Binance63億ドル流出事件：開発者端末への侵害がどのように大規模被害につながるか

【なぜ重要か】 2025年に発生したBinanceの約63億ドル規模の不正流出事件は、DevOpsエンジニアの業務用ラップトップへの侵害が発端の一つとされており、開発者端末のセキュリティが金融インフラ全体のリスクに直結することを示している。Aikidoは先週だけで約500件のマルウェア攻撃を開発者端末上でブロックしており、この種の脅威は決して珍しくない。北朝鮮系ハッカー集団による開発者への標的型攻撃が頻発している今、日本のエンジニアおよびセキュリティ担当者にとっても対岸の火事ではない。

【ポイント】

• 侵害の経緯（判明分）: Binanceの初期調査では、DevOpsエンジニアのラップトップが侵害され、攻撃者がサービスコンテナへアクセスして不正な出金トランザクションを送信したとされる。その後の調査でラップトップ以外にも複数の侵害箇所が確認されたが、詳細は未公表。
• EIP-7702の悪用: 共同CEOのリチャード・テン氏によると、攻撃者はEthereumの既知機能「EIP-7702」を利用し、通常のBinance承認フローを経由せずにホットウォレットへの操作権限を取得した。秘密鍵の流出は確認されておらず、署名はBinance内部の署名インフラから行われたとみられる（Blockaid CEOも同様の見解）。
• 開発者端末が持つリスク: 開発者のラップトップにはクラウド認証情報・SSHキー・Kubernetesの設定・有効なセッショントークンが保存されており、セッショントークンはMFAをバイパスしてパスワードリセット後も有効なため、攻撃者はエンジニアになりすまして内部システムへアクセスできる。
• 典型的な攻撃手口: 悪意あるnpmパッケージ（例：react-html2pdf.js）、VSCode拡張機能、偽の採用面接を装ったコーディング課題など、開発者が日常的に使うツールやワークフローを悪用する手法が多数確認されており、いずれもLazarusグループ等の北朝鮮系組織に帰属が疑われている。2025年2月のBybit盗難事件（約25億ドル規模）も、開発者端末の侵害からAWSセッショントークン窃取、悪意あるコードの注入という類似した経路をたどっていた。
• 推奨される防御策: Aikido Device Protectionのような軽量エージェントによる悪意あるパッケージ・拡張機能のインストール前ブロック、長期有効な認証情報をディスクに置かず短命な認証情報を発行する運用、高額取引に対するサービス外部からの承認要求、異常な場所・時間帯での認証情報使用へのアラート、請負業者や個人端末への社内管理ポリシーの適用が挙げられている。

【まとめ】 一台の開発者端末への侵害が、認証情報の連鎖的な窃取を経て数十億ドル規模の被害に発展し得ることをBinance事件は示している。エンジニアは自分の端末上の認証情報・セッショントークン管理を見直し、組織はデバイス保護・短命な認証情報の発行・高額操作への多重承認の仕組みを早急に整備すべきである。