7月の取材で示した懸念、実際の侵入手口と類似
海外大手暗号資産（仮想通貨）取引所バイナンス（Binance）の最高セキュリティ責任者（CSO）であるジミー・スー（Jimmy Su）氏が、10月に発生した暗号資産流出事件の数カ月前に、偽の採用面接を通じたサイバー攻撃への懸念を示していたと、暗号資産メディア「コインテレグラフ（Cointelegraph）」が11月12日に報じた。
報道によるとスー氏は、7月に受けた同メディアの取材で、攻撃者が従業員に合わせた求人を提示し、技術課題を装ってコードを実行させる手口を説明していたという。端末が侵害されると、認証情報の収集や社内ネットワークへのさらなる侵入につながると述べていたとのこと。
スー氏は、コード共有サービス「ギットハブ（GitHub）」からプログラムをダウンロードするなど、個々の操作は正規の作業に見えるため、ウイルス対策ツールで検知できない可能性にも言及していた。また、従業員が業務用端末で外部の就職機会を探す際には、バイナンス側が悪意あるコードを検知し、その実行を止める責任があるとの認識を示していた。
悪意ある技術課題に関するこれらの具体的な発言は、コインテレグラフが7月に公開した記事には掲載されていなかった。今回の報道によって、同氏の当時の懸念が明らかになった。
一方、7月26日の同メディアの記事では、バイナンスがフィッシング攻撃を見抜くための従業員向け訓練を毎月実施していることが紹介されていた。スー氏によると、社内の攻撃検証チーム「レッドチーム」が採用担当者を装って従業員に接触するケースもあり、攻撃を見抜けなかった従業員には追加研修を実施していたという。
バイナンスが11月3日に公表した初期調査報告では、実際の攻撃でも偽の採用面接が侵入経路の一つになったと説明されている。9月にソフトウェアエンジニアが架空の企業との面接を受け、悪意あるコードを含む課題を業務用端末にダウンロードした。コードはセットアップ時に実行され、当時の端末保護ツールでは検知されなかったという。
その後、攻撃者は10月20日に、侵害した端末と社内AIツールを利用し、ウォレット関連業務を担当する別のエンジニア2人の端末も掌握した。10月29日（日本時間30日）には、盗んだ認証情報などを使ってウォレット署名サービスへ不正にアクセスし、通常の出金手続きを経ずに資産を移動させたとされる。
同報告によると、事件で影響を受けた暗号資産は約63億4,000万ドル（約1兆121億円）に上る。バイナンスは損失を自社で負担すると表明し、影響を受けたシステムの再構築や端末管理の厳格化を実施した。また、独立した外部専門家による追加調査を進めるとしている。
なお、バイナンスが最高財務責任者（CFO）のカイザー・ン（Kaiser Ng）氏の後任に、ジャスティン・イェク（Justin Yek）氏を任命したと、「ロイター（Reuters）」が11月7日（日本時間8日）に報じた。イェク氏は直近では、決済企業エアウォレックス（Airwallex）で財務担当副社長を務めていた。
バイナンス共同CEOのイー・ハー（Yi He）氏は、ン氏が新たな事業に取り組むため退任すると説明し、過去半年にわたり引き継ぎを進めてきたとしている。
参考：コインテレグラフ（11月12日）・コインテレグラフ（7月26日）・バイナンス公式調査報告（11月3日）
画像：PIXTA