暗号資産（仮想通貨）取引所Binance（バイナンス）は3日、先月29日に発生した約63億4,000万ドル（約1兆円）相当の暗号資産流出事件について、初期調査の結果を公表した。
調査結果によると、今回の攻撃は偽の採用面接やマルウェア、社内AIツールの悪用などを組み合わせた複数段階にわたるものであった。
同社によると、最初の攻撃は今年6月に行われていたようだ。ウォレット担当エンジニアがAIコーディングツールを導入する際、検索エンジン経由で改ざんされたHomebrewのインストーラーをダウンロードした。Binanceは異常を検知して端末を交換したものの、この時点でウォレットチームの体制などの情報が攻撃者に把握されていたという。
さらに9月には、別のエンジニアが正規の求人サイトを通じ、プロジェクト責任者を装う人物から接触を受けた。その後、架空企業のCEOを名乗る人物との面接で、「課題」として不正なコードを含むリポジトリを業務用PCにダウンロードするよう指示された。その結果、当時のセキュリティツールでは検知できないマルウェアに感染したという。
そして攻撃者は先月20日、侵害した端末と社内AIツールを足がかりに、ウォレット担当エンジニア2人の端末を掌握。コンテナのデプロイ権限を持つトークンを盗み出し、29日に不正なスクリプトを実行したという。
さらに、イーサリアムの「EIP-7702」を悪用してホットウォレットに不正な権限委任を設定したことで、出金停止後も一部資産の移動が続いたとしている。なお、先月30日時点でBinanceは該当のホットウォレットからゼロアドレスへのあらたな承認を実行し、不正な権限委任を解除したと説明している。
FBI（米連邦捜査局）は先月31日、今回の事件を北朝鮮のハッカー集団「TraderTraitor」による犯行と断定し発表した。盗まれた資産は主にイーサリアム（ETH）に換えられているとして、暗号資産関連事業者に関連アドレスとの取引を遮断するよう呼びかけている。
これに対し北朝鮮は、金正恩総書記の妹である金与正氏の談話を通じて関与を否定。朝鮮中央通信によると、FBIの発表を「重大な政治的挑発」と非難したという。
なお、Binanceは流出資産のうち約28億5,000万ドル（約4,530億円）について、凍結または移動の阻止に成功したと説明している。また、先月31日時点で影響を受けた資産の98%を補充したことも明らかにした。
3日には出金を再開するネットワーク及び資産を追加。入金額が出金額を上回る時間もあるなど、ユーザー活動の改善と資金フローが安定しつつあることを強調している。
参考：Binance発表
画像：Shutterstock
