📡 Signal｜SignalPlus 侵害、偽 Teams 招待が入口で被害8.2万ドル未満

暗号資産のオプション取引の道具を提供する SignalPlus は11月5日、侵害の報告を公表した。11月4日未明に攻撃を受け、被害の総額は8万2,000ドル未満で、影響を受けた利用者には全額を補償するとしている。

額は小さいが、入口と構造は見過ごせない。入口は偽の会議の招待で、被害を分けたのは取引所の API キーに IP の許可リストを付けていたかどうかだった。第三者の道具に鍵を預ける便利さの代償が、そのまま表に出た。

LiveMakers は Binance の対応を速報で伝えた。その時点で分かっていなかった額と経路が、本人の報告で出た。

偽の Teams 招待から社内へ

crypto.news が伝える SignalPlus の報告によると、経路は次の順だ。

• 同社の技術の取引先の担当者の Telegram アカウントが乗っ取られた
• 攻撃者がその担当者になりすまし、SignalPlus のエンジニアに偽の Microsoft Teams の招待を送った
• エンジニアの PC が侵害され、攻撃者はそこに潜んだ
• 11月4日未明、攻撃者がこの従業員の権限で社内のネットワークを狙い始め、同社が検知して遮断した

同社は取引端末のサービスを止め、提携する中央集権の取引所とともに、連携する API キーをすべて無効にした。Binance の公式 X は「自社の仕組みに影響はない」とし、利用者に直接ログインして持ち高と注文を確かめるよう求めた。Deribit も予防措置としてキーを外し、自社の仕組みやデータへの影響を示す兆候はないと説明した (WuBlockchain)。Binance の創業者 CZ 氏は X で、ほかの取引所でも SignalPlus に渡したキーを無効にするよう呼びかけ、Deribit が先に報告していたと書いた。

許可リストを必須にしていなかった

被害は、IP の許可リストを設定していない少数の口座に限られたという。同社は、取引所の API キーの利用に許可リストを必須にしていなかったと認め、責任は自社にあると述べた。

API キーは、外部の道具がログインなしで口座につなぎ、取引を行うための鍵だ。CoinDesk が説明するとおり、出金の権限を外していても、盗まれれば不正な取引に使われうる。許可リストは、決められた IP 以外からの利用を断る設定だ。

今後の対策として同社は、API の利用条件の強化、開発用の端末の保護、社内の権限管理と鍵の管理の見直しを挙げている。補償は個別の確認で始まっている。

同じ入口が繰り返されている

攻撃の形は、規模の違う事件と重なる。Binance の約63億ドルの流出では、偽の採用面接が入口だったと同社の初期報告が書いている。今回は偽の会議の招待で、どちらも開発者の端末を狙う。

SignalPlus の報告は攻撃者を特定していない。2つの事件を同じ攻撃者と結びつける根拠は、いまのところない。それでも、取引所が自社の防御を固めるほど、取引所に鍵を持つ外部の道具とその開発者が狙われる構図は読み取れる。Binance が連携先すべてに安全管理の点検を求めたのも、同じ認識からだ。

暗号資産の取引の道具を使う人にとって、今日できることは具体的だ。使っているサービスに渡したキーの一覧を取引所の画面で開き、出金の権限と IP の許可リストを確かめる。

次に見るもの

確認先は SignalPlus の公式チャンネルに出る再開の告知だ。同社は数日のうちにサービスを順次戻すとしている。再開の条件に IP の許可リストが必須として入るかで、報告の約束が実行されたかが分かる。Binance がキーの再接続を認める告知も、あわせて確かめられる。

ことば

• API キー — 外部のソフトが取引所の口座につなぐための鍵。権限を読み取りや取引に絞れるが、取引の権限があれば、盗まれた時に相手に有利な売買で資金を抜かれることがある。
• IP の許可リスト — あらかじめ登録した接続元からだけキーを使えるようにする設定。キーが漏れても、登録先の外からは使えなくなる。

🔗 一次ソース

• SignalPlus 公式 X の報告 (2026年11月5日) — 8万2,000ドル未満、補償、再開の見込み
• crypto.news の記事 — SignalPlus の報告の経路と対策crypto.news
• Binance 公式 X の告知 (2026年11月5日) — 連携キーの削除
• CZ 氏の X (2026年11月5日) — ほかの取引所のキーの無効化、Deribit の報告
• WuBlockchain の X (2026年11月5日) — Deribit の説明
• CoinDesk の記事 (2026年11月5日) — API キーのリスク、Binance の案内coindesk.com