仮想通貨取引所Binanceから約1兆円が盗まれた事件は偽面接経由でマルウェアを送り込まれたのがきっかけだったことが判明

調査の進展によって、侵害は複数のエンジニアを対象として試行されていたことが明らかになりました。

まず挙げられているのは2026年6月のサプライチェーン攻撃です。これは仮想通貨ウォレットの開発・運用を担当するエンジニアAが、人気のAIコーディングツールを検索してダウンロードした際に、改竄(かいざん)済みのパッケージマネージャー「Homebrew」をダウンロードしてしまったことで発生したものです。Binanceのセキュリティチームがただちに異常を検知し、予防的対策としてPCの交換を行った上で関連する認証情報をすべて更新しましたが、エンジニアAの職務内容やチームに所属する同僚らの情報が流出しました。

Binanceのセキュリティチームによると、こうした人気ツールを装った悪意あるソフトウェアや、改竄されたパッケージ、偽ビデオ会議アプリなどを用いてリモートアクセス型マルウェアを展開しようとするソーシャルエンジニアリング攻撃をはじめとした、仮想通貨業界を狙った国家支援型アクターによる持続的な脅威が確認されていて、2026年だけでも北朝鮮との関連が疑われるサイバー攻撃事例が57件確認されているとのこと。

2026年9月には偽の採用プロセスを利用したソーシャルエンジニアリング攻撃が行われました。エンジニアBは正規の求人プラットフォーム経由で「プロジェクトディレクター」を称する人物から接触を受け、人事担当者との1次面接、CEOとの2次面接を受けることになりました。1次面接はライブビデオ面接で、人事担当者は個人的な写真や動画を含むSNSアカウントをエンジニアBと共有し、信頼関係を築いたとのこと。Binanceはこの手法について「これまでに確認されているソーシャルエンジニアリングの手口よりも高度で巧妙」と評しています。

2次面接は、人気のソーシャルチャットアプリで行われ、エンジニアBはCEOを称する人物から「課題」をダウンロードするように言われました。この課題には、セットアッププロセス中に実行されて不正な活動を開始する悪意あるコード(マルウェア)のリポジトリが含まれていました。当該マルウェアには高度な難読化と回避技術が採用されていて、正規の開発ツールのコンポーネントを悪意あるバージョンに置き換えてコマンドを実行し、攻撃者の制御する外部サーバーと通信する手法が採られていました。この時点ではセキュリティ保護ツールで検出ができなかったとのこと。

「課題にマルウェアが含まれている」という事例の存在は、他の開発者も報告しています。

就職面接のリモート課題にマルウェアが含まれておりハッキングされそうになった話 - GIGAZINE

攻撃者は2026年10月20日にエンジニアBのPCを悪用し、Binance社内のAIツールを利用してエンジニアAおよびAの同僚エンジニアCのPCの権限を掌握。このAのPCにはコンテナ展開の権限トークンが存在していました。

続いて10月29日17時15分から19時56分のあいだに、攻撃者はCのPCにログイン。Aから盗んだ認証情報を使用してコンテナを展開し、悪意あるスクリプトを実行して攻撃を行ったとのこと。

今回の攻撃について、Binanceのリチャード・テン共同CEOは「北朝鮮に関連するハッカーの攻撃だとは断定できていない」としつつ、FBIが北朝鮮のハッカーと関連付けて考えていることを認めています。

なお、Binanceは盗まれた仮想通貨のうち9割については補填済みで、残り1割も補填予定であることを明らかにしています。