暗号資産（仮想通貨）取引所バイナンスは3日、約63.4億ドル（約1兆円）の資産が影響を受けた流出事件について初期調査報告を公表した。同社は偽の採用面接から社内システムに侵入し、ウォレットの署名機能が不正利用された経路を示している。
複数の社員と内部ツールへ広がった侵入
攻撃者は複数の社員の端末や社内ツールを経由し、ウォレットの署名サービスに到達したという。バイナンスが示した経緯は次の通りだ。
| 時期 | 攻撃の進行 |
|---|---|
| 6月 | ウォレットの開発運用を担当する社員が改ざんされたインストーラーを取得。同社は異常を検知し、端末を交換して認証情報を更新 |
| 9月 | 架空企業の採用面接で課題を装ったコードを社員にダウンロードさせ、業務端末を侵害 |
| 10月20日 | 侵害した端末と社内AIツールを足場にウォレット担当者へ侵入し、コンテナ配備権限のトークンを発見 |
| 10月29日 | 盗んだ認証情報で不正なプログラムを配備し、ウォレット署名サービスから通常の出金処理を通さず送金 |
一連の攻撃では、攻撃者が社員端末を起点に社内AIツールを悪用し、配備権限を奪った。最終的に署名機能が不正利用され、そこで設定された不正な認可が出金停止後の封じ込めを難しくしたという。
出金停止後も続いた資産移動
出金停止後も資産移動が続いたのは、攻撃者がEIP-7702を悪用し、ホットウォレットに不正な実行権限を設定していたためだ。この権限は取引所の出金処理とは別に、ブロックチェーン上で有効なまま残った。
EIP-7702の仕様書では、ゼロアドレス宛ての新たな認可を出すことで、設定された権限を消す仕組みになっている。バイナンスは、対象ウォレットが秘密鍵を分散して署名する方式だったため、解除手順の準備に時間を要したと説明している。
権限が残った間の影響について、セキュリティ企業ブロックエイドは、最初の流出後に同じウォレットへ入った約2億USDTなどが日本時間30日6時44分に再び移されたと分析した。この資産移動にウォレットからの新たな署名は必要なく、後から入った資産も攻撃者が動かせる状態だったという。
最後の不正送金については、以前に発信・保留されていた取引が日本時間30日8時56分に確定したものだったとバイナンスは説明。同社はこれ以降の不正送金を確認しておらず、9時10分に不正な権限を解除したとした。
国内顧客への影響と再発防止策
バイナンスジャパンは4日、預かる顧客資産への影響は確認していないと再表明した。同社は事件が判明した10月30日に、国内のウォレットシステムと残高を追加点検し、顧客資産の安全を確認したという。
また、今回の事件を受け、バイナンス創業者・元CEOのチャンポン・ジャオ（CZ）氏は3日公開のインタビューで、同社を含む業界全体でセキュリティへの投資が不足していたと指摘した。そのうえで再発防止に向け、攻撃事例や対策を共有し、資産凍結で連携する業界横断の枠組みを提案している。
ただし、CZ氏は現在、バイナンスの経営に直接関与していない。この提案とは別に、同社は外部のセキュリティ専門家による調査結果の検証を進める方針だ。
関連：バイナンス、流出の影響は推定約1兆円──開発運用担当者のPC侵害の可能性
関連：バイナンスの準備金証明、流出後は55銘柄から10銘柄に
※価格は執筆時点でのレート換算（1ドル＝157.7円）
