暗号資産取引所のBinanceは11月3日（現地時間）、29 October 2026 Binance Security Incident: Initial Findings and Response Updateにおいて、10月29日に発生したセキュリティインシデントの初期調査結果を公表した。今回の事件では、約63億4000万ドル相当の暗号資産が被害を受けた。

同社の調査によると、攻撃は数カ月にわたって段階的に進められたという。攻撃者は偽の採用面接や改ざんされたソフトウェアを用いて複数のエンジニアの端末を侵害し、社内AIツールを足掛かりに暗号資産ウォレットの管理システムへ侵入した。

米連邦捜査局（FBI）は10月31日、この事件について北朝鮮による犯行と発表し、一連のサイバー攻撃活動を「TraderTraitor」と呼んでいる。

偽の採用面接で悪意あるプログラムを実行

Binanceは、2026年9月、同社のソフトウェアエンジニアが正規の求人プラットフォームを通じて、プロジェクト責任者を名乗る人物から接触を受けた説明。

攻撃者は架空の企業の採用担当者を装い、ビデオ面接を実施した。面接官は個人の写真や動画が投稿されたSNSアカウントを共有するなどして、エンジニアの信用を得ようとしたという。

その後、架空の企業のCEOを名乗る人物との2次面接が行われ、エンジニアは業務用PCにプログラミング課題をダウンロードするよう指示された。

しかし、この課題に含まれていたコードリポジトリには、悪意のあるプログラムが仕込まれていた。セットアップ時に不正なコードが実行され、攻撃者による端末への侵入につながった。

マルウェアは正規の開発ツールの構成要素を悪意あるものに置き換え、外部サーバとの通信や不正なコマンドの実行を可能にしていた。Binanceによると、当時のエンドポイントセキュリティ製品では、このゼロデイマルウェアを検知できなかったという。

同社は2026年に、北朝鮮関連と疑われるサイバー攻撃を57件検知・阻止したことも明らかにしている。

AI開発ツールの導入時にも侵害、社内AIツールを足掛かりに攻撃拡大

今回の攻撃では、偽の採用面接とは別の侵入経路も確認されている。

2026年6月、Binanceのウォレット開発・運用チームに所属する別のエンジニアが、AIコーディングツールを導入しようと検索エンジンで情報を探した際、改ざんされたHomebrewのインストーラーをダウンロードしていた。

Binanceのセキュリティチームは異常を検知し、端末の交換と関連する認証情報の変更を実施した。しかし、その時点でエンジニアの担当業務や、ウォレット関連チームの同僚に関する情報が攻撃者に知られていたという。

攻撃者は10月20日、偽の採用面接を通じて侵害したエンジニアの端末を利用し、社内AIツールを足掛かりに、ウォレット関連業務を担当する別のエンジニア2人の端末を掌握した。

その過程で、攻撃者はエンジニアの端末にコンテナのデプロイ権限を持つトークンが保存されていることを発見した。

10月29日には、侵害した端末から盗んだ認証情報を利用してコンテナをデプロイし、不正なスクリプトを実行。ウォレットの署名処理に関わるシステムへの不正アクセスを通じて、暗号資産の流出につながった。

なお、Binanceは社内AIツールが攻撃の足掛かりとして利用されたと説明しているものの、具体的にどのような機能が悪用されたのかについては、初期報告書で詳細を明らかにしていない。

約63億ドルの暗号資産に被害、封じ込めに時間を要した理由

攻撃者は10月29日、Binanceの内部ウォレット署名サービスへの不正アクセスを利用し、通常の出金プロセスを経由しない取引を実行した。インターネットに接続され、暗号資産の入出金に利用される「ホットウォレット」から、不正に暗号資産を送金したという。

協定世界時（UTC）の20時5分から20時9分までの間に、5つのホットウォレットから約2億3346万XRPが攻撃者の管理するアドレスへ送金された。このほか、SOLやOP、BTCなどの暗号資産も流出した。

さらに攻撃者は、Ethereumの「EIP-7702」と呼ばれる仕組みを悪用した。EIP-7702は、秘密鍵を公開することなく、アカウントの処理権限の一部をスマートコントラクトに委任できる仕組みだ。

攻撃者はこれを利用し、Binanceのホットウォレットに対して不正な委任権限を設定した。

Binanceは出金停止などの対応を進めたものの、ブロックチェーン上に設定された委任権限は、出金システムを停止するだけでは無効化できなかった。また、同社のウォレットでは複数の関係者によって秘密鍵の管理を分散するMPC（マルチパーティ計算）を採用しており、単一の秘密鍵で直ちに権限を取り消すこともできなかった。

最終的にBinanceは専用の取り消し手順を実施し、10月30日0時10分（UTC）に不正な委任設定を解除した。

約28億5000万ドルを凍結・移動阻止、外部専門家による検証も実施へ

Binanceによると、今回の事件で影響を受けた暗号資産は約63億4000万ドルに上る。このうち約28億5000万ドル相当については、凍結または移動の阻止に成功したという。

同社は利用者に損失を負担させない方針を示しており、10月31日時点で影響を受けたトークン資産の98％を自社資金で補充したと説明している。

再発防止策として、侵害されたウォレット関連システムを新たな環境で再構築したほか、攻撃に利用された社内AIツールとアクセス制御も再構築した。関連する端末の交換、認証情報やトークンの無効化、従業員端末のセキュリティ検査も実施したという。

今後は外部のサイバーセキュリティ専門家による独立した検証を進めるとともに、AIを活用した異常検知、エンドポイント保護、開発環境のセキュリティ対策を強化する方針だ。