Binanceで10月29日に約63億ドル（約1兆円）相当の暗号資産が盗まれた事件では、偽の採用面接で従業員の端末にマルウェアを仕込み、社内システムへ侵入する手口が使われました。攻撃者は内部AIツールやウォレット関連の認証情報も悪用し、Binanceは利用者の出金を一時停止しました。FBIは北朝鮮が窃取に関与したと判断し、この活動を「TraderTraitor」と呼んでいます。
偽の採用面接からウォレット侵害へ
攻撃の準備は6月に始まり、Binanceのエンジニアが改変されたHomebrewのインストーラーをダウンロードしました。Binanceは不審な動きを検知して端末を交換し、認証情報を更新したものの、ウォレット基盤を担当するチームの情報は攻撃者に知られていたとしています。
9月には別のソフトウェアエンジニアが、正規の求人サービスを通じて偽の採用担当者から接触を受けました。相手は人事担当者や架空企業のCEOを装って複数回の面接を行い、個人写真や動画のあるSNSアカウントを見せて信頼を得ようとしました。
2回目の面接では、エンジニアにコーディング課題としてオンラインのコードリポジトリをダウンロードさせました。実行されたコードにはマルウェアが含まれ、正規の開発ツールの一部を悪意あるファイルに置き換えて外部サーバーと通信しました。当時の端末保護ツールでは検知されませんでした。
内部ツールを経由した資産流出
Binanceによると、攻撃者は侵害した端末と社内AIツールを使い、ウォレット基盤に関わる別の従業員2人の端末にもアクセスしました。そこで認証情報やコンテナのデプロイ用トークンを得て、ウォレットの署名サービスに不正アクセスする足掛かりにしました。
10月29日、攻撃者は盗んだ認証情報を使ってスクリプトを展開し、複数のブロックチェーン上で暗号資産を移転させました。Binanceは出金を世界的に一時停止し、サービス再開後には利用者が数十億ドル相当の資産を引き出しました。
FBIは、盗まれた資産が主にイーサ（ETH）へ交換され、その後DeFiサービスや即時交換サービスを通じて資金洗浄される可能性があるとしています。FBIはTraderTraitorに関連するとみるアドレスとの取引を、暗号資産関連事業者に遮断するよう呼びかけました。
TraderTraitorに見られる過去の手口
FBI、CISA、米財務省が2022年に公表した勧告では、TraderTraitorは暗号資産企業のシステム管理者やソフトウェア開発者に、採用を装ったメッセージを送る手口を使っていました。高収入の求人を持ちかけ、感染したアプリをダウンロードさせる流れが記録されています。
勧告が扱ったアプリは、暗号資産の取引や価格予測を行う正規ツールに見せかけていました。WindowsやmacOSで動作するアプリにマルウェアを仕込み、感染した端末から社内ネットワークへ広げたり、秘密鍵を盗んだりする手口も説明されています。
勧告で挙げられたManuscryptは、感染端末の情報を集め、任意のコマンドを実行したり追加のペイロードを取得したりできる遠隔操作型のマルウェアです。今回のBinance事件でも、偽の求人と悪意あるソフトウェアを組み合わせた侵入が確認され、以前から知られる採用偽装の手法と重なります。
ウォレットの承認とBinanceの対応
暗号資産取引所のホットウォレットは、オンライン環境で署名処理を行い、日常的な出金に対応します。一方、コールドウォレットは重要な署名情報をネット接続環境から隔離し、資産の保管に使われます。
取引所では、複数人の承認を必要とするマルチシグや、秘密鍵を複数の参加者に分けて扱うMPC（マルチパーティ計算）などが、単一の鍵や担当者に依存するリスクを抑える仕組みとして使われます。送金権限の分離や異常取引の監視も、ウォレット防御の層を構成します。
Binanceによると、侵害されたホットウォレットはMPCを使っていましたが、不正なEIP-7702認可を直ちに取り消せる単一の秘密鍵はありませんでした。Binanceは影響を受けたウォレットシステムと社内AIツールを再構築し、侵害端末を交換して認証情報とトークンを無効化したほか、影響を受けたトークン資産の98％を補填したとしています。FBIは北朝鮮の関与を公表し、北朝鮮側は関与を否定しました。
