FRBとOCC、63億ドルのバイナンスハッキングを受け米銀行に聞き取り

米国の銀行規制当局は今週、先週起きたバイナンスの63億ドル規模のハッキングを受けて銀行に連絡し、各行のシステムに脆弱性がないかを確認した。ロイター通信が米国時間の木曜日、事情に詳しい複数の関係者の話として報じた。

米連邦準備制度理事会（FRB）と米通貨監督庁（OCC）の監督官は月曜日の朝から銀行への連絡を始め、通常と異なる動きやサービスの障害がなかったかを尋ねた。

今回の連絡は、規制当局が記録上最大の暗号資産窃取を、暗号資産取引所だけの問題ではなく、伝統的な金融にとってのリスクとなりうるものとして扱っていることを示している。銀行と暗号資産業界の結び付きが強まるなかでの動きだ。

銀行は自社システムを診断

規制当局から連絡を受けた銀行の関係者1人はロイターに対し、自行のサービスに障害は出ていないと語った。同行の従業員は顧客向けの説明要旨を用意したが、その後、問い合わせはほとんど受けていないという。

銀行各行は今回の攻撃を分析し、同様の攻撃を防げることを確かめるため、自社システムの診断を進めている。取り組みに詳しい関係者2人が明らかにした。

ハッキングから数時間のうちに、米大手銀行の1行のサイバーセキュリティチームが、バイナンスの担当者に連絡を取った。同チームは社内報告書をまとめており、これをもとに同行のシステムの見直しが行われ、サイバーセキュリティの更新につながる可能性もあるという。同行が同じ手口に対して脆弱かどうかは、まだ明らかになっていなかった。

関係者の1人によると、最大の懸念は、人工知能（AI）モデルが急速に進化しており、銀行がハッカーに追いつくのが難しくなっていることだという。銀行は、サイバーセキュリティ関連のコードの見直しと修正に多くの資源を投じている。

バイナンスは、銀行と規制当局のやり取りについても、今回のハッキングが米国の銀行に何らかの影響を与えたかどうかについても、把握していないとした。

「当社は世界各地の規制当局と緊密に連絡を取り合い、今回のセキュリティ侵害について最新の情報を伝えている」と、バイナンスの広報担当者は述べた。

バイナンスのハッキングの手口

AIをめぐる懸念は、今回の攻撃の経緯とも重なる。バイナンスによると、窃取は偽の採用面接から始まり、コインが動くまで5カ月にわたって続いた。攻撃キャンペーンは、汚染されたソフトウェアのダウンロード、偽装された採用プロセス、エンドポイント検知をすり抜けたマルウェア、そして攻撃者が同社自身のウォレットエンジニアに向けて逆用した社内AIツールを組み合わせたものだった。

資金は10月29日、複数のブロックチェーンにまたがるバイナンスのホットウォレットから流出し始めた。ブロックチェーン分析企業のチェイナリシスとTRM Labsは、このハッキングを北朝鮮に関連する部隊TraderTraitorと結び付けた。

バイナンスはその後、ビットコインを皮切りに出金を段階的に再開した。同社は、盗まれた資産のうち約28億5,000万ドルを凍結または阻止し、影響を受けたトークンの98%を自社資金で補填したとしている。

バイナンスが説明した手法は、いずれも暗号資産に固有のものではない。ソーシャルエンジニアリング、悪意あるダウンロード、侵害された社内ツールは、大規模な金融機関であればどこでも直面するリスクだ。銀行のサイバーセキュリティチームが数時間のうちに動いた背景の一つも、ここにある。

深まる結び付き、強まる監視の目

今回の確認は、米規制当局がこの1年半、銀行が暗号資産分野で業務を広げられるよう道を開いてきたなかで行われた。OCCは2025年3月、国法銀行が暗号資産のカストディやステーブルコイン関連の業務を始める前に、監督上の不異議（ノンオブジェクション）を得るよう求めていた要件を撤回した。FRBは翌月、州加盟銀行に対し、暗号資産関連の業務を始める前にFRBへ通知するよう求めていたガイダンスを撤回した。

ビットコインのカストディやステーブルコインの発行、取引所向けのサービスを手がける銀行が増えるにつれ、大手暗号資産プラットフォームでの侵害は、銀行の監督当局にとっても問題となる。

伝統的な金融機関も、大規模な窃取と無縁ではない。フランスの銀行クレディ・ミュチュエル・アルケアは水曜日、サイバー攻撃を受け、同行自身の口座から不正な送金が行われたことを認めた。オンチェーン調査者は被害額を1億3,300万ドル超としているが、同行はこの数字を認めておらず、顧客の資産には影響がなかったとしている。

FRBもOCCも、バイナンスのハッキングに関連した新たなガイダンスを公には発表していない。