バイナンスのハッキング原因は初歩的なミスだったのか？攻撃プロセスの振り返りがコミュニティで二極化した議論を引き起こす

Binanceは先ごろ、盗難事件に関する公式の振り返りを発表し、攻撃経路、損失の詳細、タイムラインを明らかにした。約63.4億ドル規模のハッキング事件の攻撃チェーンは約4～5か月にわたり、6月にウォレット運用エンジニアがAIプログラミングツールを検索した際に改ざんされたHomebrewインストールパッケージをダウンロードし、9月には別のエンジニアが採用プラットフォームで偽の面接招待を受け、端末保護を回避して「課題」ファイルをダウンロードして感染した。ハッカーはその後、内部AIツールを利用して横方向に移動し、コンテナデプロイトークンを取得し、最終的にウォレット署名サービスに到達した。

振り返りが公開されると、暗号資産コミュニティはすぐに二派に分かれた。一派は、Binanceがセキュリティアーキテクチャ、鍵管理、またはインシデント対応において明らかな誤りを犯しており、回避可能な職務怠慢に該当すると考える。もう一派は、高度に複雑なAPT、サプライチェーン汚染、ソーシャルエンジニアリングに直面した場合、こうした事案は本質的に防ぎようがなく、責任はプラットフォームよりも攻撃者にあると強調する。

SlowMist創設者の余弦氏の立場は「防ぎようがない」に近い。同氏は投稿で、Binanceが開示した盗難プロセスは高度標的型攻撃（APT）であり、エンジニアの操作ミスや権限過大という観点だけで理解すべきではないと述べた。こうした攻撃は、情報偵察、ソーシャルエンジニアリング、悪意あるコードの検知回避、信頼チェーンの悪用、横方向の汚染、クラウド環境への侵入、リスク管理の回避など複数の段階を連鎖させ、ゼロデイ脆弱性の悪用を挟むこともある。最初のソーシャルエンジニアリングは攻撃チェーンの一環にすぎず、一見単純な手口でも特定の環境では深刻な結果を招き得る。

CoinEx創設者の楊海坡氏は「回避可能だった」とする3点の技術的批判を示した：

第一に、本番環境が分離されていないこと。本番権限を持つマシンにはサードパーティ製ソフトやチャットツールをインストールすべきでなく、閲覧や面接課題のダウンロードにも使うべきではなく、専用の本番機であるべきだ。開発環境と運用環境が厳格に分離されていなければ、攻撃の入口となる。

第二に、運用スタックに意味のある2FAが欠けていること。単一の鍵で重要操作を完了できるなら、実質的な第二の扉がないに等しい。より堅牢な方法は、ハードウェアキーやSession Managerなどによる強制的なセッション管理だ。

第三に、MPCマルチシグが「名ばかり」であること。名目上は複数当事者の署名があるが、署名者が元の取引意図を独立して検証できなければ、1つのノードを突破するだけで仕組み全体が崩れ得る。同氏の見解では、Binanceが環境分離、権限最小化、独立検証を徹底していれば、こうした攻撃の入口は大幅に縮小できたはずだ。

OKX CEOのStar氏は「多層纵深防御が名実相伴っているか」という観点から切り込み、プラットフォーム責任を薄め、伝統的銀行の安全性を貶めることで自らの過失を弁解しようとしていると指摘した。Star氏は、Binanceが「資金流出はわずか2%」と繰り返し強調するものの、この数字はプラットフォームのセキュリティへの懸念に応えるものではないと述べた。また、危機の間にマーケティング活動を通じて新規預金を呼び込み続けたBinanceを疑問視し、暗号資産プラットフォームと伝統的銀行では直面する脅威、攻撃面、潜在的結果が異なり、こうした背景を切り離して両者の安全性を比較するのは誤解を招くと指摘した。Star氏は、この事件が伝統的資本市場、機関投資家、規制当局の目における暗号資産業界の信頼を損なう可能性があり、Binanceが掲げる「多層セキュリティ防御」にも疑問を投げかけると述べた。

セキュリティ監査人pashovは、Binanceの開発者は攻撃者の侵入経路を塞ぐことができたはずであり、プラットフォームの運用規律には改善の余地があると考えている。同氏は次のように指摘する。Macにソフトウェアをインストールする際は必ず公式ソースからダウンロードし、複数回にわたって出所を確認しなければならない。業務用パソコンを面接に使っては絶対にならない。面接用のコードをどうしても実行する必要がある場合は、本番権限を持つマシン上で直接実行するのではなく、必ずサンドボックス環境で実行しなければならない。単純で退屈な規律であっても、厳格に実行すれば攻撃の成功率を大幅に下げることができる。

暗号資産投資家のblankerは、Binanceの振り返り記事を読んでも「正直かなりずさんすぎる」と感じたと述べている。全員に堡垒机（踏み台サーバー）の強制、動的MFA、席を離れる際の画面ロックは、取引プラットフォームの標準装備であるべきだ。Binanceの基礎的なセキュリティ衛生はもっと厳格にできたはずであり、今回の事件は防ぎようがなかったものではない。

元PayPal社長のDavid Marcusは、Binanceへの攻撃事件は運用上のセキュリティ問題であり、暗号理論やチェーン自体の失敗ではないと考える。プラットフォームの決済速度が速くなったことで、従来のセキュリティモデルは現在のニーズに追いつけなくなっている。

DragonflyのパートナーであるHaseeb Qureshiは、暗号資産プラットフォームのインフラ設計は「攻撃されることを前提」とすべきだと考えている。24時間365日のAI監視と、真の「ワンクリック停止」緊急スイッチを備え、事態発生時に慌てふためくことを避けるべきだ。

Telaga Charityの創設者ashenは複数の疑問を挙げている：エンジニアが業務用パソコンで求人面接に参加したこと、取引プラットフォームの鍵や権限にアクセスできるデバイスにソフトウェアを気軽にインストールしたこと、攻撃がAIによって直接突破されたわけではないこと、仮想マシンの分離が見られないこと、そして「AIで人を置き換えたほうがいい、ソーシャルエンジニアリングを減らせるから」と皮肉っている。同氏は、感染した1台のパソコンが数十億ドル規模のホットウォレットを動かし得るということは、権限の分離とデバイス管理そのものに欠陥があることを示しており、なぜハードウェアキーや専用機、コピーを無効化したリモート仮想マシンがなかったのか警鐘を鳴らすべきだと考える。

BlockBeats の公式コミュニティに参加しよう：

Telegram 公式チャンネル：https://t.me/theblockbeats

Telegram 交流グループ：https://t.me/BlockBeats_App

Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia