📡 Signal｜Binance、63億ドル流出の初期報告で偽の採用面接を入口と特定

Binance は11月3日、10月29日に起きた約63億ドルの流出について初期のインシデント報告を出した。攻撃は6月から段階的に進んでおり、決定的な入口は9月に社員が受けた偽の採用面接だった。CoinDesk と The Block が報告の内容を伝えている。

10月31日の時点で分かっていたのは、DevOps 担当者のノート PC 1 台が足がかりになったところまでだった (Deep Dive で整理した経過)。今回の報告はその手前と後ろを埋め、侵入に約5か月かけた作戦だったことを示した。取引所の資産を守る仕組みが、鍵の保管ではなく社員の採用・開発の道具の側から崩されたという点で、業界全体の点検項目が変わる。

6月から10月29日まで、侵入の4段階

両紙が伝える報告の時系列は次のとおりだ。

• 6月: ウォレットの運用を担う技術者が、AI のコーディングツールを入れようとして改ざんされた Homebrew (Mac 向けのソフト導入ツール) のパッケージを入れた。Binance は異常を検知して端末を交換し、認証情報も入れ替えたが、この技術者の役割や同僚の情報は攻撃者に渡った
• 9月: 別の社員が、正規の求人サイトを通じてプロジェクト責任者を名乗る人物から接触を受けた。偽の人事担当者とのビデオ面接、さらに CEO を名乗る人物との2次面接を経て、課題のコードを業務用の PC に落とした。CoinDesk によれば、課題には端末の防御ソフトをすり抜ける未知の脆弱性を突くマルウェアが入っていた
• 10月20日: 攻撃者はこの PC と社内の AI ツールを使い、ウォレット担当の技術者2人の端末に入った。The Block によれば、そのうち1台にコンテナを配備する権限が見つかった
• 10月29日: 盗んだ認証情報でコンテナを配備し、悪意あるスクリプトを動かした。CoinDesk によれば資金の流出は世界標準時20時05分に始まった

6月の段階で Binance は侵入の兆候を一度つかんでいる。端末の交換で止まったように見えた攻撃が、そこで得た組織の情報を使って3か月後に別の社員へ向かった。1回の検知で終わらせず、漏れた情報が次に何に使われるかまで追えたかどうかが、今回の分かれ目になった。

封じ込めに4時間かかった理由

CoinDesk が伝えた報告によると、攻撃者はイーサリアムの EIP-7702 を使ってホットウォレットの実行権限を得た。Binance のホットウォレットは複数の当事者で鍵を分けて署名する MPC 方式で、どれか1つの鍵だけでは付与された権限を取り消せない。このため封じ込めの完了は10月30日の世界標準時0時10分までずれ込んだ。流出の開始から約4時間後だ。

鍵を1か所に置かない設計は、鍵の盗難には強い。一方で、いったん正規の手順で権限が出てしまうと、取り消すのにも同じ数の当事者がそろう必要がある。今回の流出は、守りの設計がそのまま止める速さの上限にもなることを示した。

凍結と補塡、残るもの

報告によると、凍結または差し止めた資金は約28.5億ドル。被害を受けた資産の98%は会社の資金で補塡した。Binance は FBI がこの攻撃を北朝鮮によるものと認定したと説明し、2026年に北朝鮮との関連が疑われる攻撃を57件防いだとも明かした。多くが同じような手口だという。

対策として、Binance は攻撃に使われた入口を閉じ、影響を受けたシステムを作り直した。端末の管理を強め、AI を使った振る舞いの異常検知を広げ、独立したサイバーセキュリティの専門家による検証を入れるとしている。

次に見るもの

報告は「初期」と名乗っており、社内の AI ツールがどう使われて2人の端末に届いたのか、その技術的な詳細はまだ出ていない。確認先は Binance の公式 X と公式サイトのお知らせで、独立した専門家による検証の結果と、AI ツールの悪用経路を含む最終報告がいつ出るかを見る。同じ手口を受けうるのは取引所だけではない。採用面接の課題コードと、開発者が日常的に入れる AI ツールの導入経路を、各社がどう締め直すかが次の焦点になる。

ことば

• EIP-7702 — 2025年のイーサリアムのアップグレードで入った仕組みで、通常のアドレスに一時的にスマートコントラクトの機能を委ねられる。利便性のための機能が、今回はホットウォレットの実行権限を得る手段として使われた。
• MPC — 秘密鍵を複数の当事者に分割して持たせ、そろったときだけ署名できるようにする方式。鍵が1か所から盗まれる危険を減らす代わりに、操作を取り消す時にも複数の当事者の協調が要る。
• Homebrew — Mac で開発者が使うソフトの導入ツール。コマンド1行でソフトを入れられる手軽さから、改ざんしたパッケージを配る攻撃の標的にもなりやすい。

🔗 一次ソース

• CoinDesk「Binance's $6.3 billion hack began with a fake job interview, exchange says」(2026年11月3日) — 時系列、EIP-7702、MPC による封じ込めの遅れ、凍結約28.5億ドル・補塡98%coindesk.com
• The Block (2026年11月3日) — 6月・9月・10月20日・10月29日の4段階、北朝鮮関連の攻撃57件、独立した検証theblock.co
• Binance 公式 X の初期インシデント報告 (2026年11月3日)