FBI、北朝鮮によるBinanceハッキングに関連する600以上のアドレスを報告

攻撃は10月29日に発生した。ハッカーは複数のブロックチェーン上で、インターネットに接続されたデジタルウォレットであるBinanceのホットウォレットを空にし、大半の資金を20分弱で移動させた。Binanceは被害額を約63億ドルと推定しており、これは記録上最大の暗号資産窃盗事件となる。

事件発生後数時間以内に、ブロックチェーン分析企業のTRM LabsとChainalysisは、この攻撃を北朝鮮系グループ「TraderTraitor」に関連付けた。Binanceは当初、侵入がDevOpsエンジニアの感染したノートパソコンから始まった可能性があるとし、全損失を補填することを約束していた。

FBIによる公式認定

FBIは盗難の2日後となる10月31日に警告を発表した。「FBIは、USSSおよびIRS-CIのパートナーと共に、TraderTraitorの関係者が盗難資産を主にイーサリアム（ETH）に変換していることを確認した。これらの資産はその後、DeFiサービスやインスタントエクスチェンジを通じて変換され、次の段階の資金洗浄に向けて処理される見込みである」と同庁は述べている。

この警告では、現在盗難資金を保持している、または過去に保持していた608のイーサリアムアドレス、19のビットコインアドレス、1つのソラナアドレスがリストアップされている。FBIはシークレットサービスおよびIRS-CIと共に、THORChainノードおよびRPCノードの運営者、インスタントエクスチェンジ、DeFiサービス、ブロックチェーン分析企業に対し、これらのアドレスに関連する取引を拒否するよう要請している。同庁は以前にも、2025年2月にBybitが被った15億ドルの窃盗事件を同じグループによるものと認定していた。

Binance、単一のコンピューターを超える広範な攻撃を指摘

Binanceはその後、当初の見解を修正した。共同CEOのリチャード・テン氏は声明で次のように述べている。「当初の調査では、セキュリティインシデントに感染したノートパソコンが関与している可能性が示唆されましたが、その後の調査でさらなる侵害ポイントが明らかになりました。」同氏は、この攻撃を「単独の人物によって実行されたものではない」複雑な攻撃と説明し、攻撃者がイーサリアムの委任機能であるEIP-7702を利用したこと、それが「通常の承認コントロールを経由していなかった」ことを指摘した。Binanceはこれらの追加の侵害ポイントについて詳細はまだ明らかにしておらず、事実確認後に技術的な事後分析を行うことを約束している。リチャード・テン氏によれば、攻撃者はまた、自身のツールと痕跡を消去する自爆メカニズムを展開しており、これが調査を複雑にしている。出金は11月1日から段階的に再開され、ビットコインネットワークから開始された。日曜日の午前中、同取引所は約46億ドルの出金と10億ドルの入金を処理したと発表した。盗難額の約95％を自社資金で補填済みであり、流動性の低い残りのトークンは市場および相対取引で購入していると主張している。

自動化された可能性のある資金洗浄

Elliptic社によると、窃盗額は11のブロックチェーンに分散した64.3億ドルに上り、うち28.5億ドルはオンチェーンで凍結または押収されている。同社の最新データによると、攻撃者は依然として、どの発行者も凍結できない約32.5億ドルの資産を800以上のアドレスに分散して管理しており、その内訳は約584,000 ETH、18,327 BTC、2億3300万XRPである。Elliptic社は、Bybitに対する窃盗事件で観察された人的作業パターンとは異なり、今回の資金洗浄は「眠らない」と指摘している。

Tron上で資金を分配する主要ウォレットは、1日以上にわたり毎時間支払いを継続した。クロスチェーンブリッジが入金を拒否すると、システムは資金を新しく作成されたウォレットを経由して同じ宛先にリダイレクトした。10月末までに、このウォレットから約40の…約200の他のウォレットへ約1億9600万ドルが移動し、THORChainが主要な出口経路となり、約3100万ドルが通過した。Elliptic社は、この自動化がAIエージェントによるものか従来のスクリプトによるものか判断できないとし、Bybit窃盗事件後のように数ヶ月かけた資金洗浄が行われると予想している。一方、Chainalysis社は、自動化を示唆する資金洗浄パターンを指摘しており、特に短時間での数千件の取引、および初回送金額が正確に1 TRXであった多数の新規アドレスを挙げている。