北朝鮮ハッカー、AIツールで認証キーを盗みバイナンスから暗号資産を引き出す

北朝鮮のハッカーが人工知能（AI）ツールを悪用して認証キー（アクセス権限を確認する暗号鍵）を盗み、世界最大の暗号資産取引所バイナンスから暗号資産を引き出していたことが明らかになった。バイナンスは3日（現地時間）に発表した初期調査報告書で、昨年6月から5か月にわたり、サプライチェーン攻撃（開発者が使用するツールを改ざんして密かに侵入する攻撃）とソーシャルエンジニアリング（人の心理を利用した攻撃）まで動員された多段階攻撃が行われたと説明した。

攻撃の出発点は6月だった。ハッカーらは暗号資産ウォレットの開発・運営を担当するバイナンスのエンジニアAに対し、改ざんされた開発ツールをダウンロードするよう誘導した。バイナンスのセキュリティチームは異常を検知し、端末の交換や認証情報の更新などに乗り出したが、ウォレットインフラ（システム基盤設備）チーム担当者の個人情報はすでにハッカーに露出していた。

約3か月後、攻撃手法が変わった。ハッカーらは9月、求人プラットフォームを通じてエンジニアBに接近し、偽の採用手続きを進めた。一次のオンライン面接で面接官を務めた人物は、Bの信頼を得るために自らのSNSアカウントまで共有した。続く二次面接では最高経営責任者（CEO）を装った人物が、課題の遂行を名目にマルウェアを仕込んだソフトウェアをBの業務用コンピューターにダウンロードさせた。

このマルウェアは、セキュリティツールに検知されない「ゼロデイ」脆弱性を利用して、正常な開発ツールを悪性バージョンにすり替えた。先月20日には、感染したBのコンピューターを通じて社内AIツールが悪用された。ハッカーらはこの経路でAとエンジニアCに対する制御権限を段階的に確保し、Aが保有するプログラム配布用の認証キー（コンテナ配布権限トークン）を入手した。

資産の引き出しは先月29日に行われた。ハッカーらはCのコンピューターにログインした後、Aの認証キーで自分たちが作成したプログラムを配布した。協定世界時（UTC）基準で午後8時5分（韓国時間30日午前5時5分）から4分間にわたり、リップル（XRP）2億3346万個が無断で引き出され、続いてソラナ（SOL）97万500個、オプティミズム（OP）4420万個、ビットコイン1万8270個、イーサリアム2961.9個が送金された。

特にイーサリアムネットワークへの攻撃では、「EIP-7702」という承認権限が悪用された。ハッカーらは事前に用意した50件の事前署名により資産引き出しの委任認証を受け、正常な出金インフラを迂回した。バイナンスは攻撃開始から約4時間後の30日0時10分（韓国時間午前9時10分）にEIP-7702の委任コードを初期化して追加流出を防いだが、相当量の暗号資産はすでに引き出された後だった。

今回の事件で影響を受けた暗号資産は総額63億4000万ドル（8兆4000億円規模相当）に上る。このうち28億5000万ドル（約3兆8000億円相当）は、取引所・発行体の連携により凍結または遮断された。バイナンスは、損失分を自己保有資金および利用者資産保護基金（SAFU）、先物保険基金などで98％以上補填したと明らかにした。

バイナンスによると、2026年の1年間で北朝鮮関連と疑われるサイバー脅威事例57件が検知・遮断された。バイナンスは、侵害されたウォレットと社内AIツールを再構築しており、外部の独立機関とセキュリティ監査を進めている。