Binanceのハッキング事件は、偽の面接が暗号通貨取引所のセキュリティを侵害する方法を暴露した
ジョブ面接は通常、新たなキャリアの機会への一歩です。しかし、あなたに仕事を提供している人物が、実は雇用主の最も機密性の高いシステムへのアクセスを狙っているとしたらどうでしょうか？これは、Binanceを標的とした高度なサイバー攻撃の前提であり、偽の採用面接が、約63億4千万ドルのデジタル資産を危険にさらす広範な作戦の一部となりました。
2026年11月3日のセキュリティレポートで、Binanceは、攻撃者が従業員の信頼と内部システムの脆弱性を悪用して10月29日の事件を実行した方法を明らかにしました。その後、FBIはこの攻撃を北朝鮮に帰属させ、仮想通貨業界におけるソーシャルエンジニアリングの脅威の拡大に再び注目が集まりました。
この出来事は、仮想通貨業界が直面する拡大する課題を浮き彫りにしています。取引所がブロックチェーンインフラを強化する一方で、攻撃者はその背後にある人間、デバイス、内部システムを悪用する方法を次第に見出しています。また、この出来事は、仮想通貨プラットフォームがますます高度化するソーシャルエンジニアリング攻撃にどう対抗すべきかという重要な問いを提起しています。
-
Binanceの2026年10月のセキュリティ侵害により、攻撃者が内部ウォレット署名サービスを侵害し、約63億4千万ドルのデジタル資産が露出しました。
-
ハッカーは、偽の採用プロフィール、模擬面接、悪意のあるコーディング課題を使用して、Binanceのエンジニアを標的にしました。
-
開発ツールを装ったマルウェアにより、攻撃者は従業員のデバイスを侵害し、内部システム内を移動しました。
-
The WaterPlum (Contagious Interview) キャンペーンは、暗号通貨およびWeb3プロフェッショナルを標的とした、リクルートメント型サイバー攻撃の広範な脅威を浮き彫りにしています。
-
開発者は、リクルーターを確認し、コーディング課題を検査し、業務用デバイスで信頼できないソフトウェアを使用しないことで、リスクを軽減できます。
-
暗号資産取引所は、重要なインフラを保護するために、エンドポイントセキュリティの強化、アクセス権限の制限、より安全な採用プロセスが必要です。
2026年10月29日、Binanceは、仮想通貨取引の承認を担当する内部サービスに不正アクセスされたことにより、重大なセキュリティインシデントを経験しました。
この侵害は複数のブロックチェーンネットワークに影響を与え、約63億4千万ドルのデジタル資産が漏洩しました。Binanceは迅速にこの事象の拡大を防ぎましたが、その後の調査により、攻撃者が資金を移動させた方法や、当局がこの作戦の発信源と見なした場所が明らかになりました。
ハッカーがBinanceのセキュリティ侵害で63.4億ドルを盗んだ方法
攻撃は、Binanceの内部ウォレット署名サービスへの不正アクセスから始まり、攻撃者が取引所の通常の引き出しプロセス外で取引を開始できる状態となりました。UTC 20:05から20:09の間に、Binanceのホットウォレット5つが、攻撃者が制御するアドレスに約2億3346万XRPを転送しました。
攻撃者はまた、BinanceのSolanaウォレットから約970,500 SOL、およびOptimismウォレットから4,420万OPを移動しました。Binanceはその後、異常に大規模な振替を検出し、調査を開始しました。しかし、さらに不正な取引が続き、Binanceのホットウォレットから18,270 BTCの振替が行われました。
Binanceは即座に引き出しを停止し、業界パートナーと協力して関連資産を凍結し、不正な権限の取り消しを開始しました。11月3日の報告によると、約28億5千万ドルが凍結または差し止められましたが、この金額は精算および市場価格の変動の対象となります。
FBIがBinanceハッキングについて明らかにしたこと
10月31日、連邦捜査局（FBI）は、この攻撃を北朝鮮に帰属させ、その活動をTraderTraitor作戦の一部と特定しました。同機関は、攻撃者が盗んだ仮想通貨を主にイーサリアム（ETH）に変換しており、さらなる振替は分散型金融（DeFi）プラットフォームおよび即時スワップサービスを通じて行われると予想され、これが洗浄活動の一部であると報告しました。
FBIは、仮想通貨取引所、DeFiサービスおよびその他の仮想資産プロバイダーに対し、攻撃者のウォレットアドレスに関連する取引を特定してブロックするよう要請しました。同機関の調査結果は、盗まれた仮想通貨の追跡には、ブロックチェーン調査員、取引所およびその他の業界関係者の協力が必要であることを示しています。
Binanceの事例は、通常の採用プロセスがより大規模なサイバー攻撃の入口となる可能性を示しています。攻撃者は直接取引所のシステムを攻撃するのではなく、まず従業員との信頼関係を築き、技術的評価を通じて悪意のあるソフトウェアを配信しました。
偽の採用担当者がBinanceのエンジニアと信頼関係を築いた方法
Binanceの11月3日の報告によると、この操作は2026年9月に、ソフトウェアエンジニアBが正当な求人プラットフォームを通じてプロジェクトディレクターを名乗る人物に連絡されたことから始まりました。当該従業員のプロフィールにはBinanceでの経験が記載されており、これが関連性のあるターゲットとなったのです。
偽の採用担当者は、演技された採用プロセスを手配しました。まず、人事を名乗る個人がライブ動画面接を実施しました。会話中、面接官は個人の写真や動画を含むソーシャルメディアアカウントを共有し、信頼性を築こうとしていました。その後、人気のソーシャルメッセージアプリを通じて、架空の企業のCEOを名乗る人物による二次面接が行われました。
これらの詳細により、無作為なメッセージや疑わしい求人情報よりも信頼性が高く見えました。正当な求人プラットフォームの使用、複数の面接ステージ、そして確認可能なソーシャルプロフィールが、本物の機会であるという印象を生み出しました。
偽の技術タスクがマルウェアを配布する方法
2回目のインタビューの最後の方で、エンジニアBには、リポジトリからコーディング課題を仕事用コンピューターにダウンロードするよう求められました。しかし、そのリポジトリにはセットアップ中に実行される悪意のあるコードが含まれていました。
Binanceは、このマルウェアが開発ツールの正当なコンポーネントを悪意のあるバージョンに置き換えたと述べました。これにより、攻撃者が制御する外部サーバーと通信し、コマンドを実行できるようになりました。
マルウェアは、その活動を隠蔽し検出を回避するために、オブスキュレーション技術も使用しました。Binanceは、エンドポイントセキュリティツールがそのゼロデイマルウェアを当時検出できなかったと報告しました。
なぜ偽の採用スカムがソフトウェア開発者に対して効果的なのか
これは社会工学の例です：信頼や期待を操作して、セキュリティを損なう行動を取らせることです。開発者は、コンピューターに資格情報、アクセストークン、ソースコード、クラウドサービス、または本番システムへの接続情報が含まれているため、魅力的なターゲットです。
技術的評価は、悪意のある活動を隠すための便利な仮面を提供します。リポジトリのクローン作成、依存関係のインストール、セットアップコマンドの実行は、通常のコーディングテストの一部のように見えることがあります。Microsoftは、開発者が面接課題という形で悪意のあるパッケージを実行するよう誘導された、同様の採用ベースの攻撃を記録しています。
重要な教訓は、説得力のある採用担当者、ライブ動画通話、またはプロフェッショナルに見えるコーディングタスクが、その機会が正当であることを保証しないということです。開発者は、企業および採用担当者を独立して確認し、不明なコードを業務用デバイスで実行しないようにする必要があります。
偽の採用面接は、1人の従業員のコンピュータへのアクセス以上のものを攻撃者に与える可能性があります。悪意のあるソフトウェアが開発者の環境を侵害すると、攻撃者は既存の職場の権限、認証情報、内部ツールを利用して、より機密性の高いシステムにアクセスできるようになります。Binanceの事例は、このプロセスが個人的な採用詐欺を広範な組織全体のセキュリティ侵害に発展させる可能性を示しています。
悪意のあるソフトウェアのダウンロードが開発者のコンピューターをどのように危険にさらすか
2026年6月、Binance WalletのDevOpsエンジニアであるエンジニアAは、人気のAIコーディングツールを探している際に改ざんされたHomebrewのインストールファイルをダウンロードしました。Homebrewは、開発者がソフトウェアやコマンドラインツールをインストールするために使用するmacOS用のパッケージマネージャーです。
Binanceは不審な活動を検出し、エンジニアのデバイスを交換し、関連する認証情報を更新しました。しかし、攻撃者はすでにエンジニアの役割とウォレットインフラの同僚にアクセスしていました。
この手法は、攻撃者が人々が信頼するソフトウェア、パッケージ、または配布チャネルを侵害または模倣するソフトウェアサプライチェーン攻撃に似ています。開発者は、偽のインストーラーをダウンロードしたり、侵害された依存関係をインストールしたりすることで、無意識のうちに悪意のあるコードを導入する可能性があります。
SANSによる2026年5月の別途調査では、Homebrewを装いMacSync Stealerを配布する悪意のあるウェブサイトが確認されました。これはより広範な脅威の有用な例ですが、Binanceは6月の事案に関与したマルウェアとしてMacSyncを特定していません。
ハッカーが侵害された口座を利用して他のシステムにアクセスする方法
10月20日、攻撃者はエンジニアBの compromized コンピュータとBinanceの内部AIツールを使用して、エンジニアAとエンジニアCのシステムにアクセスしました。その後、エンジニアAのコンピュータ上でコンテナデプロイ権限トークンを発見しました。
コンテナはソフトウェアを実行するためのパッケージ化された環境です。デプロイメントトークンは、組織内でこれらの環境の作成またはリリースを承認できます。攻撃者がこのようなトークンを入手した場合、正当な開発者向けに意図された権限を利用して、許可されていないコードを実行できる可能性があります。
これは横方向移動の例です：初期の侵入を用いて、同じ組織内の他のデバイス、口座、またはシステムに到達することです。感染した従業員のコンピュータで停止せず、攻撃者はそのアクセスを利用してビナンスの内部環境のより深い部分へ移動しました。ビナンスの報告書には、内部AIツールがこのアクセスを促進するためにどのように使用されたかは明確に記載されていません。
攻撃者がBinanceのウォレット署名サービスに到達した方法
攻撃者は、エンジニアAから盗まれた認証情報を使用してエンジニアCのコンピューターにアクセスし、コンテナをデプロイして悪意のあるスクリプトを実行し、最終的にBinanceの内部ウォレット署名サービスに到達しました。
このサービスは、取引所のホットウォレットからの取引を承認します。不正にアクセスされた場合、攻撃者はBinanceの通常の引き出しプロセス以外の振替を開始できます。
この事件は、表面上は通常のソフトウェアダウンロードや採用活動に始まった侵害が、職場の権限や関連システムを通じて重要な金融インフラにまで拡大する可能性を示している。
Binanceの事例は、ソフトウェア開発者が直面するより広範な脅威を反映しています。それは、偽の採用機会を利用してマルウェアを配布する攻撃者です。文書化された例の1つは、WaterPlumであり、Contagious Interviewとしても知られる北朝鮮のサイバー活動グループです。
2026年9月18日付の国際的なサイバーセキュリティおよび法執行機関による共同勧告は、このグループが採用プロセスを悪用してITプロフェッショナルを攻撃する方法を詳細に説明した。
感染性のインタビューキャンペーンが偽の採用をどのように使用しているか
WaterPlumの運営者は、求人担当者や潜在的な雇用主を装い、時には正当なAI、仮想通貨、NFT企業を偽装します。彼らはソーシャルメディア、求人プラットフォーム、フリーランスマーケットプレイスを通じて開発者にアプローチし、仮想面接や技術的コーディング評価に参加するよう誘います。
悪意のあるステップは、候補者がコードリポジトリや開発者プラットフォームからファイルをダウンロードして実行するよう指示されるときに発生することが多いです。これらのファイルにはマルウェアが含まれており、攻撃者が侵害されたコンピュータにリモートでアクセスできるようになり、資格情報、機密情報、および仮想通貨ウォレットデータを盗むことができます。
9月の報告書によると、このキャンペーンは2025年12月から2026年7月の間に100カ国以上で少なくとも3万台のコンピューターを侵害しました。
なぜ仮想通貨およびWeb3の専門家が標的になりやすいのか
このキャンペーンは、Webデザイナー、ソフトウェアエンジニア、および仮想通貨、ブロックチェーン、Web3で働く専門家を対象としています。彼らのコンピューターには、ソースコード、API認証情報、ウォレットへのアクセス、デプロイメントトークンなど、貴重な情報が含まれている可能性があります。したがって、1人の開発者が侵害されると、個人の仮想通貨資産だけでなく、雇用主またはクライアントのシステムも暴露される可能性があります。
そのアドバイザリーは、攻撃者が7,000以上の仮想通貨ウォレットから資金または認証情報を移転し、少なくとも1,071万ドル分の仮想通貨を不正に取得したと報告しました。これらの手口はBinanceの事件の一部と類似していますが、このアドバイザリーはWaterPlumがBinance攻撃の責任者であることを示していません。
Web3組織にとって、教訓は明確です。不正コードが信頼できる開発環境に侵入するリスクを低減するには、採用セキュリティ、アクセス権限の制限、エンドポイント保護が連携して機能しなければなりません。
Binanceの事例は、フィッシングメールや怪しいリンクを超えて、攻撃者が通常の採用活動を悪用して信頼された開発環境にアクセスできるというセキュリティ上の隙を浮き彫りにしています。
これらの攻撃を防ぐには、開発者がコードを実行する前に機会を確認し、組織が侵害されたデバイスまたは口座がアクセスできる範囲を制限することが必要です。
開発者が偽の求人面接詐欺を識別する方法
開発者は、面接中に共有されるリンクやプロフィールに頼るのではなく、公式ウェブサイトおよび連絡先情報を用いて、リクルーターおよび採用企業を独自に確認すべきです。面接官を調査し、求人が実際に存在することを確認してください。また、プロセスが急に不慣れなメッセージングまたはビデオプラットフォームに移行する場合は注意してください。
最も重要なのは、ワークコンピュータやウォレットの認証情報が保存されているデバイス上で、検証されていないコードの実行を行わないことです。2026年9月の共同アドバイザリーでは、不明なコードを検査する際にサンドボックスまたは仮想マシンを使用し、未知のVisual Studio Codeプロジェクトを制限モードで開き、追加ファイルをダウンロードまたは実行するコマンドを含むファイルを確認することをお勧めしています。
暗号通貨取引所が従業員をソーシャルエンジニアリングから守る方法
取引所は、開発者デバイスを重要なインフラへの潜在的な侵入経路として扱うべきです。エンドポイント検出および対応（EDR）ツールは、不審な活動を特定するのに役立ち、 compromized デバイスは迅速に隔離され、攻撃者が他のシステムに到達するのを防ぐ必要があります。
アクセス制御も同様に重要です。デプロイ権限は必要な従業員にのみ制限し、資格情報およびアクセストークンは、漏洩が疑われる場合に安全に管理し、ローテーションする必要があります。また、機密性の高い口座はマルチファクタ認証（MFA）で保護する必要があります。
開発環境は、ウォレット署名システムその他の重要なインフラからも分離すべきであり、これにより、1台のコンピューターが侵害された場合の被害を軽減できます。
暗号通貨取引所のサイバーセキュリティに採用セキュリティを組み込むべき理由
採用は人事の責任にとどまらず、組織のセキュリティプロセスです。取引所は、内部システムへのアクセスを許可する前に、応募者の身元、雇用歴、資格を確認する必要があります。技術的評価は、本番環境の認証情報、顧客データ、ライブウォレットインフラへのアクセスがない制御された環境で実施すべきです。
従業員は、疑わしいリクルーター、面接の依頼、コーディング課題を報告するための明確なプロセスを持つべきです。セキュリティチームは、悪意のあるソフトウェアが社内デバイスに到達する前に、潜在的な脅威を調査できます。FBIも、リモート採用全体での本人確認と、疑わしい行動が確認された際のデバイスおよびネットワーク活動の監視を推奨しています。
結局のところ、偽の面接攻撃を防ぐには、個人の注意と組織的な対策の両方が必要です。開発者がすべての悪意のあるスクリプトを識別しなくても安全でいられるよう、企業のセキュリティアーキテクチャは、一つのスクリプトが実行された場合の影響を制限すべきです。
Binanceの事例は、偽の面接が高度なサイバー攻撃の入り口となる可能性を示しています。攻撃者は従業員の信頼を悪用し、マルウェアをコーディング課題として偽装することで、最終的に重要なウォレットインフラへのアクセスを獲得しました。
暗号通貨取引所にとって、ウォレットの保護だけでは不十分です。開発環境のセキュリティ強化、採用プロセスの検証、機密システムへのアクセス制限も必要です。最終的には、サイバーセキュリティは技術そのものとそれを運用する人々の両方を守らなければなりません。
ハッカーは偽の求人面接をどのようにしてBinanceをターゲットにしましたか？
攻撃者は採用担当者を装い、仮装した面接を実施した上で、Binanceのエンジニアの作業用コンピューターに感染させる悪意のあるコーディング課題を送信しました。
2026年10月のBinanceハッキングにより、どのくらいの仮想通貨が影響を受けましたか？
約63億4千万ドルのデジタル資産が影響を受けました。Binanceは、約28億5千万ドルが凍結または差し止められたと報告しました。
Contagious Interview サイバー攻撃キャンペーンとは何ですか？
Contagious Interview、通称WaterPlumは、偽の求人情報と悪意のあるコーディング課題を用いてITプロフェッショナルを標的とする北朝鮮のサイバー活動です。
偽のコーディング課題は、開発者のコンピューターにどのように感染するのですか？
インストール中に悪意のあるスクリプトや compromized な依存関係が実行され、攻撃者が資格情報を盗み、マルウェアをインストールしたり、リモートアクセスを獲得できる可能性があります。
開発者はどのように偽の面接詐欺を識別できますか？
開発者は、リクルーターおよび企業を自ら確認し、面接官を調査し、コーディングリポジトリを検証し、業務用デバイスで信頼できないタスクを実行しないようにしてください。
免責事項: このページは、お客様の便宜のためにAI技術を使用して翻訳されています。最も正確な情報については、元の英語版を参照してください。