今回のバイナンスのセキュリティインシデントで、数十億ドル相当の資産が移転されたことよりも、じっくり考える価値のある細部が一つあると思います。

秘密鍵が漏えいしたとは確認されていないのに、攻撃者は資産を移転できました。いったいどうやって実現したのでしょうか？

要するに、今回の事件は、多くの人が見落としがちな問題を浮き彫りにした可能性があります。取引所にとって最大のセキュリティ上の弱点は、必ずしもウォレットにあるとは限らず、ウォレットの外側にあるかもしれないということです。

バイナンスの初期発表によると、攻撃はDevOpsエンジニア1人のノートPCへの侵入から始まり、その後、社内サービスのコンテナや出金プロセスに波及した可能性があります。

その後、GCSAはオンチェーン調査を実施し、元のトランザクション18件、EIP-7702の初期認可署名50件、認可取り消し署名1件を再検証しました。

ここで注目すべき技術的な詳細があります。Type-4トランザクションには50件の認可を含めることができますが、50件すべてが有効になるわけではありません。署名が有効であることも、秘密鍵が盗まれたことを意味するわけではありません。

報告書はさらに、MetaMask Gas Stationに関連する連続した3件のトランザクションを追跡し、先行するETHの入金額が、後続する2件のトランザクションの最大Gas予算と正確に一致していたことを確認しました。

攻撃者が誤ってUSDTを選択した、MetaMaskが実際のIPアドレスを把握していた、といった主張については、現時点で裏付けとなる十分な証拠はありません。

TRM Labsは、この事件が北朝鮮関連の脅威グループTraderTraitorによるものだと高い確度で判断しています。しかし、これは攻撃者の身元や行動経路が完全に解明されたことを意味するわけではありません。

私は以前から、取引所のセキュリティはコールドウォレットやマルチシグ、秘密鍵だけに注目していてはいけないと思っています。

従業員のPC、社内権限、DevOps環境、署名サービス、出金承認、さらにはサードパーティのインフラまで、どの段階でも侵害されれば、資産を守るセキュリティ体制は形骸化しかねません。

もう一点、事件の影響額として推定される約63億ドルは、最終的な純損失と同じではありません。また、凍結されたからといって、資産が回収されたことにはなりません。

今回の事件から業界全体が本当に考え直すべきなのは、攻撃者が秘密鍵を直接入手しなくても資産を動かせる場合、私たちがこれまで考えてきた取引所のセキュリティ境界では、もはや不十分なのかもしれないということです。