最も高くつく脆弱性は、コントラクトの中ではなく、エンジニアのパソコンにある。

バイナンスは10月29日の盗難経路を公開した。6月、あるウォレットエンジニアがGoogle検索広告をクリックし、改ざんされたHomebrewをインストール。9月には「採用担当者」がビデオ面接を持ちかけ、コーディングテストのコードにバックドアを仕込んでいた。最後に、ハッカーは盗んだ認証情報と社内AIツールを使い、20分でホットウォレットから資金を移した。FBIは北朝鮮のTraderTraitorによるものと断定した。

銀行が襲われても、銀行は潰れるべきだとは誰も言わない。襲撃後に手口を一つずつ公開するほうが、沈黙する同業他社よりましだ。

ゼロデイ脆弱性はなかった。秘密鍵の解読もなかった。広告が一つ、面接が一つ、権限が大きすぎるAIツールが一つ。

同じ週、NIKKEのPCランチャーが9月末から汚染されていたことが発覚した。ブラウザーのパスワード、Cookie、ウォレットデータを盗んでいた。運営元はファイルをひそかに差し替え、声明は一言も出さなかった。

私のルール：
ウォレットを入れているパソコンではゲームをしない。知らない人から送られてきた「テスト用プロジェクト」も実行しない。
ツールは公式サイトからインストールし、検索広告はクリックしない。
AIツールが読み取れるディレクトリに、シードフレーズを置かない。

ゲーム用と資産管理用にパソコンを2台使うなんて、すごくお金持ちに聞こえる。実際は、お金を失うより安上がりなだけだ。

$BNB