北朝鮮の偽面接が63億ドルBinance流出の発端
原題: North Korean fake job interview led to $6.3B Binance heist
なぜ重要か
国家支援の攻撃者が採用プロセスという「正規の接点」を悪用する手口は、あらゆる金融・テック企業のセキュリティ体制に再点検を迫る事案だ。
2026年10月29日、暗号資産取引所Binanceから約63億ドル相当の仮想通貨が盗まれた事件で、Binanceは11月3日付のインシデントレポートを公開し、北朝鮮系ハッカー集団TraderTraitor（Lazarus Group関連）による偽の就職面接を入口とした多段階攻撃が原因だったと明らかにした。FBIも同集団の関与を認定している。
Binanceが公開したインシデントレポートによると、攻撃の準備は盗難の約5カ月前、2026年6月に始まっていた。エンジニアの一人（レポート内では「エンジニアA」）が悪意あるHomebrew インストーラーをダウンロードするサプライチェーン攻撃を受けた。このマルウェアはセキュリティチームに検知され、端末の交換と認証情報のローテーションが行われたものの、「エンジニアAのロールと、ウォレットインフラチームの関連同僚の情報が攻撃者に露出した」とレポートは指摘する。
続く9月、別のソフトウェアエンジニアが「正規の求人プラットフォーム」経由で接触を受けた。架空の企業のプロジェクトディレクターを名乗る人物が面接を設定し、第1回ではライブビデオ形式でフェイクのHR担当者も登場。面接中に攻撃者はソーシャルメディアアカウントを共有するなど信頼を築きながら、マルウェアを業務端末にダウンロードさせることに成功した。
その後、攻撃者は内部AIツールの侵害、エンドポイントの乗っ取り、そして「高度なトランザクション承認手法」を組み合わせ、10月29日に記録的な額の流出を実現させた。Binanceは「単一の孤立した侵害でも、単純なフィッシングでもない。高度な多段階キャンペーンだった」と声明で強調している。
FBIはこの盗難をTraderTraitorに帰属させた。同グループはLazarus Groupと関連する北朝鮮当局支援のサイバー犯罪集団で、IT技術者を装って西側企業に潜入する手口と、今回のように雇用主を偽ってマルウェアを感染させる手口の両方を使い分けることで知られる。暗号資産分野での大規模窃取と諜報活動を組み合わせた攻撃が特徴だ。