Binance、偽の面接課題とAIツールで63億ドル流出

9月には別のエンジニアが標的となった。採用に関心があるように装った人物が、複数回の通話と面接を重ね、SNSページを共有して信頼を築いた上で、偽の面接課題をダウンロードさせた。これは実際にはマルウェアだった。pyenvの実行ファイルが悪意あるものに置き換えられ、外部サーバーと通信するバックドアが作られた。ゼロデイのマルウェアで、当時のエンドポイント保護ツールでは検知できなかったという。

FBIは攻撃者を北朝鮮の「TraderTraitor」と呼ぶ部隊と特定している。報告では、10月20日までに攻撃者がBinance社内のAIツールを使い、6月に侵害された最初のエンジニアと3人目の従業員のウォレットを掌握。10月29日に3人目の端末にログインして攻撃を開始した。

被害と対応

最初の不正送金から約2時間後の取引を止められなかった理由について、Binanceはホットウォレットが多者間計算(MPC)を採用しており、悪意あるEIP-7702認可を即座に無効化できる単一の秘密鍵がなかったためと説明した。

リチャード・テンCEOによると、ユーザーが損失を負うことはなく、約28.5億ドルの盗難資産が凍結または阻止された。影響を受けたトークンの98%は補填済みで、残る2%も対応中。出金は広く再開されている。Binanceは、北朝鮮関連とみられるサイバー攻撃57件を防いだとも述べた。

一方、なぜこの攻撃が成功したのかは不明な点が多い。面接で実行コードのダウンロードを求める手口の危険性は以前から指摘されてきた。攻撃に使われた社内AIツールの詳細や、それが攻撃者の助けになった理由も、ほとんど明らかになっていない。