要点
- 世界最大の暗号資産の取引所 Binance から、約64億ドル（Elliptic の推計）が盗まれた。記録に残る暗号資産の盗難で最大だ。
- 米国の FBI は10月31日（米国時間）、犯人を北朝鮮の集団「TraderTraitor」と断定した。2024年に DMM Bitcoin から約482億円を盗んだのと同じ集団だ。
- Binance Japan は、日本の利用者の資産に影響は確認されていないとしている。ただ、この集団は偽の求人で個人に近づく手口をよく使うため、仕事でITを使う人も狙われうる。
何が起きたか
盗難は日本時間の10月30日早朝に始まった（UTC では10月29日20時5分ごろ）。ブロックチェーンの分析会社 Elliptic によると、11のブロックチェーンにまたがる Binance の「ホットウォレット」（すぐに送金できるよう、ネットにつないだまま置いておく財布）から、数時間で資金が抜き取られた。
被害額は、Elliptic の推計で64.3億ドル、Binance 自身の推計で約63億ドルだ。2025年に Bybit から盗まれた14.6億ドルの4倍を超える。
Binance は10月30日の発表で、最初の調べから、DevOps（システムの運用を担う）エンジニアの乗っ取られたノートPCが関わっている可能性があるとした。攻撃者はそこから社内のサービスに入り、勝手に出金の指示を出した可能性があるという。Binance は「秘密鍵（財布を動かすための鍵）が漏れた証拠は見つかっていない」としている。Elliptic は、攻撃者が鍵を盗んだのではなく、Binance 自身の仕組みに送金の署名をさせたとみている。その後 Binance は、ほかにも侵入された場所があったと伝えている。
FBI は、犯人を TraderTraitor と断定した。盗まれた資金の流れは、米国の Secret Service、IRS（内国歳入庁）の犯罪捜査部門と一緒に追っているという。報道によると、FBI は資金洗浄に使われているアドレス（送金先の番号）を600以上公開し、取引所や DeFi（銀行を通さない、ブロックチェーン上の金融サービス）の業者に、これらとの取引を止めるよう求めている。Elliptic は FBI の発表より前から、北朝鮮の犯行の見込みが高いとみていた。今回、それを FBI が正式に断定したことになる。
Elliptic が確かめたところでは、約28.5億ドル（盗まれた額の約44%）が凍結された。多くは、Tether や Circle が発行するステーブルコイン（ドルと同じ値に保つ暗号資産）だ。一方、ビットコインのように発行元が凍結できない資産は止められていない。攻撃者の手元には、約32億ドルがまだ残っているとされる。
Binance は、損失の全額を自社の基金（SAFU）と会社の資金で埋めるとしている。止めていた出金は、11月1日にビットコインから順に再開し始めた。
日本の利用者への影響
Binance Japan を使っている人がいま使えないのは、暗号資産を外へ送る「出庫」だ。売買や日本円の出し入れ、暗号資産を受け取る入庫は止まっていない。10月30日のお知らせによると、出庫を止めたのは念のためで、被害は確認されていない。
被害がないとする理由として、Binance Japan は資産の置き場所を挙げている。利用者から預かった暗号資産は、日本の法律に沿ってコールドウォレット（ネットから切り離した財布）に置いている。狙われた Binance グローバルのホットウォレットとは、分けて管理しているという。
発表の時点では48時間以内の再開を見込んでいたが、再開したかどうかはこの記事では確かめられていない。最新の状況は Binance Japan の公式サイトで確かめてほしい。
TraderTraitor は、日本ともつながりの深い集団だ。警察庁、FBI などは2024年12月、DMM Bitcoin から4,502.9 BTC（約482億円）が盗まれた事件をこの集団の犯行と特定した。この件では、採用担当を装った人物が LinkedIn で、日本のソフトウェア会社 Ginco の社員に近づいた。採用試験を装ったプログラムを実行させたのが始まりだった。
今すぐやること
- 公式の窓口だけを信じる。 Binance Japan は、ホームページのお知らせと公式 SNS で情報を出すとしている。「補償の手続き」や「資産の確認」をうたうメールや DM のリンクは開かない。
- 出庫の再開は自分で確かめる。 Binance Japan を使っているなら、公式アプリかサイトのお知らせで状況を見る。問い合わせは、アプリの有人チャットを使う。
- 知らない人からの「採用試験」を実行しない。 SNS で声をかけてきた採用担当から、プログラムやファイルを実行するよう言われたら、まず疑う。Microsoft は、北朝鮮系の集団が AI を使って、偽の会社や偽の採用担当を作っていると報告している。
- 会社の大事なシステムに触れる人は、私物と仕事の PC を分ける。 警察庁などの発表によると、DMM Bitcoin の件で狙われたのは DMM Bitcoin の社員ではなく、委託先の Ginco の社員だった。攻撃者はこの社員になりすまして、Ginco のシステムに入ったという。Binance も、最初の調べで技術者のノートPCが関わっている可能性があるとした。
- 採用する側は、応募者の本人確認を強める。 Microsoft は、電話やビデオで経歴を確かめ、カメラの前に本人が出るかを見るよう勧めている。
背景
北朝鮮は、暗号資産を盗んで国の資金にしているとみられている。米国政府は、これが兵器の開発の資金になっていると指摘している。Elliptic によると、北朝鮮につながる集団が近年盗んだ額は、65億ドルを超えるとされる。今回の1件だけで、その総額がほぼ倍になる。
TraderTraitor は、Jade Sleet、UNC4899、Slow Pisces などの名前でも追跡されている。この集団の狙いは、取引所の技術者や開発者だ。偽の求人、偽のアプリ、開発に使う部品の偽物などを使い、端末を乗っ取ってから、会社の中の大事なシステムにたどり着く。2025年の Bybit の事件でも、財布そのものではなく、その周りの仕組みや人が狙われた。
技術者向けの詳細
- Binance は最初の調べで、乗っ取られたノートPCからサービスのコンテナに入られ、勝手に出金の取引を送られた可能性があるとした。
- 持ち出されたのは 167,464 ETH と63種類のトークンで、トークンには約16億 USDT が入っていた（Elliptic）。Elliptic の見立てでは、鍵は盗まれていない。Binance 14 というホットウォレット自身の鍵で正しく署名された EIP-7702 の委任で、財布の操作が攻撃者の sweeper コントラクトに移ったという。チェーンごとの内訳は、Ethereum が約38億ドル、BTC が18,270 BTC、Tron の USDT が6.127億だ。
- FBI が公開したアドレスは、報道によると Ethereum が600以上、Bitcoin が20弱、Solana が1つ。取引所や DeFi の運営者は、FBI の一覧と照らし合わせることが求められている。Chainalysis によると、攻撃者はすでに「数千」のアドレスを使っている。
- FBI は、盗んだ資産が主に ETH に替えられているとし、さらに DeFi や instant swap のサービスで洗浄が続くとみている。
- Zscaler ThreatLabz は10月8日、AWS の provider を装った Terraform provider（
terraform-provider-awsbeta_v1.0.0）を報告した。これはバックドアの FLATROOF と ROOFDECK を配る。Zscaler は TraderTraitor の犯行を「疑われる」とするにとどめ、高い確信度でそう言えるだけの証拠はまだないとしている。Binance の件にこれが使われたとは、どの一次情報も言っていない。 - この件で Zscaler が挙げた対策は、開発者の端末を守るためのものだ。予期しないプロセスの動きに目を配る、provider の checksum を照らし合わせる、信頼できない provider を入れさせない、の3つだ。
- Microsoft の報告（10月29日）には、Defender の設定例（Safe Links、ASR ルール、device code flow を止めることなど）が載っている。