自分の署名なしには会社の口座から一件の送金も出ていかないと考えているなら、バイナンスのハッキングは、その思い込みを今日確かめる十分な理由になります。2026年10月29日の夜、世界最大の暗号資産取引所であるバイナンスのウォレットから、約63億ドルが不正な出金によって流出し、その大半はおよそ20分の間に起きました。同取引所の共同CEOは、作戦の一部が通常の承認チェックを通らなかったと述べています。あなたの会社にとっての教訓は暗号資産とは関係ありません。お金を動かしたり受取人の口座を変更したりできる経路をすべて洗い出し、そのどれもが二人の人間、二台の端末、そして誰にも消せないログを必要とするようにすることです。

バイナンスで何が起きたのか、数字で見る

バイナンスが10月30日に公表した二回目の公式アップデートによると、顧客の出金を処理するためにインターネットにつながったウォレット、つまりホットウォレットが協定世界時の20:05ごろに侵害され、損失は約63億ドルにのぼりました。取引所は出金を停止し、パートナーの協力によって約30億ドルがブロックチェーン上で凍結されたと発表したうえで、損失を補うために63.4億ドルを超える自己資金を確保しました。そのうち50億ドルは盗まれたのと同じトークンで保有されており、金額の約80%に当たります。同社は、このアップデートから約34時間以内に出金を段階的に再開し、11月2日までに準備金証明の報告書を出すことを目標にしていました。

TRM Labsによるブロックチェーンデータの分析は、重要な詳細を加えています。資金は10のネットワークを通じて流出し、準備は盗難の少なくとも36時間前に始まっていました。攻撃者は使用前に別のウォレットでツールのリハーサルを行い、実行の瞬間にどれか一つが有効になるよう、事前に署名された50件の承認を用意していました。TRMは総額を63.6億ドルと見積もっており、これは2025年2月のBybitのハッキング、15億ドルのおよそ四倍です。TRMとEllipticは、この攻撃を北朝鮮と関係のあるグループTraderTraitorによるものとしていますが、Ellipticは、この帰属をまだどの政府も確認していないと指摘しています。

手口についてバイナンスが語ったこと

初期調査では、DevOpsエンジニアの侵害されたノートパソコンが指摘されました。これにより攻撃者はサービスコンテナに到達し、不正な出金トランザクションを送信できたとされます。その後、取引所は追加の調査で別の侵入箇所が見つかったこと、そしてウォレットの秘密鍵が漏えいした証拠は見つかっていないことを明らかにしました。共同CEOは、攻撃は一人で行われたものではないこと、攻撃者が作業しながらツールや痕跡を消していく自己破壊の仕組みを使ったこと、そしてイーサリアム上で使われた委任がバイナンスの通常の承認チェックを通っていなかったことを述べています。

簡単に言えば、攻撃者は金庫をこじ開けたのではありません。バイナンス自身のシステムに送金へ署名させたのです。TRMの評価では、最も可能性の高い説明は、署名システムに攻撃者が選んだ取引へ署名させる能力を、異なるネットワークと異なる鍵にまたがって、およそ半時間のうちに手に入れたというものです。

暗号資産をまったく持たない会社にも関係する理由

どの会社も、この署名システムの小型版を動かしているからです。銀行の法人向けポータル、経理担当が会計システムから書き出して銀行にアップロードする支払ファイル、取引先の口座情報を編集する画面、決済ゲートウェイの返金権限、毎月の給与ファイルなどです。経営者であるあなたには、申請、次に上長、次に経理という正式な承認ルートが見えています。しかし攻撃者が探すのは抜け道です。ファイルを自動でアップロードするシステムアカウント、IBANを変更できるIT管理者、あるいは外部委託先にある、送金を実行できる連携キーです。

教訓はあと二つあります。一つ目はスピードです。資金の大半はおよそ20分で流出しており、手作業で追いつける社員はいません。だからこそ、守りは自動で働く上限額と通知で固める必要があります。二つ目は準備です。攻撃者は36時間前から準備し、ツールを試していました。つまり、見張っている人がいれば早期の兆候は見えていたということです。以前、業務用パソコン上の無料ストリーミングサイト一つが会社のパスワードを攻撃者に渡しうる仕組みについて書きましたが、権限を持つ人の端末こそ、社内で最も価値の高い標的です。

今週、自社で見直すべきこと

  • お金が出ていく経路をすべて地図にする：送金を開始する、承認する、受取人の口座を変更する、返金を出す、といったことができる人とシステムをすべて書き出します。システムアカウント、連携キー、外部委託先も含めます。
  • すべての送金に二人と二台の端末：送金を入力した人はそれを承認せず、承認は別の端末から行います。これは必須サイバーセキュリティ管理策にある職務分離の原則で、一つの業務を完了するのに、それぞれ異なる権限を持つ複数の人を必要とするものです。誰が何に署名するかを決める承認マトリクスと結びつけましょう。
  • 上限額と即時通知：銀行に依頼して一日の送金上限額を設定し、大きな送金のたび、そして受取人が追加または変更されるたびに、経営者のスマートフォンへ即時通知が届くようにします。
  • 管理者権限は必要な分だけ：すべてのリモートログインとすべての特権アカウントで多要素認証を有効にし、これらの権限を持つ人の一覧を定期的に見直し、退職者や契約が終わった委託先のアカウントを削除します。
  • 攻撃者が消せないログ：バイナンスの攻撃者は作業しながら痕跡を消しました。特権アカウントとリモートアクセスのイベントログを有効にし、そのコピーをシステムの外に保管し、管理策が求めるとおり少なくとも12か月保存します。
  • 最初の数分間の計画：送金を止めるために誰が銀行に電話するか、誰が不審なアカウントを無効にするか、緊急連絡先はどこにあるかを決めておきます。バイナンスの事件では、Tetherが最大の引き出しから37分後に攻撃者のメインの受取ウォレットを凍結し、このスピードが資金の大部分を守りました。

サウジアラビアの管理策は何と言っているか

国家サイバーセキュリティ庁（NCA）が定めた必須サイバーセキュリティ管理策ECC-2:2024は、政府機関とその関連団体、そして重要国家インフラを所有・運用・ホスティングする民間企業に義務づけられており、NCAは王国内のそれ以外のすべての組織にも活用するよう強く勧めています。これらはバイナンスの教訓に直接対応しています。リモートアクセスと特権アカウントへの多要素認証（2-2-3-2）、知る必要性・最小権限・職務分離の原則（2-2-3-3）、特権アクセス管理（2-2-3-4）、IDとアクセス権の定期的な見直し（2-2-3-5）、そして特権アカウントとリモートアクセスのイベントログを継続的に監視し、少なくとも12か月保存すること（2-12-3）です。

Origamiの見方

私たちはバイナンスのハッキングを、暗号資産ではなく承認ルートについての教訓として読んでいます。多くの会社は正式なルートのために承認を設計し、抜け道を忘れています。支払ファイルをアップロードするシステムアカウント、IBANを編集できるユーザー、実行権限を持つ連携キーです。こうした抜け道こそ、攻撃者が真っ先に探すものです。

購買サイクルのシステムや取引先への支払ポータルなど、お金に関わるカスタムシステムを構築するとき、私たちは初日から承認を設計の一部にすることをお勧めしています。入力と承認は別々の二人が担い、金額に上限を設け、受取人データへのあらゆる変更をログに残します。カスタムシステムではなく既製の会計システムが必要なら、Fahimをご覧ください。

まとめ

記録上最大の暗号資産盗難から学ぶのに、暗号資産のウォレットは必要ありません。今週、経理担当とIT責任者と一緒に二時間を確保してください。お金が出ていく経路をすべて書き出し、入力と承認を二台の端末に分け、銀行に上限額と通知を依頼し、管理者権限を持つ人を見直し、ログをシステムを運用する人の手の届かない場所に保管しましょう。自社システムの承認ルートの見直しをご希望なら、お問い合わせいただくか、サービスをご覧ください。

出典