バイナンス、偽の採用面接が63億ドル規模の暗号資産強奪につながったと明かす

佐々山 Tacos

2026.11.04

バイナンス、偽の採用面接が63億ドル規模の暗号資産強奪につながったと明かす

BleepingComputer – November 3, 2026

暗号資産取引所のバイナンスは、最近発生したデジタル資産窃取事件の原因が、北朝鮮関連ハッカーの偽採用面接で欺かれた同社従業員がマルウェアをインストールしてしまったためだったことを公表。このマルウェアはこれまでに知られていなかった「ゼロデイマルウェア」で、同社のエンドポイントセキュリティ保護ツールに検知されなかったという。

バイナンスでは、10月29日に重大なセキュリティインシデントが発生。これにより、約63億4,000万ドル相当の資産が影響を受けたとされる。米FBIはその後、この攻撃を北朝鮮の国家支援型ハッカー「TraderTraitor（Lazarus Group、Jade Sleet、APT38とも）」によるものと評価していた。

バイナンスが11月3日に公開したインシデントレポートによると、このインシデントは単発の孤立した侵害でも、単純なフィッシングインシデントでもなく、高度な多段階型のキャンペーンだったとされる。攻撃者は以下の流れで攻撃を準備・実施したという。

2026年6月：バイナンスのウォレットDevOpsを担当するエンジニアAが、サプライチェーン攻撃により汚染されたHomebrewをダウンロード。セキュリティチームにより異常が検知され、デバイスの交換およびすべての関連する認証情報の更新が行われたものの、この攻撃により、攻撃者はエンジニアAの職務およびウォレットインフラチーム所属の同僚らについて知ることができたとされる。
2026年9月：架空企業の「プロジェクトディレクター」を名乗る人物が、正規の求職者向けプラットフォームを通じてバイナンスのソフトウェアエンジニアBに接触。人事部との初回面接と、CEOとされる人物との2次面接が設定された。なおエンジニアBはこのプラットフォーム上にバイナンスでの勤務歴を掲載していたため、同取引所を侵害したいと目論む攻撃者にとっては魅力的なターゲットとなっていた可能性が高い。
初回面接：人事担当者を名乗る人物は、リアルタイムのWeb面接を実施。この人物は、信頼を構築するため、個人的な写真や動画を含む自身のソーシャルメディアアカウントをエンジニアBに共有した。
2次面接：人気ソーシャルチャットアプリ上で実施され、面接の最後の方に面接官がエンジニアBに対し、「課題」をダウンロードするよう指示。この課題に含まれていたコードリポジトリは、悪意あるコードを含んでいた。

面接官の指示に従ったことで、エンジニアBのコンピューターには高度に難読化され、複数の回避手法を備えるマルウェアが展開されることに。同マルウェアが採用する手法には、正規の開発ツールのコンポーネントを悪意あるバージョンに置き換え、これを使ってコマンドを実行したり、攻撃者が制御する外部サーバーとの通信を確立したりするものがあったという。

具体的には、まずmacOSのHomebrewインストールディレクトリ内に「pyenv_」という名前の代替実行ファイルを作成。その後、正規の「pyenv」実行ファイルを削除し、悪意あるファイルの名前を「pyenv」に変更してシンボリックリンクを書き換え、これを使用してZシェル（zsh）プロセスを起動していたとされる。この悪意ある代替ファイルにより、攻撃者は自身が制御するサーバーから受信したコマンドを実行できるようになっていた。

攻撃者は10月20日までに、侵害されたエンジニアBのコンピューターと社内向けAIツールを使用し、エンジニアAと別のウォレットソフトウェアエンジニアCを侵害。エンジニアAのコンピューター上に、コンテナデプロイ権限トークンが保存されていることを突き止めた。

その後、10月29日の17:15〜19:56（現地時間）にかけて、攻撃者はエンジニアCのコンピューターにログオンすると、エンジニアAから盗んだ認証情報を使用してコンテナをデプロイし、攻撃を開始するための悪意あるスクリプトをトリガーさせたという。

これにより攻撃者はバイナンスのウォレット署名サービスへの不正アクセスを達成し、複数のブロックチェーンで数十億ドル相当の暗号資産を不正に送金することが可能となった。加えて、イーサリアムのEIP-7702認証メカニズムを悪用することにより、バイナンスが出金を停止した後も暗号資産の窃取を継続することができていたとされる。

バイナンスは、その後、影響を受けたシステムの再構築、侵害されたデバイスの交換、および盗まれた認証情報の無効化を行ったと述べている。なお、11月3日時点で、盗まれた資産のうち約28億5000万ドルが凍結または差し押さえられており、10月31日時点では、影響を受けたトークン資産の98％が補充されていたという。

マルウェアのインストールにつながる偽の採用面接といえば、北朝鮮関連のハッキングキャンペーンとして知られる「Contagious Interview」および「Operation Dream Job」に共通する戦術。バイナンスは今回のエンジニアの侵害をいずれのキャンペーンとも関連づけていないが、偽のリクルーターの使用、複数回の面接、コーディング課題の使用といった点は、過去に報告された北朝鮮関連キャンペーンの戦術と酷似しているとBleepingComputerは指摘した。

バイナンスはこのセキュリティ侵害について引き続き調査を進めているとし、調査結果の検証のために独立したセキュリティ企業を招き入れたと述べている。