バイナンスから63億4,000万ドルが盗まれた事件は偽の採用面接から始まり、最初のコインが1枚動くまでに5カ月にわたって続いていた。同取引所が米国時間の火曜日（11月3日）、10月29日の攻撃について初めて公に示した説明で明らかにした。
バイナンスの初期インシデント報告書は、共同CEOのリチャード・テン氏と最高セキュリティ責任者のジミー・スー氏によるメディア向け説明会にあわせて公表された。報告書は、汚染されたソフトウェアのダウンロード、偽装された採用プロセス、エンドポイント検知をすり抜けたマルウェア、そして攻撃者が同社自身のウォレットエンジニアに向けて逆用した社内AIツールを組み合わせた攻撃キャンペーンを記述している。
バイナンスは、盗まれた資産のうち約28億5,000万ドルを凍結または阻止し、影響を受けたトークンの98%を自社資金で補填したと述べた。残りは公開市場で買い付けているという。
「これは一度のミスや一度の侵害ではない。数カ月にわたる攻撃キャンペーンだった」と、テン氏はXに投稿した。「報告書の全文を公表するのは、その教訓がバイナンスの枠をはるかに超えるからだ」
FBIは今回の攻撃を北朝鮮によるものとしている。バイナンスの報告書はこの認定を引用しているが、同社独自の帰属判断には踏み込んでいない。北朝鮮は月曜日（11月2日）にこの主張を否定し、金正恩（キム・ジョンウン）総書記の妹である金与正（キム・ヨジョン）氏が、国営メディアを通じて「重大な政治的挑発」だとした。
バイナンスへの
バイナンスによると、今回のハッキングの最初の足がかりは6月に築かれた。ウォレットのDevOpsエンジニアが人気のAIコーディングツールを検索し、改ざんされたHomebrewのインストーラーをダウンロードしたという。
バイナンスのセキュリティチームは異常を検知し、端末を交換して認証情報を更新した。しかしこの一件で、同エンジニアの役割と、ウォレットインフラチームの同僚の名前が露見した。
9月には、2人目のエンジニアが正規の求人プラットフォーム上で、プロジェクトディレクターを名乗る人物から接触を受けた。続いて人事担当者を名乗る人物とのビデオ面接が行われ、面接官は信頼を得るために個人のソーシャルメディアアカウントを共有した。CEOを名乗る人物との2回目の面接は、「課題」で締めくくられた。業務用の端末にインストールするよう指示されたコードリポジトリだ。
このリポジトリは正規のpyenvコンポーネントを悪意あるバージョンに置き換え、攻撃者が管理するサーバーとの通信経路を開いた。バイナンスによると、このゼロデイ・マルウェアは当時、同社のエンドポイントツールで検知されなかった。
攻撃者は10月20日、その端末と社内AIツールを使い、さらに2人のウォレットエンジニアに到達した。そのうち1人は、コンテナのデプロイ用トークンを保有していた。10月29日の協定世界時（UTC）午後5時15分から午後7時56分にかけて、攻撃者は3人目のエンジニアのコンピューターにログインし、盗んだ認証情報でコンテナをデプロイして、資金の抜き取りを開始した。バイナンスは、同様のおとりを使った、北朝鮮との関連が疑われる攻撃の試みを、今年ほかに57件阻止したと述べた。
封じ込めまで
資金は瞬く間に流出した。UTC午後8時5分から午後8時9分の間に、5つのホットウォレットが2億3,346万XRPを攻撃者のアドレスへ送金した。続いてSolanaとOptimism上のウォレットから、約97万500SOLと4,420万OPが送られた。その後、バイナンスのホットウォレット1つから18,270BTCが送金された。
攻撃者は侵害した署名サービスを使ってイーサリアムのEIP-7702を呼び出し、攻撃者が管理するコントラクトに、バイナンスのホットウォレット1つの部分的な制御権を与えた。EIP-7702は、アカウントが鍵を公開することなく、スマートコントラクトに実行権限を委任できる仕組みだ。
出金の停止でも、この最後の経路は止まらなかった。攻撃者は、バイナンスの出金インフラの外側で機能するオンチェーンの委任を設定するため、50件の署名トランザクションを送信していた。このウォレットはマルチパーティ計算を用いていたため、委任を取り消すための単一の鍵が存在せず、チームはその場で手順を組み立てなければならなかった。最後の不正送金となった2,961.9ETHは、UTC午後11時56分に確定した。
バイナンスは、10月30日のUTC午前0時10分に委任を解除した。
報告書は、こうした隙があったことを認めている。「これらの課題により、不正な資産移動を完全に封じ込めるまでに要する時間が長引いた」としたうえで、同社が署名ポリシーの適用範囲とホットウォレットの管理体制を見直していると付け加えた。
テン氏が火曜日に共有したデータによると、日曜日（11月1日）に出金が再開されてからの46時間で、顧客は109億7,000万ドルを引き出し、純流出額は52億8,000万ドルとなった。UTC午前3時までに1時間あたりの入金額が出金額を上回り、テン氏はこの変化を安定化の兆しだと述べた。バイナンスは火曜日、9つのネットワークで、さらに数十の資産の出金を再開した。
今回の侵害は、ワシントンで議論の材料となっている。商品先物取引委員会（CFTC）のマイケル・セリグ委員長は、オフショア取引所に連邦レベルの登録の道を設ける必要性について、今回のハッキングは「我々の主張をまさに裏づけている」と述べた。また同委員会は火曜日、米国の規制下にある取引所での株式パーペチュアル先物（無期限先物）を認め、5月にカルシ（Kalshi）のビットコイン・パーペチュアル先物で始めた国内回帰（オンショアリング）の取り組みを広げた。
バイナンスは、ウォレットシステムと社内AIツールを新たな環境で再構築し、影響を受けた端末を交換し、エンジニアの認証情報を失効させ、行動異常検知を拡充したと述べた。
同社は独立したレビューを委託しているほか、エンドポイントと開発環境のセキュリティへの支出を増やし、外部企業とともにAIセキュリティに関する研究基金を設ける計画だ。報告書によると、一部の技術的な詳細は非公開のままとされる。
