ソフトウェアエンジニアは、採用担当者から通常の連絡を受けたと見られるものを受け取りました。採用担当者はもっともらしい身元を持ち、ライブビデオ面接を実施し、次のラウンドで技術的な課題を提示しました。
その課題にはマルウェアが含まれていました。
バイナンスによると、この偽の採用プロセスは、2026年10月29日に攻撃者がウォレットから約63億6000万ドルを不正に引き出したとされる複数の侵入経路の1つでした。FBIはその後、この盗難を北朝鮮の犯行と断定し、関連する活動をTraderTraitorと特定しました。
この事件は、記録上最大の仮想通貨盗難事件として説明されています。その重要性は、盗まれた金額を超えています。これは、北朝鮮の工作員が雇用市場の両面を利用していることを示しています。つまり、テクノロジー企業に侵入するために開発者として、そしてすでに内部で働いている人々を侵害するために採用担当者として振る舞っています。
バイナンスハッキングで何が起こったのか？
ブロックチェーンインテリジェンス企業TRM Labsによると、攻撃者はバイナンスのウォレットから10のブロックチェーンにわたって約63億6000万ドルを移動させました。資金の大部分は、約20分以内に移動しました。
影響を受けた資産には、Bitcoin、Ethereum、Solana、XRP、Arbitrumなどのネットワーク上のトークンが含まれていたと報告されています。バイナンスは、接続されているホットウォレットの1つが関与したことを確認しましたが、顧客資産の大部分はオフラインのコールドストレージに残っていると述べています。
バイナンスは、損失をカバーするために63億4000万ドル以上の会社資金を準備したと述べています。取引所とそのブロックチェーンパートナーは、影響を受けた資産約30億ドルを凍結しました。
凍結は、一部の資産が参加ネットワーク、発行者、またはサービスを通じて移動するのを防ぎます。必ずしも資金が回収されて返還されたことを意味するわけではありません。攻撃者は、すでに交換、ブリッジ、または参加組織の範囲外に移動した資産を依然として管理している可能性があります。
FBIが北朝鮮を非難した理由
FBIは、この攻撃を北朝鮮の犯行と断定し、同国のサイバー作戦に関連する悪意のある活動に使用されるラベルであるTraderTraitorと結びつけました。
FBIは、攻撃者が分散型金融プロトコルやインスタントスワップサービスを通じて盗まれた資産をマネーロンダリングし続けると予想されると警告しました。これらのツールは、ユーザーがトークンまたはネットワーク間で資産を交換することを可能にし、お金の流れをより複雑にする可能性があります。
ブロックチェーンのトランザクションは依然として可視ですが、可視性が必ずしも回収を保証するわけではありません。捜査官は、異なるネットワーク間でウォレットを接続し、どのサービスが使用されたかを判断し、アドレスを制御している人物を特定する必要があります。資産が制裁執行または身元確認の要求に協力しないプラットフォームに到達すると、回収はより困難になります。
TRM Labsは、攻撃の特徴が以前の北朝鮮関連の盗難と類似していると述べました。Chainalysisも、TraderTraitorが責任を負った可能性が高いと評価しました。FBIの帰属は、完全なフォレンジック記録が公開されていないにもかかわらず、その主張に公式な重みを与えています。
偽の面接は侵入経路の1つでした
バイナンスによると、同社のエンジニアの1人が9月に、架空の企業を名乗る人物から正規の求職プラットフォームを通じて連絡を受けました。
最初の面接中、人事担当者を装った人物がライブビデオ通話に現れました。そのプロフィールには、信頼できるように十分な個人情報と職務経歴が含まれていました。
2回目の面接では、技術的な課題が含まれていました。エンジニアは、マルウェアを配布するように改変されたコードリポジトリをダウンロードするように依頼されました。
バイナンスはまた、別のエンジニアがAIコーディングツールのセットアップ中に改ざんされたソフトウェアインストーラーをダウンロードした別のインシデントを発見しました。セキュリティチームはそのインストールを検出し、デバイスを交換し、認証情報をローテーションしました。同社は後に、従業員と同僚がまだ暴露されていた可能性があると述べました。
バイナンスは複数の侵害点が疑われると特定しました。したがって、証拠は、盗難全体を1回の面接または1人の従業員に還元することを支持していません。採用アプローチは、貴重なシステムへのアクセス権を持つ人々を標的とした、より広範なキャンペーンの一部であったようです。
求人面接が攻撃手法として機能する理由
技術面接は、通常のフィッシングメールにはないもの、つまりターゲットにコードを実行するように依頼する説得力のある理由を攻撃者に提供します。
ソフトウェアエンジニアは日常的にリポジトリをクローンし、パッケージを確認し、開発ツールをインストールします。それらのアクションを中心に構築された面接課題は、通常の採用慣行と一致しているように見える可能性があります。攻撃者はパニックを引き起こしたり、ありえない報酬を約束したりする必要はありません。要求は文脈に合っています。
また、雇用市場が厳しい時期には、求職者は新しい連絡先に対してより受け入れやすくなる可能性があります。説得力のある採用担当者、現実的な企業プロフィール、および数回の会話は、ファイルがダウンロードされる前に疑いを低下させる可能性があります。
これは、開発者に適応したソーシャルエンジニアリングです。攻撃者は、資格情報を直接要求するのではなく、ターゲットが信頼できる環境に悪意のあるソフトウェアを自発的に導入する状況を作り出します。
北朝鮮はリモート採用の両面を利用している
偽の採用は、操作の一部にすぎません。
北朝鮮のIT労働者は、盗まれた身元と偽造された職務経歴を使用して、テクノロジーおよび金融企業で実際の職を得ています。その後、彼らの給与は、北朝鮮政府とつながりのある組織に届く前に、口座、仮想通貨ウォレット、および仲介業者を通じて送金される可能性があります。
10月28日の米国財務省の措置は、これらのスキームに関連する10人の個人と1つの法人に制裁を科しました。2人のロシア国民は、北朝鮮のIT労働者ネットワークのために約550万ドルの仮想通貨を換金した罪で告発されました。
Chainalysisは、給与のようなステーブルコインの支払いを表示するウォレットから、制裁された統合アドレス、そしてロシアの仲介業者への1つのフローを追跡しました。資金は最終的に、換金のために制裁されたロシアの取引所であるGarantexに送金されました。
Chainalysisの調査によると、より広範なIT労働者ネットワークは、国連パネルの推定を引用して、北朝鮮に年間2億5000万ドルから6億ドルの収益をもたらしている可能性があります。
10月28日に制裁されたロシア人がバイナンスの盗難に関与したという公開された証拠はありません。これらのケースは、証明された単一の被告グループではなく、同じより広範な戦略の異なる部分を示しています。
AIは偽の身元をより説得力のあるものにしている
北朝鮮の工作員は、履歴書を作成し、カバーレターを書き、技術面接の練習をするために、生成AIを使用していると報告されています。AI生成のプロフィール写真と操作されたビデオは、リモート通話中に申請者が実際の身元を隠すのに役立つ可能性があります。
同じツールが偽の採用担当者をサポートできます。攻撃者は、企業アイデンティティを作成し、プロフェッショナルに見えるプロフィールを作成し、かつては詐欺を検出するのが容易だった言語エラーなしで、説得力のある書面での会話を維持できます。
ディープフェイクビデオは完璧である必要はありません。圧縮されたビデオフィードを通じて行われる短い面接では、軽微な視覚的な問題が通常のネットワークの問題のように見える可能性があります。候補者または採用担当者は、カメラの品質、帯域幅、またはプライバシーの懸念を非難して、背景をぼかしたままにすることもできます。
AIが根本的なスキームを作成したわけではありません。それは、複数の偽の身元を維持するためのコストを削減し、基本的なスクリーニングをより信頼性の低いものにしました。
以前の制裁事件が金融パイプラインを説明している
10月28日の制裁は、北朝鮮の工作員が仮想通貨の支払いを受け取った後に何が起こるかについての有用な文脈を提供します。
米国財務省は、ロシア国民のイリヤ・アレクサンドロヴィチ・ボイコフが、北朝鮮のIT労働者とつながりのある制裁対象企業Alisのために約350万ドルの仮想通貨を換金したと主張しました。ヴィトルト・ヴィクトロヴィチ・オベルタスは、約200万ドルの仮想通貨を換金し、北朝鮮当局のために少なくとも125万ドルの他の通貨取引を処理した罪で告発されました。
財務省はまた、ロシアで運営されている北朝鮮管理下の組織であるFirst Financial and Technical Development Centerに制裁を科しました。同組織に関連する6人の労働者は、2025年以降に75万ドル以上を生み出したとされています。
これらの指定は、操作には技術面接を通過できる以上のものが必要であることを示しています。また、マネージャー、身元提供者、ラップトップオペレーター、ウォレットコントローラー、およびデジタル資産を使用可能な資金に変換できる仲介者も必要です。
ウォレットに制裁を科すことは、1つのルートを妨害する可能性があります。ネットワークは、アドレス、チェーン、仲介業者、またはキャッシュアウトサービスを変更することで対応できます。このため、トランザクション監視は、静的なブラックリストにのみ依存するのではなく、関係と行動を調べる必要があります。
仮想通貨企業が魅力的な標的となる理由
仮想通貨企業は、リモートワークと譲渡可能な価値への直接アクセスを組み合わせています。
開発者は、ソースコード、デプロイメントツール、クラウドインフラストラクチャ、または内部ウォレットシステムにアクセスできる場合があります。セキュリティエンジニアは、複数のネットワークを保護する認証情報で作業する場合があります。1つのエンドポイントを侵害した攻撃者は、いつでも移動できる資産を保持するシステムへのパスを探すことができます。
従来の金融送金は、多くの場合、決済システム、銀行、および営業時間管理を通過します。仮想通貨のトランザクションは、数分以内に国境を越えて決済できます。その速度は正規のユーザーに利益をもたらしますが、盗難を阻止するために利用できる時間を短縮します。
バイナンス事件は、その問題の規模を示しています。ブロックチェーンパートナーが盗まれた資産のほぼ半分を凍結したと報告されているにもかかわらず、調整された対応が効果を発揮する前に、数十億ドルが移動しました。
ホットウォレットは依然として重要なセキュリティ境界です
ホットウォレットはオンラインシステムに接続されているため、取引所は引き出しを処理できます。その可用性により、署名認証情報をオフラインで保持するコールドウォレットよりも露出が多くなります。
APレポートは、外部のセキュリティ専門家を引用し、侵害された承認が影響を受けたウォレットへの過度に広範または長期的なアクセスを提供した可能性があるかどうかを疑問視しました。バイナンスは完全な技術的説明を公開しておらず、調査は継続中です。
関連する問題は、単に取引所がホットウォレットを使用しているかどうかではありません。すべてのアクティブな取引プラットフォームは、顧客の引き出しを処理する方法を必要とします。問題は、オンラインに保持される価値の量、トランザクション制限がどのように施行されるか、および異常な転送にいくつの独立した承認が必要かということです。
安全なコールドストレージシステムは総損失を制限できますが、運用ウォレットにすでに移動された資産を保護することはできません。検出とトランザクション制御は、その境界でも依然として重要です。
30億ドルの凍結は回収プロセスを終了させない
報告されている約30億ドルの凍結は重要です。しかし、かなりの金額が未解決のままです。
一部のブロックチェーン発行者は、コントラクトレベルでトークンを凍結できます。取引所は、特定されたアドレスに関連する入金をブロックできます。バリデーター、ブリッジ、および分析会社は、盗まれた資産が移動し始めると、迅速にアラートを配布できます。
他の資産は停止するのが困難です。攻撃者は、分散型プールを通じてトークンを交換したり、チェーンを横断したり、プライバシーツールを使用したり、米国当局と協力しない管轄区域にあるサービスを通じて資金をルーティングしたりする可能性があります。
FBIは特に、DeFiおよびインスタントスワップサービスがマネーロンダリングプロセスに現れる可能性があると警告しました。その警告は、それらのサービスが意図的に参加したことを意味するものではありません。許可のないツールは、正規の顧客と制裁対象者の両方によって使用される可能性があります。
回収は、捜査官が新しいアドレスをどれだけ迅速に特定できるか、そして残りの資金のどれだけがブロックできるサービスに到達するかにかかっています。
仮想通貨企業がこの攻撃から学ぶべきこと
バイナンス事件は、採用セキュリティが人事部門だけのものではありえない理由を示しています。
信頼できるような求人連絡は、本番システムへの侵入経路になり得ます。面接中に受け取ったコードは、認識されている雇用プラットフォームを通じて提供された場合でも、信頼できないソフトウェアとして扱われるべきです。それを隔離されたデバイスまたは一時的な環境でテストすることで、通常のキャリア会話が企業の認証情報に到達するのを防ぐことができます。
身元確認も、採用後も継続する必要があります。初日に書類を確認しても、異常なリモートアクセス、デバイスの場所、または支払い変更を無視する企業は、アカウントが乗っ取られた兆候を見逃す可能性があります。
北朝鮮のIT労働者に関するFBIのガイダンスは、職務経歴の独立した検証、身元の矛盾の調査、および労働者の実際の場所を隠すために使用される米国内の「ラップトップファーム」に注意を払うことを推奨しています。また、不正なリモートアクセスソフトウェアや米国内の「ラップトップファーム」についても警告しています。
仮想通貨企業にとって、採用管理、デバイスセキュリティ、ウォレットの権限、および制裁スクリーニングは、1つのシステムとして機能する必要があります。攻撃者はすでにそのように扱っています。
Tapbitは、デジタル資産市場を形成する力に影響を与える読者のために市場分析と仮想通貨教育を発行しています。Tapbitでの最新の報道を探索したり、Tapbitログインを通じて既存のアカウントにアクセスしたり、プラットフォームの詳細についてはTapbitに登録したりしてください。
よくある質問
2026年10月にバイナンスをハッキングしたのは誰ですか？
FBIは、この盗難を北朝鮮の犯行と断定し、TraderTraitorと関連付けました。TRM LabsとChainalysisは、攻撃の挙動と以前のインシデントとの関連に基づいて同様の評価を下しました。
バイナンスからいくら盗まれましたか？
約63億6000万ドルの仮想通貨資産が、10のブロックチェーンにわたるバイナンスのウォレットから移動されました。これは、記録上最大の仮想通貨盗難事件として説明されています。
バイナンスは顧客の資金を失いましたか？
バイナンスは、損失をカバーするために63億4000万ドル以上の会社資金を準備したと述べ、ユーザーを保護することを約束しました。同社は、顧客資産の大部分がオフラインのコールドストレージに残っていると報告しました。
