デジタル資産取引プラットフォームの「Binance」は、63.4億ドルの資産流出を招いた最近のハッキングが、数ヶ月にわたる複雑なキャンペーンの結果であることを明らかにした。このキャンペーンは、ウォレット・インフラストラクチャ担当エンジニア3名のコンピュータを標的としたもので、偽の採用面接や罠を仕掛けたプログラミング課題による侵害に加え、内部のAIツールの悪用も含まれていた。
同プラットフォームの初期報告によると、当局およびレスポンスチームは、これまでに盗まれた資産のうち約28.5億ドルを凍結・回収することに成功している。一方、米連邦捜査局（FBI）は、この攻撃を北朝鮮に関連するサイバー侵入グループ「TraderTraitor」によるものとしている。
ソーシャルエンジニアリングによる攻撃者の侵入の詳細
侵入は6月に始まった。ウォレットDevOpsエンジニアが検索エンジンを通じてAIベースのプログラミングツールをダウンロードしようとした際、Homebrewパッケージの改ざんされた悪意のあるバージョンがインストールされた。プラットフォームのサイバーセキュリティチームは脅威を検知し、エンジニアのデバイスを交換して認証情報をリセットしたが、攻撃者はその業務内容やチームに関する貴重な情報を収集することに成功した。
9月には、攻撃者は採用詐欺を通じて2人目のエンジニアを標的にした。2回の面接が行われ、1回目は信頼を得るために本人の写真付きの認証済みソーシャルアカウントを提示した偽の人事担当者によるもので、2回目は架空の企業のCEOを名乗る人物によるものだった。面接の最後には、スキルをテストするために「プログラミング課題」をダウンロードするよう要求されたが、これにはセットアップ直後に実行される悪意のあるコードリポジトリが含まれていた。このマルウェアは開発ツールの主要コンポーネントを置き換え、エンドポイント検出・対応（EDR）システムに検知されることなく、ゼロデイ脆弱性を利用して攻撃者のコマンド＆コントロールサーバーへの通信チャネルを開いた。
AIツールの悪用とプロトコルの脆弱性
10月20日、攻撃者は感染したコンピュータと内部のAIツールを使用して、ウォレットチームの1人目のエンジニアと3人目のエンジニアのシステムにアクセスした。10月29日には、3人目のエンジニアのコンピュータにアクセスし、1人目のエンジニアの認証情報を使用してコンテナ環境を設置した後、資産を転送するための悪意のあるスクリプトを実行した。
攻撃者は、ホットウォレットの署名サービスへの不正アクセスを悪用して、XRP、SOL、OP、BTCなどの通貨を転送した。また、イーサリアムネットワークの（EIP-7702）メカニズムを悪用し、特定のスマートコントラクトにホットウォレットに対する部分的な実行権限を付与した。ウォレットはマルチパーティ計算（MPC）技術で保護されていたため、即座に権限を取消すための単一の鍵が存在せず、深夜に権限が取り消されるまで送金が続いた。
なぜこのニュースが技術・サイバーセクターにとって重要なのか？
この事件は、ソーシャルエンジニアリングの手法の質的な変化を明らかにしている。脅威はもはや従来のフィッシングメッセージに限定されず、完全に計画された採用面接や、日常的な開発ツールの罠への仕掛けにまで拡大している。また、厳格な権限制限なしに企業環境へAIツールを導入することから生じる二重の課題も浮き彫りにしており、AIツールが機密システムへのアクセスや、承認済みデバイス間のラテラルムーブメント（横展開）のための架け橋として悪用される可能性がある。
復旧と講じられたセキュリティ対策
Binanceは、ウォレットシステムと影響を受けたAIツールをゼロから再構築し、デバイスを交換し、すべての以前のトークンと認証情報を無効化したことを確認した。また、事案を調査するために独立したセキュリティ企業に協力を依頼し、ブロックチェーン環境におけるAIセキュリティに特化した研究基金の設立を発表した。
一方、共同CEOのリチャード・テング氏は、影響を受けた資産の98%が補填され、安定性が回復したと述べた。また、プラットフォームの準備金が完全にカバーされていることを確認するためにゼロ知識証明（Zero-Knowledge Proofs）を公開すると同時に、ユーザーへの出金機能も段階的に再開された。