Binance、63億ドル流出の経緯を公表　偽の採用面接で感染した端末と社内AIツールを踏み台に、署名系統へ到達

6月の初期侵入から10月末の資金移動まで

報告によれば、攻撃者は6月にウォレットのDevOps技術者を狙い、AIコーディングツールの導入時に改ざんされたHomebrewインストーラーを取り込ませた。Binanceは異常を検知して端末を交換し資格情報を更新したが、この露出で技術者の役割と同僚が攻撃者に知られた。9月には別の従業員が「会社の幹部を装った不正な採用プロセス」で悪意あるコーディング課題をダウンロードし、業務用端末が感染した。

10月20日、攻撃者はこの感染端末と社内AIツールを使って別の技術者2人の端末を掌握し、一方でコンテナ展開権限を見つけた。約9日後、盗んだ資格情報でコンテナを展開し、悪意あるスクリプトがウォレット署名システムに到達して不正取引を承認させた。Binanceは約28.5億ドルを凍結または差し押さえ、被害資産の98%を補填したと述べ、3日04時（UTC）から段階的に出金を再開した。

社内AIツールが横展開の道具になった

Binanceは手口を「偽の採用面接によるソーシャルエンジニアリング、悪意あるソフトウェアのダウンロード、侵害された社内AIツール、端末の掌握、そして高度な取引承認手法」の組み合わせと総括した。AIツールの正体と悪用の仕組みは公表されていないが、感染端末から他の技術者の端末へ到達する経路として機能した点は、業務支援のAIが持つ横断的なアクセス権限が攻撃面になることを示す。対策として、新環境でのウォレット系統の再構築、社内AIツールとアクセス制御の再設計、端末の交換、関係する資格情報とトークンの廃止、AIによる行動異常検知の拡充、独立したセキュリティレビューの委託を挙げた。

テン共同CEOは「これは一つのミスや一つの侵害にとどまらず、数か月にわたる作戦だった」と述べ、「教訓はBinanceの枠を超えるため全報告を公表する」とした。同社は2026年に北朝鮮関連とみられる攻撃57件を検知・阻止したとも説明している。

FBIの帰属判定と北朝鮮の否定

FBIは10月31日、北朝鮮の国家支援集団TraderTraitorによる犯行と判定し、実行者が盗んだ資産をイーサに換えているのを法執行機関が観測したとして、関連技術を通じた更なる資金洗浄を予想した。北朝鮮側は2日、金正恩総書記の妹である金与正氏がFBIの主張を「重大な政治的挑発」と呼んで否定し、中国外交部も同日「状況を把握していない」と距離を置いた。帰属はFBIの判定と民間の追跡（TRM Labs）に依拠し、北朝鮮の否定と並置される段階にある。