8兆ウォンが目の前で流出…バイナンス「悪夢の20分」

状況は切迫していた。世界最大の暗号資産取引所バイナンスのセキュリティーチームが異常な兆候を捉えた時には、すでに10億ドル以上が消えていた。経営陣と社員約100人が数分で緊急ビデオ会議に接続した。しかし画面上の資金流出は止まらなかった。被害額は30億ドルに膨らみ、20分後には60億ドルを超えた。役職員らは口座から資金が抜けていく様子を恐怖の中で見守るしかなかった。

29日（現地時間）にバイナンスで少なくとも63億ドル（約8兆4000億ウォン）が奪われた事件の緊迫した対応過程が明らかになった。ウォール・ストリート・ジャーナル（WSJ）とブルームバーグ通信の報道を総合すると、取引所が業界に緊急支援を要請する間、ハッカーらは盗んだコインを別のコインに交換し、凍結網をすり抜けた。セキュリティー企業は北朝鮮のハッカー組織が背後にいると指摘した。

◇経営陣を緊急招集しても阻止できず…徹夜で凍結要請

ニューヨーク時間で29日午後4時20分ごろ、アラブ首長国連邦（UAE）アブダビのバイナンス・セキュリティーチームが大規模な不正引き出しを検知した。直ちに上級経営陣に報告し、非常対応チームを招集したが、膨らむ被害額を確認するしかなかった。

外部でも警報が鳴った。ブロックチェーン取引を監視するセキュリティー企業の自動警報が、主要投資家に異常取引を知らせた。午後4時32分には、ソーシャルメディアXに「確認はされていないが、バイナンスで大規模ハッキングが発生した可能性がある」との投稿が載った。その6分後、非営利セキュリティー団体SEALの研究員テイラー・モナハン氏が、ステーブルコイン発行会社テザーに緊急連絡した。

ステーブルコインはドルなどに価値を連動させた暗号資産だ。テザーやサークルのような発行会社は、特定のウォレットに入った自社コインの移動を止めることができる。ハッカーが別の資産に交換する前に縛っておくことが最優先だった。バイナンスもTRMラボ、チェイナリシス、エリプティックなどと共に、盗難資金が入ったウォレットアドレスを絞り込み、発行会社に凍結を要請した。

経営陣は夜通し業界関係者に電話をかけた。妊娠約7カ月半だった共同最高経営責任者（CEO）のイー・ホー氏は、UAEで徹夜しながら対応し、香港にいた共同CEOのリチャード・テン氏も眠れなかった。トランプ大統領一家が関与するワールド・リバティ・ファイナンシャルも、バイナンスからウォレットリストを受け取り、盗まれた資産約2700万ドルを凍結した。

だがハッカー側も動いていた。盗んだステーブルコインなどを、市場価格より高い値を払ってまでイーサリアムに交換した。交換過程で損失を出しても、凍結を避ける意図だったとみられる。ビットコインとイーサリアムには、発行会社が一括して取引を遮断する機能がない。

ハッカーらは午後5時ごろには、融資プラットフォームのアーベにステーブルコイン6000万ドル相当を担保として預け、約4460万ドル相当のイーサリアムを借りた。盗んだコインを直接売らず、担保に入れて別のコインを受け取った形だ。担保が凍結されても、すでに移したイーサリアムまで同じ方法で縛ることはできなかった。

バイナンスはその夜、約30億ドルが凍結されたと発表した。しかしTRMラボは、ハッカーらが約24億ドルを凍結しにくい暗号資産の形で流出させたと分析した。融資プラットフォームも疑わしい口座の融資を遮断したが、資金の一部はすでに流出した後だった。

◇過去の犯行資金と混ざり残した「北朝鮮の痕跡」

攻撃の出発点は社員のノートパソコンだった。バイナンスは、開発・運用エンジニアのノートパソコンがハッキングされ、不正引き出しが可能になったと明らかにした。ハッカーらは取引承認システムの欠陥を突き、複数のブロックチェーン・ウォレットから資産を抜き取った。他の内部システムも侵害された可能性を調べている。

背後を追跡する手掛かりも資金の流れから出てきた。暗号資産ウォレットに所有者の実名は表示されないが、取引履歴は公開台帳であるブロックチェーンに残る。分析企業は、盗難資金が経由したウォレットと取引手法を過去の攻撃事例と照合した。

ハッカーらはまず少額を送り、ウォレットが正常に作動するか確認した後、大金を移した。複数のウォレットの間で資金を繰り返し回し、追跡もかく乱した。ところが先月のビットゲットへのハッキングで奪われた資金と、今回のバイナンスの資金が混ざる状況が捉えられた。資金を隠そうとした動きが、二つの事件を結び付ける手掛かりを残したのだ。

TRMラボとパンゴリン・インテリジェンスなどは、資金の流れと攻撃パターンを分析し、北朝鮮の国家支援ハッカー組織「トレーダー・トレイター」が背後にいると指摘した。昨年バイビットから約15億ドルを奪った事件でも、米連邦捜査局（FBI）が名指しした組織だ。

バイナンスが出金を停止すると、利用者の間では取引所FTXの崩壊を思い起こす反応も出た。だがバイナンスは、自社資金と利用者資産保護基金などで損失を穴埋めすると明らかにした。盗まれた資産を会社の資金で補い、顧客に損失を転嫁しないという意味だ。31日には、奪われたトークンの90％を補填し、11月1日から出金を再開する予定だと告知した。

事件の約1週間前に「どんな暗号資産ウォレットも100％安全ではない」と警告していた創業者の趙長鵬氏は、今回は顧客を安心させなければならなかった。同氏は「全ての利用者資金が全額補償されるとみている。利用者資金は安全だ」と述べた。