
2026/11/04 23:09
北朝鮮の偽装就職面接が、63 億ドルのバイナンス不正送金事件につながる原因となった
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
FBI が専門性を有すると認識している、ラザルス集団に結びつく北朝鮮のハッカー( TraderTraitor )が、史上最大級のデジタル盗難の一つである Binance から 63 億ドル規模の暗号通貨泥棒を執行した。この攻撃は、単なる暴力行為ではなく、ソーシャルエンジニアリングとマルウェア導入を組み合わせた高度な多段階キャンペーンであった。
6 月に、エンジニアはサプライチェーン侵害の一部として、 compromise された Homebrew インストールを通じて悪意のあるコードをダウンロードした。9 月には、合法プラットフォーム上での偽の面接を通じエンジニアが標的となり、2 回目の面接フェーズの間、偽の CEO がエンジニアに対し、ソーシャルチャットアプリを介してマルウェア混入のコードのダウンロードを指示した。これは、正当な開発ツールのコンポーネントを悪意のあるバージョンに置き換え、攻撃者管理のサーバーとの通信を確立したものである。10 月 20 日、攻撃者は侵害されたマシンと社内 AI ツールを使用して、エンジニア A とエンジニア C のマシンにアクセスした。10 月 29 日には、エンジニア A から窃取された認証情報を使用してコンテナを展開し、エンジニア C システムに対して暗号通貨窃取スクリプトを実行して資金を排出した。
この出来事は新たな脅威を示している:ブロックチェーン開発環境に組み込まれた人工知能ツールの侵害であり、サプライチェーンセキュリティレビューと独立した監督が重要なギャップとなっている。これへの対応として、Binance は直ちに侵害されたウォレットシステムを再構築し、影響を受けたデバイスを置換し、関連認証情報とトークンを退役させ、独立したサイバーセキュリティ専門家を雇用して審査を行うとともに、法執行機関、ブロックチェーンインテリ企業、および研究員と協力して盗まれた資産を追跡および凍結する計画である。Binance はまた、ブロックチェーン環境内の AI セキュリティを強化し将来の侵害を防ぐために、専用のセキュリティ研究ファンドの立ち上げを予定している。
本文
バイナンスセキュリティインシデント:報告書と経緯の要約
事件の概要と性質
先週、記録的な規模の 63 億ドル を強奪したサイバー攻撃が明らかになった。バイナンスは今回の事件について以下の点を強調している。
- 単一かつ孤立した不正侵入ではなかった
- 単純なフィッシング事件でもなかった
- 高度に洗練された 多段階キャンペーン であることが調査結果より判明
攻撃組織と手法
FBI は盗難を北朝鮮由来のハッキング組織 「トレーダートレイター(TraderTraitor)」(通称:ラーザスグループ)の工作と結びつけた。
- 組織の特徴
- 平壌後援のハッカー集団
- 諜報活動と巨額の暗号資産強奪を組み合わせる
- 雇用市場に関する詐欺に長けている
利用された社会的工学攻撃パターン
北朝鮮由来のグループは、主に以下の 2 パターンの詐欺を行っており、今回は 後者の手法 が利用された。
- IT 職員への偽装採用:西側企業への就職を偽装してエンジニアを罠にする。
- 求職者へのマルウェア配布:ソフトウェアエンジニアに対してマルウェアをダウンロードさせ、企業デバイスを感染させるために「求職者」の姿を偽る。
攻撃のタイムラインと経過
1. 準備段階(今年 6 月)
- サプライチェーン攻撃として開始。
- エンジニア 1 名が悪意のある
インストールパッケージをダウンロードしようとしたが、セキュリティチームにより検知された。Homebrew - 対策:端末が置き換えられ、関連するすべての認証情報が再設定された。
- 暴露:ハッカーによって「エンジニア A」の役職および同氏のウォレットインフラストラクチャチームで勤務した関連者が露見した。
2. 社会的工学による攻撃(今年 9 月)
別のソフトウェアエンジニアが、偽装プロジェクトディレクターからの連絡を受け、「正規の就職活動プラットフォーム」を通じた系列面接を企画された。
-
第 1 回面接
- エンジニア本人とのライブビデオ通話と偽の HR 担当者参加。
- 「信頼関係構築」の名目で、社会的メディアアカウント(個人写真や動画含む)を共有させた。
- 以前に見られた手法よりも さらに高度で欺瞞的 であった。
-
第 2 回面接
- 偽装企業の CEO とのオンラインチャットアプリ上での実施。
- エンジニアに対し、マルウェア埋め込みコードリポジトリのダウンロードを指示(「タスク」の一環)。
- コード実行により業務用コンピュータが乗っ取られ、不正活動開始。
3. マルウェアの機能と検知不全
攻撃者は以下の悪意のある行為を行った。
- 開発ツールの差し替え:正規の開発ツールコンポーネントに悪意のあるバージョンを置き換える。
- 外部通信確立:コマンド実行により攻撃者と外部サーバーとの通信を行う。
- 検知回避:マルウェアスクリプトを隠蔽し、セキュリティツール(バイナンスのエンドポイントセキュリティツール)の検知を逃れた。
4. 最終的な侵害と盗難(10 月 20 日〜10 月 29 日)
- 10 月 20 日:攻撃者は乗っ取られた PC と内部 AI ツールを使い、ウォレット DevOps エンジニア「エンジニア A」と別の開発者「エンジニア C」の PC にアクセス。
- エンジニア A の PC にはコンテナ展開用の パーミッショントークン が存在したが、早期に発見されていたため被害は抑えられた。
- 10 月 29 日:攻撃者はエンジニア C の PC にアクセス。エンジニア A から盗んだ認証情報を用いてコンテナを展開し、暗号資産を窃取するスクリプトを発行した。
実行されたスクリプトの内容
以下のコマンドによって
pyenv が悪意のあるバージョンに書き換えられ、正規ファイルが削除・上書きされた:
# pyenv_ の作成と内容変更 CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_/... (サイズ 3,414 B) # 正当な pyenv の削除 DELETE .../libexec/pyenv (サイズ 3,344 B) # 悪意のあるバージョンでの上書き RENAME pyenv_ → pyenv (サイズ 3,414 B) # バイナリファイルの削除 DELETE /opt/homebrew/bin/pyenv (サイズ 3,414 B) # シンボリックリンク作成とシェル起動 ln(新規シンボリックリンクの作成)+spawn zsh
被害後の対応と対策
バイナンスは以下の緊急措置を講じた。
- システム再構築:乗っ取られたウォレットシステムと内部 AI ツールを再構築。
- 端末交換:影響を受けたすべての端末を新しいものに置き換え。
- 認証情報無効化:乗っ取られたエンジニアに割り当てられた全認証情報およびトークンを非活化化。
- 資産追回:法執行機関、ブロックチェーン専門の情報収集会社、セキュリティ研究者などと連携し、資産の追跡・凍結作業を実施中。
さらに、以下の長期的な対策を進めている。
- 外部監査:独立したサイバーセキュリティ専門家へ依頼し、詳細な点検と追加保護措置に関する提言を得ている。
- 研究基金創設:ブロックチェーン環境における AI セキュリティに特化したセキュリティ研究基金および関連イニシアチブの創設を開始。