4分で2億3,300万枚のXRPが送金された。Binanceの報告書で最も重い一言は「これは起きるべきではなかった」！
Binance 10・30セキュリティインシデント調査報告書！
Binanceが10・30インシデントの調査報告書を公開した。最も胸に刺さるのは損失額ではなく、「これは起きるべきではなかった」という一言だ。
一連の流れは、実は6月から始まっていた。あるウォレット開発チームのメンバーが、改ざんされたツールをダウンロードした。広告経由で入手したもので、検索結果では悪意あるバージョンが正規版より上に表示されていた。プラットフォーム側はそれに気づき、端末を交換し、パスワードも変更したが、その人物のアクセス権限は取り消されなかった。9月には、2人目のエンジニアが偽の面接の後に悪意あるコードリポジトリをダウンロードした。面接では、架空の企業のCEOとのビデオ通話まであった。10月20日、攻撃者は社内AIツールを利用して2台のウォレット開発用PCにアクセス。10月29日には、4分間で5つのホットウォレットから2億3,346万枚のXRPを送金し、50件の署名済み取引を行った。
本当にぞっとしたのはタイムラインだ。最初の不正送金から最後の不正送金まで、約4時間も空いていた。その間に約28億5,000万ドル分が凍結されたものの、送金承認を取り消す手順は急ごしらえで、対応が一歩遅れた。
事後、Binanceは資産の約95％を補填済みだと発表した。残りの5％は流動性の低いトークンで、今も店頭取引で調達先を探している。データもBinanceに多少の面目を保たせた。月曜日には純流出額が70億ドルを超えたが、その後24時間で純流入額は23億ドルとなり、1時間あたりの入金額が再び出金額を上回った。今年、北朝鮮関連の攻撃を57件阻止しており、FBIも今回の事件を北朝鮮の仕業と断定した。それでも、最後は採用活動が突破口になった。
私の見方では、この責任をハッカーだけに負わせることはできない。取引所の強みは、豊富な資金、数多くのコールドウォレット、そして迅速な対応だった。ところが今回は、その3つとも技術面で負けたのではなく、プロセスでつまずいた。人のアクセス権限、広告枠へのマルウェア混入、社内AIツールの利用境界だ。63億ドル規模の穴を埋めるのに必要なのは資金だが、この4時間の対応の遅れを埋めるには、組織を作り直さなければならない。
あなたはどちらの立場？こうした事件の後も、取引所は利益や保険基金で損失を補填して信頼をつなぎ止めるべきか。それとも、ユーザーはそもそも大口の資産を自分のウォレットに戻すべきなのか？
#Bianace #bnb #BTC #ETH
Binance 10・30セキュリティインシデント調査報告書！
Binanceが10・30インシデントの調査報告書を公開した。最も胸に刺さるのは損失額ではなく、「これは起きるべきではなかった」という一言だ。
一連の流れは、実は6月から始まっていた。あるウォレット開発チームのメンバーが、改ざんされたツールをダウンロードした。広告経由で入手したもので、検索結果では悪意あるバージョンが正規版より上に表示されていた。プラットフォーム側はそれに気づき、端末を交換し、パスワードも変更したが、その人物のアクセス権限は取り消されなかった。9月には、2人目のエンジニアが偽の面接の後に悪意あるコードリポジトリをダウンロードした。面接では、架空の企業のCEOとのビデオ通話まであった。10月20日、攻撃者は社内AIツールを利用して2台のウォレット開発用PCにアクセス。10月29日には、4分間で5つのホットウォレットから2億3,346万枚のXRPを送金し、50件の署名済み取引を行った。
本当にぞっとしたのはタイムラインだ。最初の不正送金から最後の不正送金まで、約4時間も空いていた。その間に約28億5,000万ドル分が凍結されたものの、送金承認を取り消す手順は急ごしらえで、対応が一歩遅れた。
事後、Binanceは資産の約95％を補填済みだと発表した。残りの5％は流動性の低いトークンで、今も店頭取引で調達先を探している。データもBinanceに多少の面目を保たせた。月曜日には純流出額が70億ドルを超えたが、その後24時間で純流入額は23億ドルとなり、1時間あたりの入金額が再び出金額を上回った。今年、北朝鮮関連の攻撃を57件阻止しており、FBIも今回の事件を北朝鮮の仕業と断定した。それでも、最後は採用活動が突破口になった。
私の見方では、この責任をハッカーだけに負わせることはできない。取引所の強みは、豊富な資金、数多くのコールドウォレット、そして迅速な対応だった。ところが今回は、その3つとも技術面で負けたのではなく、プロセスでつまずいた。人のアクセス権限、広告枠へのマルウェア混入、社内AIツールの利用境界だ。63億ドル規模の穴を埋めるのに必要なのは資金だが、この4時間の対応の遅れを埋めるには、組織を作り直さなければならない。
あなたはどちらの立場？こうした事件の後も、取引所は利益や保険基金で損失を補填して信頼をつなぎ止めるべきか。それとも、ユーザーはそもそも大口の資産を自分のウォレットに戻すべきなのか？
#Bianace #bnb #BTC #ETH
