Binanceの盗難事件はどのようにして発生したのか？

Binanceの事故報告書（The Registerが報じた）によると、6月には、あるエンジニアが悪意のあるHomebrewインストールパッケージをダウンロードした後にセキュリティチームに発見されました。9月には、別のエンジニアが求人サイト上で偽のプロジェクトディレクターから連絡を受けました。一連の偽の面接の後、作業タスクと偽装された悪意のあるリポジトリがそのエンジニアの作業用コンピューターに実行されました。

盗難の金額はいくらで、誰が責任を負っていたのか？

各機関の推定値は63億ドルから64億4300万ドルの間です。FBIの警告では、この事件は北朝鮮のハッキンググループによるものとされており、その詳細は情報源や公式な警告に基づいています。

一般企業や求職者は、何に対して保護をすることができるのでしょうか？

3つの注意点：面接官から送られてきたコードリポジトリを自分の仕事用コンピューターで直接実行しないこと、独立したチャネルを通じて採用担当者の身元を確認すること、そして「課題をダウンロードして実行する」ことを高リスクな状況と扱うこと。

Hot Tracking 036｜偽面接で Binance に侵入、63億ドル相当が流出

何が起こったか

Theban Event Report（The Registerより転載）によると、攻撃の流れは5つのステップに分かれていました：

6月の警報。Thebanのエンジニアが悪意のあるHomebrewインストールパッケージをダウンロードし、これはサプライチェーン攻撃でした。セキュリティチームはこれを検出し、デバイスの交換や影響を受けたシグネチャーのローテーションを行いました。しかしThebanの説明によると、エンジニアAの職務やウォレットインフラチームの同僚の情報がハッカーに漏れていました。
9月の偽面接。別のエンジニアが正式な求人サイトで自称プロジェクトディレクターの人物と接触し、一連の面接を手配しました。第一回のビデオ面接で、偽HRはエンジニアにソーシャルメディアアカウントを共有し、そこにある個人写真やビデオで信頼を築きました。Thebanの報告によると、これは以前見た社会工学手法よりも高度で欺瞞的でした。第二回の面接は偽CEOが人気のソーシャルチャットアプリで行い、最後にはエンジニアに「課題」として悪意のあるコードを含むリポジトリをダウンロードするよう指示しました。この課題は彼の作業用コンピュータ上で実行されました。
悪意のあるスクリプトが何をしたか。「課題」リポジトリでは、setupプロセス中にHomebrew Cellar内のpyenv 2.8.0を悪意のあるバージョンに置き換えました：まずpyenv_（3,414バイト）を書き込み、合法なpyenv（3,344バイト）を削除し、悪意のあるバージョンを名前変更で置き換え、次に/opt/homebrew/bin/pyenvを削除し、シンボルリンクを再構築してzshを起動しました。Thebanの説明によると、エンドポイントセキュリティツールはこの悪意のあるソフトウェアをすぐに検出できず、攻撃者はスクリプトを隠したり、検出を回避する措置を取りました。
10月20日の横断移動。攻撃者はこのコントロールされたコンピュータとThebanの内部AIツールを使用して、ウォレットDevOpsエンジニアAと別のウォレットソフトウェアエンジニアCのコンピュータのアクセス権を得ました。
10月29日の実行。攻撃者はエンジニアCのコンピュータにログインし、エンジニアAのコンテナデプロイメント権限トークンを使用してコンテナをデプロイし、スクリプトを使って資金を盗みました。

報告書に列挙された攻撃面は5つあります：偽面接社会工学、悪意のあるダウンロード、攻撃された内部AIツール、エンドポイントの乗っ取り、そして高度な取引認可方法（具体的な実装は公開されていません）。Thebanの見解では、これは複雑な多段階の行動であり、単一の侵入や単純なフィッシングではありませんでした。

6月の警報が10月の扉を閉じなかった

批判は、主要な攻撃者が狡猾だということではなく、プロセスアナリストによる監査であり、どこに欠陥があるかを一つずつ調べるものでした。

第一に、検出成功は処理完了とは限りません。悪意のあるインストールパッケージは6月に検出され、デバイスが交換され、シグネチャーがローテーションされましたが、最も重要な項目が行われませんでした：漏洩した情報が完全に排除されていませんでした。敵はエンジニアAが誰で、どの職務を担当し、チーム内に誰がいるかを既に知っていました。検出されたのはファイルレベルの侵入であり、漏洩したのは組織関係の情報でした。4ヶ月後の横断移動はまさにこの線を通じて行われました。「悪意のあるソフトウェアが除去された」という基準で、6月は合格と見なされました。しかし「敵が得た情報が無効になった」という基準で評価するならば、その処理は全く完了していませんでした。

第二、職場のコンピューターで見知らぬコードを実行することを誰も止めない。エンジニアは会社のデバイスを使って私的な就職活動の「課題」を実行し、端末ツールはpyenvのスクリプトを即時検出して置き換えることがなかった。コメントには二つの意見があった：一方は驚愕し、エンジニアが職場のコンピューターで私的な就職活動の課題をどうやって行うのかと；もう一方は反問し、それが何か特別なことではないと、多くの同僚が仕事中に関係のないことをしている。このような行為は一般的であり、防御線は個人の自覚に基づいて構築することはできない。BYODの境界と最小権限は古い問題であり、今回の学費は63億ドルに上る。

第三、内部AIツールが新たな攻撃面となった。攻撃者はBinanceの内部AIツールを利用して、2人のウォレットエンジニアのコンピューターに侵入した。企業の内部ネットワークでは、AIツールは非常に高い権限を持つ新しいメンバーであり、侵害の経路は従来の脅威モデルでは全く描かれていない可能性がある。

第四、就職プラットフォームは身元確認のコストを各求職者に外部委託した。偽の求人者は正規の就職プラットフォームで数週間から数ヶ月運営し、9月に接触し、10月に成功し、事件が明らかになるまでその経路が見えなかった。HNの多くのコメントでは、LinkedIn上の偽求人者の報告が無視されたと指摘されている（コメント者の声明）。プラットフォームが参加を確認しない人は、自分自身で相手を確認するしかない。

第五、採用プロセスの非人間化がこの詐欺を生み出した。実際の面接は希少なものとなり、求職者は自らに近づいてくる「実際の人」に対して警戒心を解いた。詐欺師は防御線を突破したのではなく、自分が開けた門の中に入ったのだ。

各機関の声明が一致しない

金額は以下のように並べられている：FBIとThe Registerは63億ドルと述べている；TRM Labsは63.6億ドルと述べており、その大部分は約20分以内に移動された；Ellipticは約64.3億ドルと述べており、28.5億ドルの盗まれた資金が凍結または押収されたことが確認されている。各機関の数字が一致しないため、本文では単一の正確な値を結論として採用していない。

FBIの警告はすべて公式の声明に従って伝えられている：警告では関連するウォレットアドレスのリストが公開され、取引所、ブロックチェーン分析会社、仮想資産サービスプロバイダーに阻止を呼びかけている；ハッカーはすでに盗んだ資金をエテリアンに交換し始めており、調査当局は資金がDeFiプラットフォームや即時交換サービスを通じて移動されると予想しており、追跡の難易度を高めている。TRM LabsとEllipticの2つのブロックチェーン情報会社は、FBIの声明前に同様の帰属を発表していた。

The RegisterのFBIの帰属記事によると、Binanceは攻撃後、停止した顧客の引き出しが回復しました。取引所は約95％の盗まれた資金を補填したと述べており、残りの部分は流動性が限られているため補填が困難であると述べています；共同CEOのRichard Tengは顧客に損失を負担させないと約束しました。同じ記事の副題では、取引所が緊急に資金を補充している間、顧客は数十億ドルを引き出したと述べています。以上はその記事の声明です。

Binance事件の報告書による事後措置：攻撃されたウォレットシステムと内部AIツールの再構築；影響を受けたすべてのデバイスの交換；関与したエンジニアのすべての証明書とトークンの無効化；法執行機関、ブロックチェーン情報会社、セキュリティ研究者との協力による凍結資金の追跡；独立したネットワークセキュリティ専門家の雇用による評価；安全研究基金の設立を発表し、ブロックチェーン環境のAIセキュリティに焦点を当てる。報告書は何が行われたかを述べていますが、6月の処理については、組織の関係が暴露された面や内部AIツールの権限モデルがどのようなものかという2つの重要な問題についての答えがありません。

コメント欄ではどう言われているか

HNでの議論は300以上あり、高い評価を受けた立場は5つの方向に分かれている：

一、採用エコシステムの構造的反省がトップに立つ。最高評価のコメントでは、真の悲劇は求職者が実際の面接を渇望しすぎて常識を捨ててしまうことにあると指摘されている。雇用主は人材を採用できない、詐欺的な候補者に遭遇するという不満を抱えているが、この困難は彼ら自身が引き起こしたものである：プロセスを延長し、貪欲に選別することで、人と人との接触を希少なものにしている。また、テクノロジー企業が候補者に自動化の各段階を飛ばして実際の面接を行わせ、その結果がこうなったと皮肉る声もある。90年代にマンハッタンで面接時に筆記試験を先に受けさせられ、その場で拒否して去ったという人もいる。

二、求職プラットフォームの不満。ある人は、LinkedInで求職状態を掲載した後、多くの偽会社から偽の面接を受けてきたと語り、一人の相談会社に登録した後、迷惑な広告を受け取ったと述べている。別の人は、ある人物が自社の採用担当者を装って長期にわたって詐欺を行い、何百回も報告しても誰も相手にしなかったが、最終的にLinkedInの従業員とパーティーで出会い、内部チャンネルを通じて自分がマークされたことを知ったと語っている。ある人はさらに厳しい結論を出している：LinkedInは荒れ地であり、マイクロソフトの経営陣はおそらく自分たちがそれを持っていることを忘れている。以上はすべてコメント者の意見である。

三、職場パソコンの境界に関する議論。ある人は、エンジニアが職場のパソコンを使って私的な求職作業を行うことに困惑している。別の人は、それが何か特別なことではないと反問し、技術的な解決策として、そのような作業は少なくともDockerコンテナ内で実行されるべきであり、ネットワークアクセスとボリュームマウントを管理する必要があると提案している。

四、皮肉と冗談。ある人は、もしその作業が安全な職種のテスト問題であったら、皮肉は最大限に効くだろうと言っている。

五、企業のセキュリティ対応の変化。ある人は、いくつかの企業がセキュリティ運用のリソースを候補者の審査に振り向けていることに気づいている。その理由は、外部が非常に危険だからである。

一般ユーザーができる3つのこと

面接作業は隔離環境で実行する。 ダウンロードを求められるテスト問題、コードリポジトリ、テストツールなどは信頼できる入力として扱わない：仮想マシンやコンテナを使用して実行し、ネットワークアクセスとボリュームマウントを管理し、実行が終わったら環境を破棄する。実際のデータやセキュリティ情報が保存されているパソコンには絶対に実行させない。特に職場のパソコンはダメである。このケースの入口は、一度のセットアップ実行である。
求人主催者を逆転検証し、相手が提供する身分証明書を信じない。 偽のHRは、信頼を築くために写真とビデオ付きのソーシャルアカウントを用意しているが、それは見た目だけである。検証方法：相手が提供するリンクを使わず、公式ドメインから公式サイトを探す；公式の公開メールアドレスや電話番号で確認し、採用担当者と連絡を取る；会社名に「scam」キーワードを付けて検索し、先例を見る；相手が作業のダウンロードを急かすほど、一時停止する必要がある。
私的な求職と会社のデバイスを分離し、管理側はAIツールを権限監査に組み込む。 求職者：私的な面接や作業は会社のデバイスでは行わない。これは最低限のルールであり、清潔さへのこだわりではない。管理側：「会社のデバイスで外部コードを実行する」ことを隔離と承認のポリシーに加える；内部AIツールの権限を点検し、階層別に監視する。今回の横断的な移動は、脅威モデルに含まれていない道筋を進んでいる。

結論

制限声明：本文は推測や罪状の設定を行わない。Binance事件報告の全文は独立した検証を経ていない。攻撃チェーンの詳細はThe Registerからの転述であり、全文は報告者自身の説明に基づいて記載されている。FBIによる公式警告の転述は直接引用せず、解釈も加えていない。金額は各機関の定義範囲を採用している。コメント欄での求職プラットフォームへの指摘はすべてコメント者の見解である。確実に確認できるのは三点だけ：二つのタイムラインがそれぞれ出典を持つこと、各機関の金額定義が実際に一致しないこと、事件報告で挙げられた五つの攻撃面は取引所自身が認識しているものであること。この事件には業界にとって二つの真の問題がある：採用プロセスで実際の人材を希少品にしてしまい、その希少性を利用した詐欺が起きている。内部セキュリティプロセスでは六月の警告を単なる事件として処理し、10月まで続く暴露面として扱わなかった。

次に二つのポイントに注目する：一つ目は不正資金の行方である。FBIは関連するウォレットアドレスのリストを公開しており、ハッカーは以太坊の交換を始めている。Ellipticが確認した凍結・押収金額は28.5億に達している。マネーロンダリングや追跡に関する重大な進展があれば、このコラムでフォローする。二つ目はBinance側の対応である：独立した専門家の評価結果、セキュリティ研究基金の実際の詳細が公開され次第、v2を開始する。48時間の期間は11月6日14:09Z前後に終了し、この期間中に何か動きがあればv2を更新する。

参考資料

The Registerの詳細記事（2026-11-03、Jessica Lyons；ローカル証拠ev1105-register-text.txt。攻撃チェーンの五段階、pyenvの置換スクリプト、五つの攻撃面はすべてこの記事からBinance報告を転述したものであり、自己説明に基づいている）。
The RegisterのFBI帰属記事（2026-11-02、Carly Page；ローカル証拠ev1105-fbi-text.txt。FBIの警告は公式の説明の転述である。TRM Labsの63.6億、Ellipticの64.3億および28.5億の凍結データはこの記事からの二次引用である。Binanceが出金を再開し、約95％を補填し、共同CEOがこの記事の説明を約束した）。
Binance事件報告（2026-11-03にbinance.comブログで公開；全文は独立した検証を経ていない：裸抓は空欄、代理401、Waybackにはアーカイブがない。本文の詳細はすべてThe Registerからの転述であり、いかなる説明も更新されていない）。
Hacker News story 50365755（2026-11-04T14:09Zに掲載；Algoliaのスナップショット545▲/327💬、数字は依然として上昇しており、本文は500▲以上のレベルで記述されている。コメントボックスには60件のローカル証拠ev1105-hn-nkbinance.jsonがあり、すべて引用されて転述されている）。

署名：Yongliang