$BTC バイナンスで63億ドルが盗まれた件、いったい何が起きたのか

ここ数日、たくさんの人からDMで聞かれました。
正直、私も最初は呆然としました。バイナンスほどの規模の取引所から、63億ドルも盗まれるなんて。
11月3日に公式の初期報告が出たので、要点を整理してみました。

時系列はこうです。
6月、ウォレット基盤のエンジニアがAIコーディングツールをインストールする際、細工されたHomebrewのインストーラーパッケージをダウンロードし、パソコンにマルウェアを仕込まれました。
9月、北朝鮮の一味が採用面接を装い、マルウェアをさらに拡散させました。
10月20日、彼らはバイナンス社内のAIツールに侵入。その足がかりを使って、さらに2人のエンジニアのパソコンも乗っ取りました。
10月29日午後8時5分、犯行に及びました。

彼らは秘密鍵を盗んだわけではありません。
ここが重要です。
手に入れたのは、社内のウォレット署名サービスへのアクセス権限で、通常の出金手続きを迂回して送金を実行しました。
イーサリアム側はさらに巧妙で、EIP-7702の仕組みを使い、ホットウォレットの実行権限を自分たちが管理するコントラクトに委譲しました。
出金を停止しても意味はありませんでした。オンチェーンの委譲は動き続け、10月30日午前0時10分になってようやく解除されました。

わずか4分で、まず2億3300万枚のXRPを奪い、続いて97万枚のSOL、4420万枚のOP、1万8270枚のBTCを持ち去りました。
最後の送金は2961.9枚のETHで、午後11時56分に着金しました。
総額はおよそ63億4000万ドル。
FBIは10月31日に発表を出し、北朝鮮のTraderTraitorグループによる犯行と断定しました。

バイナンス側は、28億5000万ドル相当を凍結、または送金阻止しました。
10月31日には、影響を受けた資産の98％を補填済みで、損失は会社が負担し、ユーザーに負わせないと発表しました。
11月1日から段階的に出金を再開しました。
興味深いのは、再開後にユーザーが逆に36億ドル超を引き出したことです。BBCの報道による数字です。
信じるにしても、資金はまず自分の手元に置いておくほうが安心ですよね。

私なりのまとめは3つです。
マルチシグやMPCは万能ではありません。署名サービスそのものを乗っ取られたら、何をしても意味がありません。
秘密鍵が流出していないからといって安全とは限りません。認可の仕組みの穴を突かれれば、同じように資産を根こそぎ持ち出されます。
どんなに大きな取引所も他人のかごです。卵をすべて1か所に入れてはいけません。

個人の見解であり、投資助言ではありません。
みなさんは今も、資産の大部分を取引所に置いておく勇気がありますか？

#バイナンスハッキング事件