraitorによるものだと高い確度で結論付けました。
Binanceは当初、侵害を調査する間、複数のブロックチェーンネットワークで出金を停止しました。しかし日曜日までに、盗まれた資産の約90％を補填し、段階的に出金を再開しました。
Binanceのウォレット基盤を狙った20分間の攻撃
TRM Labsによると、攻撃者は10月29日の窃取に少なくとも36時間前から準備を始め、悪意のあるコードをテストし、取引承認の準備を進めていました。
出金の大規模な波は協定世界時20時05分に始まり、複数のブロックチェーン上にあるBinanceのウォレットから、攻撃者が管理するアドレスへ資金が移されました。攻撃者は63.6億ドルの大半を約20分で移動させました。続いて協定世界時23時05分ごろ、AvalancheとPolygonのウォレットを使った第2波が発生しました。
TRMの調査では、Ethereum関連資産約37.9億ドル、Bitcoin約14.7億ドル、さらにTronとXRP Ledger上の数億ドル相当の資産が特定されました。
攻撃者は単純に秘密鍵を盗んだのではなく、Binanceの出金署名基盤を侵害したとみられます。Ethereumでは、事前署名されたEIP-7702承認を使ってBinanceのホットウォレットに悪意のあるスマートコントラクトを実行させ、資金を移動させました。
Binanceは当初、侵害されたエンジニアのノートパソコンと、サービスコンテナへの不正アクセスを特定しました。しかし、共同CEOのRichard Teng氏はその後、調査担当者がさらに複数の侵入口を発見したと述べ、より複雑な作戦だったと説明しました。
「北朝鮮の暗号資産関連活動は、取引所やデジタル資産プロジェクトへの攻撃を繰り返す段階から、産業規模の収益モデルへと進化しています」と、Arctic WolfでAdversary Operations部門のディレクターを務めるJustin Moore氏はeSecurity Planetに語りました。「こうした攻撃者は1種類の脆弱性に頼るのではなく、開発者、従業員、署名システム、サードパーティーの基盤を標的にし、信頼されたアクセスを承認済みの送金に変えられる地点を探しています」
Binance、盗まれた数十億ドル相当の資産を凍結・補填
対応には、暗号資産の発行体、ブロックチェーンのセキュリティチーム、法執行機関が参加しました。Tether、Circle、Ripple、World Liberty Financialは約26.7億ドル相当のステーブルコインを凍結し、ArbitrumのSecurity Councilも追加のETHとARBトークンを凍結しました。
Binanceは金曜日、業界パートナーの協力により、約30億ドル相当の盗難資産を凍結できたと発表しました。土曜日までに、顧客の損失を補填するため、同社資金から63.4億ドル超を割り当てました。
土曜日の更新情報でBinanceは、盗まれた資産の約90％を補充したと発表しました。残りの10％については、一部の暗号資産の流動性が低く、必要な数量を購入するのが難しいため、対応に時間がかかる可能性があります。
取引所はまた、段階的に出金の再開を始めました。まずEthereumベースの資産と一部のBNB Smart Chain保有資産へのアクセスを再開し、その後Solanaを含む他のネットワークも対象に加えました。
セキュリティ専門家、従業員アクセスの侵害に警鐘
今回の事件は、取引を承認するシステムを取引所がどのように保護しているのか、特に数十億ドルを動かせる基盤に従業員がアクセスできる場合の保護体制に疑問を投げかけています。
Moore氏は、複数のブロックチェーンにまたがる出金および署名プロセスが侵害されたとみられることについて、北朝鮮による暗号資産窃取活動の大幅なエスカレーションだと述べました。
「Binanceの事件で際立っているのは、複数のブロックチェーンにまたがる、信頼された出金・署名プロセスが明らかに乗っ取られたことです」と同氏は述べました。同氏は、特権を持つ従業員の端末をより強固に隔離すること、影響の大きい取引には独立した承認を求めること、署名基盤を日常業務の環境から分離することを推奨しました。
SecurityScorecardの最高技術責任者（CTO）であるRand Davis氏はeSecurity Planetに対し、今回の事件は攻撃者が従業員を標的にする方法と、セキュリティ対策を支えるシステムを示すものだと語りました。SecurityScorecardがBinanceに付けたBreach Susceptibility Indicator（BSI）は97でした。同社によると、スコアが97以上の組織は、同社の基準となる母集団と比べて侵害を経験する可能性が39倍高くなります。ただし、この指標が測定するのは、観測されたセキュリティ上の問題と露出であり、攻撃が発生するかどうかではありません。
Davis氏はまた、暗号資産取引所やカストディアンに依存する組織は、そうした関係を継続的に可視化し、プロバイダーが出金やその他のサービスを停止した場合に備えるべきだと警告しました。
Binanceの侵害が暗号資産ユーザーに意味すること
Binanceが損失を補填する決定を下したため、資産に影響を受けた顧客が盗難による直接的な金銭的損失を負うことはないはずです。しかし今回の事件は、暗号資産を中央集権型取引所に保管することに伴う別のリスクも明らかにしました。顧客資産へのアクセスは、取引所内部の基盤のセキュリティに部分的に依存しているのです。
Binanceは複数のネットワークで出金を再開しましたが、段階的な対応を取っているため、取引所がセキュリティチェックを完了するまで、一部のユーザーは依然として遅延を経験する可能性があります。同社は調査を完了し、最新のプルーフ・オブ・リザーブを公開する必要もあります。
デジタル資産を保有する企業や、決済・流動性のために取引所を利用する企業にとって、今回の事件はコンティンジェンシープランの策定が不可欠であることを示しています。プラットフォームは、盗まれた資金を補填できる財務能力を維持しながら、顧客資産へのアクセスを一時的に制限することもあり得ます。
より重大な懸念は、信頼された従業員のアクセスや取引承認システムを侵害することで、個々のウォレットへの侵入を困難にするはずの保護策を迂回できてしまうことです。Binanceによる資産回収は、損失を吸収する能力について顧客に安心感を与えるかもしれませんが、今回の事件によって、暗号資産業界全体は解決すべき、より困難なセキュリティ問題を抱えることになりました。
関連記事：北朝鮮の暗号資産窃取活動については、 DeFiのセキュリティの弱点を浮き彫りにしたKelpDAOの2.93億ドル規模のハッキングが研究者によってLazarus Groupと関連付けられた経緯をお読みください。