11月3日、TechStartupsが「Binance says hackers used fake job interviews and AI tools to steal $6.3 billion in record crypto heist」と題した記事を公開した。この記事では、偽の採用面接とAIツールへの不正侵入を組み合わせた攻撃によって、Binanceから63億ドル相当の暗号資産が窃取された史上最大規模の金融犯罪について詳しく紹介されている。
攻撃の全貌：採用面接が突破口になった
今回の攻撃で際立つのは、ブロックチェーンの暗号破りでも、ゼロデイ脆弱性の悪用でもなく、「求人」と「AIツール」という日常業務の隙間を執拗に突いた点だ。
Binanceの共同CEOであるRichard Tengが11月3日にCNBCで語った攻撃の流れは以下の通りだ。
2026年6月： ウォレットインフラを担当するエンジニアがオンラインでAIコーディングツールを検索し、改ざんされたHomebrew（macOSのパッケージマネージャ）インストーラをダウンロードした。Binanceのセキュリティチームは不審なアクティビティを検知し、当該エンジニアのマシンを交換・認証情報をリセットした。しかしこの時点ですでに、攻撃者はそのエンジニアの担当業務とウォレットインフラに関わる同僚の情報を把握していた。
2026年9月： 攻撃者は手口を変えた。今度は正規の採用プラットフォームを通じて別のエンジニアに接触し、採用担当者と会社幹部を装って複数回の面接を実施。その後「コーディング課題」として業務用PCへのソフトウェアダウンロードを指示した。そのソフトウェアにはBinanceのエンドポイントセキュリティを回避するマルウェアが仕込まれていた。
「6月に、攻撃者は開発ツールの偽バージョンを用意し、エンジニアの一人をインストールするよう誘導した。9月には採用担当者を装い、別のエンジニアと複数回の採用面接を行い、最終的にセキュリティを回避するよう設計された隠しマルウェアを含むコーディング課題に至った……そこから彼らは社内AIツールを経由して暴力的に動き回り、ウォレットトランザクションを承認するシステムへのアクセスを得た」
— Richard Teng（Binance共同CEO、CNBC "Squawk on the Street"）
内部AIツールが「横断移動」の踏み台に
10月20日： 感染した端末と社内AIツールを経由して、攻撃者はさらに2名のウォレット担当エンジニアのデバイスへ到達。そのうち1台にはデプロイ用の認証情報が含まれており、ウォレット署名インフラへのアクセスが可能になった。
10月29日： 窃取した認証情報を使い、攻撃者はウォレット環境に悪意あるコードをデプロイ。数分以内に暗号資産がBinance管理ウォレットから流出し始めた。最初の約4分間で5つのホットウォレットから2億3,346万XRPが引き出され、その後Bitcoin、Solana、Ethereumほか複数の通貨でも大規模な引き出しが続いた。
攻撃者はさらに、Ethereumの**EIP-7702**を悪用して追加の転送権限を確立した。EIP-7702はいわゆる「アカウント抽象化」に関する仕様であり、外部所有アカウント（EOA）に対して一時的にスマートコントラクトと同等の振る舞いを付与できる。攻撃者はこの仕組みを利用し、自身が制御するアドレスへの転送権限をウォレットに事前に埋め込んだ。これにより、Binanceが出金停止措置を取った後も当該権限が残存し、一部のトランザクションが継続して実行されてしまった。ブロックチェーンの設計上、一度承認された権限は明示的に取り消さない限り有効であることが、被害拡大の一因となった。
最終的な損失は約63億4,000万ドルに達し、暗号資産取引所としては史上最大の被害額となった。
Binanceの対応：98%を自社資金で補填
Binanceは10月31日時点で、影響を受けたトークン資産の98%を自社資金で補填済みだと発表した。残りの流動性が低い暗号資産については現在も調達中だという。顧客への経済的負担は生じないと同社は明言している。
法執行機関・ブロックチェーン調査機関・業界パートナーとの連携により、約28億5,000万ドル相当の盗難資産が凍結または差し押さえられた（暗号資産価格の変動により変動する可能性あり）。
攻撃を受けたウォレットインフラと社内AIツールは再構築済み。侵害された従業員デバイスの交換、露出した認証情報の失効、全従業員へのセキュリティスキャン拡大なども実施している。TengはBinanceが第三者の独立したサイバーセキュリティ専門家による事後レビューを実施する予定であることも明かした。
FBIはこの窃盗を、北朝鮮のハッカー集団Trader Traitor（トレイダートレイター）に帰属させている。Tengはこの見解を認めながらも、Binance独自としての北朝鮮への帰属判断は明言を避けた。
エンジニアにとっての教訓
今回の攻撃が示す本質的な問題は、暗号技術やブロックチェーン自体のセキュリティとは無関係だという点だ。攻撃者がこじ開けたのは、ソフトウェアのダウンロードと採用面接という、エンジニアが毎日行う普通の業務プロセスだった。
また、社内AIツールが「横断移動（ラテラルムーブメント）」の踏み台になった点は、金融機関でのAI導入が進む現在、見過ごせないリスク要因だ。内部システムへの接続を持つAIツールは、アクセス制御が不十分であれば攻撃者の経路になりうる。
詳細はBinance says hackers used fake job interviews and AI tools to steal $6.3 billion in record crypto heistを参照していただきたい。
