「面接課題をダウンロード」偽求人で侵入、バイナンス8兆ウォン流出

9月、世界最大の暗号資産交換所バイナンスに勤務していたエンジニアが、求人プラットフォームで面接の提案を受けた。別の会社で社員を採用しているとして連絡してきた相手は、自らをプロジェクト責任者だと紹介した。最初の面接は「人事担当者」とのビデオ通話だった。面接官は自分の日常の写真や動画が載ったソーシャルメディアのアカウントまで見せ、信頼を得ようとした。

2回目の面接には「最高経営責任者（CEO）」が現れた。ソーシャルメディアのメッセンジャーで行われた面接が終わるころ、CEOはエンジニアに課題をダウンロードするよう指示した。エンジニアは業務用パソコンで課題ファイルを受け取った。だが、会社も面接官もすべて偽物だった。課題には、インストール過程で実行される悪性コードが潜んでいた。

バイナンスが3日（現地時間）に公表した初期調査報告書は、約63億4000万ドル（約8兆4000億ウォン）が奪われたハッキングの背後に、こうした偽の採用があったと明らかにした。米連邦捜査局（FBI）が北朝鮮の犯行と名指しした攻撃者らは、数カ月かけて侵入を準備した。社員のパソコンを感染させた後、社内の人工知能（AI）ツールを悪用して同僚の端末まで掌握し、最終的に暗号資産を移動するのに必要な承認権限を手に入れた。

◇社員をだまして侵入、社内AIを使って広がる

報告書で明らかになった最初の侵入は6月だった。暗号資産ウォレットの開発・運用を担当するエンジニアA氏が、AIコーディングツールをインストールしようとして、改ざんされたインストールプログラムをダウンロードした。セキュリティーチームは異常の兆候を発見し、パソコンを交換して関連する認証情報を変更した。しかし、A氏の担当業務やウォレット管理チームの同僚に関する情報は、すでに攻撃者に流出した後だった。

9月の偽面接の標的になったのは、別のエンジニアB氏だった。B氏がダウンロードした悪性コードは、正常な開発ツールの一部をすり替え、攻撃者の外部サーバーと通信した。当時、セキュリティープログラムはこれを検知できなかった。攻撃者らは侵入の痕跡も消し、発見と追跡を難しくした。

先月20日には、感染したB氏のパソコンから社内AIツールを悪用し、A氏とさらに別のエンジニアC氏の端末まで掌握した。続いてA氏のパソコンから、会社システムにプログラムを配布できる認証情報を見つけ出した。1人の社員のパソコンから始まった攻撃が、社内ツールを経て、核心的な権限を持つ社員にまで広がった形だ。

◇出金は止めたが、すでに開いた通路は残った

先月29日、ハッカーらはC氏のパソコンに接続し、A氏から盗んだ認証情報を使って悪性プログラムを実行した。その後、バイナンスのウォレット5カ所から、わずか4分の間にリップル（XRP）約2億3346万枚が流出した。ソラナやビットコインなどもハッカーらのウォレットに移された。

バイナンスは出金を停止したが、それだけですべての流出を防ぐことはできなかった。ハッカーらがイーサリアムの権限委任機能を悪用し、通常の出金手続きの外でも資産を移動できるようにしていたためだ。出金窓口を閉じても、すでに作られた別の通路は残っていたわけだ。バイナンスはこの権限を取り消す追加措置を取らなければならなかった。

今回の攻撃は、暗号資産の取引記録を偽造するよりも、資産を動かす承認体制を掌握することに重点が置かれていた。取引記録そのものを安全に保管していても、資金を移す権限がハッカーの手に渡れば、大規模な奪取につながり得るということだ。

バイナンスは、被害資産のうち約28億5000万ドルが凍結されるか、移動を遮断されたと明らかにした。ただし、凍結は回収が終わったことを意味しない。同社は利用者の損失を全額負担する資金を確保しており、先月31日時点で被害対象となったコインの数量の98％を補充したと説明した。

バイナンスは「被害を受けたウォレットシステムと社内AIツールを再構築した」とし、「外部のセキュリティー専門家を招き、今回の事件を総合的に検討し、調査結果を検証する計画だ」と明らかにした。さらに「今年に入り、北朝鮮と関連があると疑われるサイバー脅威57件を検知・遮断した」とした。数十回にわたる攻撃を防いでいても、1回の侵入が内部権限を伝って広がると、数兆ウォン規模の被害につながるというわけだ。