Binance、偽の就職面接が$6.34Bの強奪にどうつながったかを詳述

Binanceは火曜日、$6.34 billionの窃盗は偽の就職面接を起点としており、資金が動くまでに5か月が経過したと述べた。これは、10月29日の攻撃について同取引所が初めて公に説明したものだった。

Binanceはまた、共同CEOのRichard Tengと最高セキュリティ責任者Jimmy Suによるメディア向け説明会と合わせて、最初のインシデント報告書を公表した。報告書は、汚染されたソフトウェアのダウンロード、仕組まれた採用プロセス、エンドポイント検知をすり抜けたマルウェア、そして同社自身のウォレットエンジニアに対して使われた社内AIツールを含むキャンペーンを描写している。

Binanceによると、盗まれた資産のうち約$2.85 billionが凍結または傍受され、影響を受けたトークンの98%が同社自身の資金から補充され、残りは公開市場で購入された。

「これは一つのミスや一つの侵害ではなかった。数か月にわたるキャンペーンだった」とTengはXに書いた。「教訓はBinanceをはるかに超えたものだから、私たちは完全な報告書を公開している」

FBIはこの攻撃をNorth Koreaと結び付けている。Binanceの報告書はその調査結果に言及しているが、採用はしていない。月曜日、Pyongyangはこの主張を否定し、指導者Kim Jong Unの妹であるKim Yo Jongは国営メディアでそれを「重大な政治的挑発」と呼んだ。

Binance強奪に先立つ5か月の準備

Binanceによると、最初の足場は6月に得られた。あるウォレットDevOpsエンジニアが人気のAIコーディングツールを探し、改ざんされたHomebrewインストーラーをインストールした。

Binanceのセキュリティチームはその異常を察知し、デバイスを交換し、認証情報をローテーションした。それでもこの出来事によって、そのエンジニアの役割とウォレットインフラストラクチャチームの同僚の名前が明らかになった。

9月、別のエンジニアが、本物の採用プラットフォーム上で、プロジェクトディレクターを名乗る人物から連絡を受けた。続いて、HR担当者とされる人物とのビデオ面接が行われ、その中で面接官は信用を得るために個人のソーシャルメディアアカウントを共有した。CEOとされる人物との2回目の会話は「課題」で終わり、その課題は、そのエンジニアが仕事用のマシンにインストールするよう指示されたコードリポジトリだった。

そのリポジトリは、正規のpyenvコンポーネントを悪意のあるバージョンに置き換え、攻撃者が管理するサーバーへのリンクを作成した。Binanceによると、同社のエンドポイントツールはその時点でゼロデイマルウェアを検知しなかった。

10月20日、侵入者はそのマシンと社内AIツールを使って、さらに2人のウォレットエンジニアに到達し、そのうち1人はコンテナデプロイメントトークンを持っていた。10月29日、17:15から19:56 UTCの間に、彼らは3人目のエンジニアのコンピューターに入り、盗んだ認証情報を使ってコンテナを展開し、流出を開始した。Binanceは、今年、同様の誘い文句を使ったNorth Korea関連と疑われる他の57件の試みを阻止したと述べている。

封じ込めには4時間かかった

資産は素早く動いた。20:05から20:09 UTCの間に、5つのホットウォレットが233.46 million XRPを攻撃者のアドレスに送った。続いてSolanaとOptimismのウォレットが約970,500 SOLと44.2 million OPを移動させ、Binanceのホットウォレットが18,270 BTCを送った。

攻撃者は侵害された署名サービスを使ってEthereumのEIP-7702を有効化した。これは、アカウントが鍵を露出させることなくスマートコントラクトに実行権限を委任することを可能にするもので、攻撃者が管理するコントラクトにBinanceのホットウォレットの一部の制御を渡した。

出金停止はその最終経路を閉じなかった。攻撃者はすでに50件の署名トランザクションを送信し、Binanceの出金インフラストラクチャの外で動作するオンチェーン委任を設定していた。ウォレットがマルチパーティ計算を採用していたため、それらを取り消す単一の鍵は存在せず、チームはその場で手順を作成することを余儀なくされた。最後の不正送金である2,961.9 ETHは23:56 UTCに確定した。

その委任はBinanceによって10月30日00:10 UTCに解除された。

報告書はこの問題を認めている。「これらの課題により、不正な資産移動を完全に封じ込めるのに必要な時間が延びた」と報告書は述べ、さらに同社が署名ポリシーの適用範囲とホットウォレットの管理をレビューしていると述べている。

Tengが火曜日に共有したデータによると、日曜日に出金が再開してからの46時間で顧客は$10.97 billionを引き出し、純流出は$5.28 billionとなった。03:00 UTCまでに、毎時の入金が引き出しを上回り、Tengはこの変化を安定化の兆しと呼んだ。火曜日、Binanceは9つのネットワークにわたる数十の追加資産について出金を復旧した。

この侵害はWashingtonで議論の的になっている。CFTC委員長Michael Seligは、このハックが、オフショア取引所に対する連邦登録の道筋の必要性について「私たちの主張をまさに証明している」と述べ、また同庁は火曜日、米国規制下の取引所向けに株式の無期限先物を承認し、5月のKalshiのbitcoin perpに始まった国内回帰の取り組みを拡大した。

Binanceによると、ウォレットシステムと社内AIツールは新しい環境で再構築された。影響を受けたデバイスは交換され、エンジニアの認証情報は取り消され、行動異常検知は拡張された。

独立したレビューが委託され、エンドポイントと開発環境のセキュリティへの支出が増やされ、外部企業がAIセキュリティ向けの計画中の研究基金に招き入れられている。報告書によると、一部の技術的詳細は非公開のままとなる。