$63億ドルのBinanceハッキングはわずか20分で実行された

$63億ドルのBinanceハッキングはわずか20分で実行された

仮想通貨企業と捜査当局は、史上最大規模とされる仮想通貨の盗難事件を受けて、数億ドル相当の盗まれたデジタル資産の凍結と追跡に奔走しています。木曜日、東部標準時午後4時頃から、ハッカーは仮想通貨取引所Binanceに属するウォレットから、複数のブロックチェーンに分散された約63億ドル相当の仮想通貨を急速に引き出し始めました。

盗難後、Binanceは調査の一環としてほぼ直ちにサービスからの全ての入出金を停止し、事件の背後にいる人物の特定に協力していると述べています。同社は他の仮想通貨企業と共に、これまでに盗まれた資金の約半分を凍結することに成功したと発表しており、これはハッカーが資金をさらに移動させたり現金化したりするのを阻止しています。しかし、残りの仮想通貨の多くは凍結できない可能性があります。

3つの仮想通貨追跡企業は、この攻撃が北朝鮮のハッカーによるものである可能性を迅速に指摘しています。「北朝鮮が責任を負っていると考えています」と、Ellipticの最高科学責任者兼共同創設者であるトム・ロビンソン氏はWIREDに語りました。「もし北朝鮮が関与しているなら、この1回の盗難で、同政権がこれまでに盗んだ仮想通貨の総額がほぼ倍増することになります。」

仮想通貨追跡企業TRM Labsの分析によると、盗まれた仮想通貨の大部分は10月29日の約20分間に引き出されました。TRMの分析によると、Ethereum、Bitcoin、Tron、Solanaを含む少なくとも10のブロックチェーンにわたるBinanceのウォレットが空になり、単一の攻撃者が管理する複数のアドレスに送金されました。「盗難の少なくとも36時間前から準備が始まっていました」とTRMはブログ記事で述べています。同社によると、攻撃者のウォレットの1つは、テスト期間中に3回の少額引き出しを受け取った後、操作を拡大しました。

「10月29日の早い時間に、オペレーターは攻撃のための最初のコードを展開し、2つのウォレットでテストしました」とTRMは述べています。「その日の後半、第3のウォレットで最終バージョンをリハーサルし、テスト資金を自身に戻しました。そのリハーサルの4時間後、同じコードがBinanceのホットウォレットにインストールされました。」ホットウォレットとは、インターネットに接続されており、仮想通貨取引所が顧客の出金を処理できるようにするものです。アナリストによると、資金は影響を受けたブロックチェーンのホットウォレットから引き出されました。

このハッキングで使用された戦術は、TraderTraitorとして知られる北朝鮮のハッカーエリート集団が過去に使用した手法に似ているようです。仮想通貨追跡企業のTRM LabsとChainalysisは共にTraderTraitorが攻撃の背後にいると考えていると述べていますが、Robinson氏はEllipticは具体的にこのグループと結びつけていないものの、活動に重複が見られるとしています。

Binanceも法執行機関も、この攻撃と北朝鮮のハッカーとの関連について、いかなる容疑者も名指ししていません。近年、北朝鮮のハッカーは繰り返し仮想通貨企業を標的にし、仮想通貨ハッキングで数億ドルを盗んでいます。複数の北朝鮮のハッキンググループがこの分野の企業を標的にする可能性がありますが、TraderTraitorは、頻度は低いものの注目度の高い攻撃を実行する専門家となっています。

北朝鮮の広範なハッキング活動（高度に制裁され抑圧的な政権のために資金を稼ぐことを目的としていることが多い）の中で、TraderTraitorは近年、その洗練さと仮想通貨および分散型金融企業への標的化で際立っています。昨年、FBIはTraderTraitorを、仮想通貨取引所Bybitに対する15億ドルのハッキングの責任者として名指ししました。

Binanceは、北朝鮮のハッカーがこの巨額のハッキングの背後にいると考えているかどうかについてのWIREDの質問には答えず、ハッキングによる全ての損失を補償し、責任者を特定するために法執行機関と協力しているという声明を指し示しました。

「初期調査では、セキュリティインシデントは侵害されたエンジニアのラップトップが関与した可能性が示唆されていましたが、その後の調査で追加の侵入点が明らかになりました」と同社は声明で述べています。「これは複雑な攻撃であり、解決に向けて法執行機関と連携し、可能な限りのことを行っています。」

「これらの人々は、分散型金融組織に侵入する点で、ある種の芸術家です」と、セキュリティ企業Sophosの脅威インテリジェンス担当シニアディレクター、ラフェ・ピリング氏はWIREDに語りました。「TraderTraitorは、これらのより大規模なオペレーションに焦点を当てているようです。過去には、独自の偽アプリケーションを開発し、それらを使用して組織内に侵入しようとしていました。」

TRMとChainalysisは当初、この攻撃をTraderTraitorと関連付けており、その判断はオンチェーンおよびオフチェーンのアクティビティの両方の分析に基づいているとしています。「Chainalysisの調査員が、先月発生したBitgetエクスプロイトで盗まれた資金が、北朝鮮の攻撃者によるとされるものと混ざっているのをリアルタイムで観測したときに、最も強力な証拠が現れました」とChainalysisの研究ブログは述べています。

「Binanceによると、攻撃はエンジニアのラップトップが侵害されたことから始まりました。仮想通貨企業のスタッフを標的にすることはTraderTraitorの特徴です」とEllipticのRobinson氏は述べています。「攻撃者はTornado Cashを通じてウォレットに資金を供給し、Bybitの場合と同様に事前に攻撃をリハーサルしました。」

攻撃直後には約30億ドルの仮想通貨が凍結されましたが、盗まれた仮想通貨の全てが凍結できるわけではないため、背後にいる者たちは依然として巨額の資金を持ち去る可能性があります。Chainalysisの研究によると、同社は「これまで見たことのない資金洗浄パターン」を目にしており、数千件のトランザクションが迅速に処理されていることは、資金の追跡を曖昧にするために「自動化を使用している」ことを示唆しています。

EllipticのRobinson氏によると、盗まれた総額の約44％にあたる約28億ドルが、これまでに仮想通貨企業や取引所によって凍結されており、そのほとんどがステーブルコインです。「残りの33億ドルは、主にBitcoin、Ether、XRPであり、これらは誰も凍結できません」とRobinson氏は述べています。「取引所やその他のサービスに到達するまで止めることはできません。今後数ヶ月で一部は捕捉されるでしょうが、凍結される割合がさらに上昇するとは予想していません。」