Binance、偽の採用面接とAIツールの侵害がハッキングにつながった経緯を詳述

Binanceは2026年11月3日に公表した初期調査結果で、偽の採用面接、悪意ある開発者向けソフトウェア、社内AIツールの侵害が、2026年10月29日に約63億4,000万ドル相当のデジタル資産が盗まれる事件に先立って起きていたと発表した。

Binanceは、金銭的な損失をユーザーに転嫁せず、自社で負担する。Binanceによると、損失の補填に必要な資金の100％を超える額を確保し、2026年10月31日時点で影響を受けたトークン資産の98％を補充したほか、照合および市場価格の変動を条件として、約28億5,000万ドル相当を凍結または送金阻止した。残る流動性の低い資産は購入を進めている。

補充に関して引用された準備金証明のページでは、カストディ対象のユーザー資産が1対1で裏付けられていると説明している。Merkleツリーの記録とzk-SNARK証明を用いることで、ユーザーは自身の残高が負債報告に含まれていることを検証できる。

調査結果はまだ初期段階のものだ。調査は継続中で、独立した検証もこれから行われる。またBinanceは、悪意ある攻撃者による攻撃計画を助けないよう、一部の技術的詳細を公表していない。

ウォレット攻撃に先立つ数カ月間のアクセス

2026年6月、あるウォレット担当のDevOpsエンジニアが、検索エンジンで見つけた人気のAIコーディングツールをインストールしようとして、改ざんされたHomebrewのインストーラーをダウンロードした。Binanceは異常を検知し、端末を交換して関連する認証情報を更新したが、その時点ですでに攻撃者は、同エンジニアの役割やウォレットインフラチームの同僚について把握していた。

2026年9月、別のソフトウェアエンジニアが、正規の求人プラットフォームを通じてプロジェクトディレクターを名乗る人物から連絡を受けた。人事担当者を名乗る人物とのライブビデオ面接に続き、人気のソーシャルチャットアプリで、架空の企業のCEOを名乗る人物との2回目の面接が行われた。面接の終盤、エンジニアは悪意あるコードリポジトリを含む課題を業務用コンピューターにダウンロードするよう指示された。そのコードはセットアップ中に実行された。

マルウェアは正規のpyenvコンポーネントを悪意あるバージョンに置き換え、攻撃者が管理するサーバーと通信した。Binanceによると、当時、エンドポイント保護ではこのゼロデイマルウェアを検知できなかった。一方、攻撃者は活動を隠し、侵害の痕跡を削除する措置を講じていた。

2026年10月20日、攻撃者は2人目のエンジニアの侵害されたコンピューターと社内AIツールを使い、最初のDevOpsエンジニアと、もう1人のウォレットソフトウェアエンジニアにまで支配を広げた。その後、DevOpsエンジニアのコンピューターから、コンテナのデプロイ権限を持つトークンが見つかった。10月29日17時15分から19時56分（UTC）にかけて、攻撃者は3人目のエンジニアのコンピューターにログインし、DevOpsエンジニアから盗んだ認証情報を使ってコンテナをデプロイし、ウォレット攻撃を開始する悪意あるスクリプトを実行させた。

オンチェーンの承認が封じ込めを困難に

攻撃者は社内のウォレット署名サービスへの不正アクセスを利用し、Binanceの通常の出金手続きを経ずに取引を開始した。20時05分から20時09分（UTC）にかけて、Binanceのホットウォレット5つから、攻撃者が管理するアドレスへ2億3,346万XRPが送金された。その後、SolanaとOptimismのホットウォレットからも資産が流出し、さらにBinanceのホットウォレットから、攻撃者が管理するアドレスへ18,270 Bitcoinが送金された。

攻撃者はさらに、EthereumのEIP-7702認証メカニズムを悪用した。この仕組みにより、アカウントは秘密鍵を公開せずに、特定の実行権限をスマートコントラクトに委任できる。50件の署名取引によってアカウントのnonceが操作され、悪意ある委任の承認が設定された結果、攻撃者が管理するコントラクトにBinanceのホットウォレットを部分的に実行する権限が与えられた。これらの承認により、資産は取引所の出金インフラとは独立して移動し続けることが可能になった。

そのため、出金を停止し、ホットウォレットサービスを停止しても、既存のオンチェーン権限は無効にならなかった。ウォレットにはマルチパーティ計算が使われていたため、直ちに取り消しに使える単一の秘密鍵は存在せず、専門的な手順が必要となり、さらに時間を要した。最後の不正送金となる2,961.9 Etherは、いったん保留状態にあった後、23時56分（UTC）にオンチェーンで確定した。その後、ほかの不正送金は確認されていない。2026年10月30日0時10分（UTC）、BinanceはBinance14のホットウォレットからゼロアドレスに新たな承認を実行し、悪意ある委任コードを消去した。

再構築されたシステムとFBIによる別個の帰属判断

11月3日時点で、Binanceは影響を受けたウォレットシステムを新しい環境で再構築し、影響を受けた社内AIツールとそのアクセス制御も再構築していた。また、影響を受けた端末を交換し、関連する認証情報とトークンを無効化し、従業員の端末全体に対する強化スキャンを完了したほか、AIを活用した行動異常検知を拡充し、ウォレットサービスのリスク管理を強化した。

調査結果を検証し、追加対策を提言するため、独立した第三者のサイバーセキュリティ専門家が起用されています。Binanceは、AIを活用した検知、エンドポイント保護、開発環境のセキュリティ、行動監視への投資を拡大しています。また、ブロックチェーン環境におけるAIセキュリティに焦点を当て、AI企業、業界関係者、セキュリティ企業と連携したセキュリティ研究基金および重点的な取り組みの設立にも取り組んでいます。

別途、2026年10月31日付の通知でFBIは、北朝鮮のTraderTraitor関係者が事件に関与したと述べました。また、同局と連携するUSSSおよびIRS-CIが、盗まれた資産を主にEtherに換金する動きを確認しており、今後、DeFiや即時交換サービスを通じたさらなる資金洗浄が予想されるとしました。各機関は、ノード運営者、取引所、DeFiサービス、ブロックチェーン分析企業、その他の仮想資産事業者に対し、掲載されたアドレスが関与する取引、またはそれらのアドレスに由来する取引を遮断するよう要請しました。

この説明が浮き彫りにするのは、マルウェアの検知だけでは解決できない封じ込めの問題です。最初に侵害されたデバイスを交換しても、攻撃者がウォレットチームにアクセスできる状態は解消されず、出金を停止してもオンチェーンの権限は失われませんでした。現在進められている独立調査は、Binanceが攻撃の一連の経緯を再構築した内容と、再構築した管理策がその問題に対処できているかどうかの両方を検証するものとなります。