Binance 63億ドルのセキュリティ侵害：北朝鮮による採用面接攻撃の分析

Binanceセキュリティインシデントの概要

2026年10月29日、Binanceは北朝鮮のハッカー集団Lazarusによる63億ドル相当の暗号資産の盗難被害を受けました。これは、彼らの「TraderTraitor」作戦によるものです。この侵害は単一の障害点によるものではなく、ソーシャルエンジニアリング、マルウェア、および内部AIツールの悪用を組み合わせた多段階のキャンペーンであり、ウォレットインフラへの不正アクセスを可能にしました。

攻撃ベクトル：偽の採用面接を通じたソーシャルエンジニアリング

攻撃者は、正規の雇用主を装うことでBinanceのエンジニアを巧妙に侵害しました。2026年9月、あるエンジニアがプロフェッショナルな求職プラットフォーム上で、リクルーターを名乗る人物から接触を受けました。そのプロセスは以下の通りです：

信頼の構築： 攻撃者はライブビデオ面接を行い、個人のソーシャルメディアアカウントや写真を共有することで信頼性を確立しました。
マルウェアの配布： CEOを名乗る人物との2回目の面接中、エンジニアは技術的な「課題」をダウンロードするように指示されました。このリポジトリには、エンジニアの作業用コンピュータ上の正規の開発ツール、具体的には pyenv を悪意のあるバージョンに置き換えるマルウェアが含まれていました。
永続性： マルウェアは外部サーバーとの通信を確立し、エンドポイントセキュリティツールによる検知を回避することに成功したため、攻撃者は足場を維持することができました。

エスカレーションと内部システムの侵害

攻撃者は最初の足がかりを利用して、Binanceの内部ネットワークを横方向に移動しました。10月20日までに、攻撃者は侵害したデバイスと内部AIツールを使用して、さらに2人の従業員（ウォレットDevOpsエンジニアのエンジニアA、およびウォレットソフトウェア開発者のエンジニアC）を標的にしました。

認証情報の窃取： 攻撃者は、エンジニアAのコンピュータに保存されていたコンテナデプロイメント権限トークンを発見しました。
最終実行： 10月29日、攻撃者はエンジニアCのシステムにアクセスし、エンジニアAから盗んだデプロイメントトークンを使用して、不正な資金転送を可能にするスクリプトを実行しました。

業界の視点とセキュリティへの影響

コミュニティの議論では、この侵害を許した組織のセキュリティ体制におけるいくつかの重大な欠陥が指摘されています。

開発者アクセスのリスク

批判者は、個々のエンジニアに与えられた過剰な権限を指摘しています。観測筋が指摘するように、一人のエンジニアが顧客の資金数十億ドルを単独で移動させる能力を持つべきではありません。厳格に強制されたCI/CDパイプラインではなく、コンテナデプロイメントのためにローカルのトークンに依存していることは、重大なアーキテクチャ上の弱点と見なされています。

"この規模の企業では、デプロイメントはCI経由のみであるべきです... 導入されているシステムは、1. コピー 2. ペースト 3. PCからトークンを削除し忘れない、といった作業を必要とするものであってはなりません。" — @handle

AIと現代の採用活動の役割

内部AIツールが攻撃対象領域となる可能性について懸念が高まっています。企業が厳格なセキュリティ監査なしに「vibecoded（直感的にコーディングされた）」AIツールを導入すると、横方向への移動のための新たなベクトルが生まれます。さらに、このインシデントは、候補者が面接プロセスの一環として不透明なコードの実行やサードパーティ製ソフトウェアのインストールを強制されることが多い、現代の高圧的な採用慣行の危険性を浮き彫りにしています。

帰属と対応の課題

Binanceはシステムを再構築し、法執行機関と協力して資産の凍結に取り組んでいますが、このインシデントは暗号資産取引の永続性に関する議論を再燃させました。一部の観測筋は、これほど巨額の資金を国家支援の攻撃者に移動させることが可能である以上、国家安全保障上の脅威から保護するために、より制御可能で、場合によっては取り消し可能な取引モデルへの移行が必要であると主張しています。