バイナンスは機関投資家の取引誘致に成功しているが、小口顧客向けではデータセキュリティへの警告が増加しており、同社の野望に複雑さをもたらしかねない状況。
時価総額で世界最大の暗号資産取引所バイナンスは、店頭取引部門で2026年を爆発的な勢いでスタートした。1月と2月だけで、バイナンスのOTCプラットフォームは2025年の総取引量の25%を記録している。
バイナンスで150万ユーザー情報流出 スクレイピング攻撃
この急増には、市場の成熟も反映されている。大口投資家や機関投資家は、巨額取引を非公開で実行できるチャネルをますます求めている状況。
バイナンスのリチャード・テンCEOは、これらの投資家らがスリッページや市場の混乱を回避するため、深い流動性を重視していると説明した。同取引所のOTCデスクでは、買い手と売り手がブロック取引を直接執行できるため、取引戦略を公開オーダーブックから守ることができる。
しかし、この機関投資家の華やかさの裏側で、運用上の警告が増している。
3月28日、サイバーセキュリティプラットフォームVECERTは、PexRatと名乗る攻撃者が、バイナンスユーザー150万件分の個人情報を含むデータベースを闇市場で販売していると報告した。
漏洩したデータには、氏名全体、メールアドレス、電話番号、KYC認証ステータスが含まれるとされている。
さらに懸念されるのは、被害者の最終ログインIPアドレス、デバイスのユーザーエージェント、2段階認証（2FA）ステータスも保持していると攻撃者が主張している点。SMS、メール、専用認証アプリのいずれを利用しているかも含む。
同時に、2FAログやKYCデータの流出リスクは極めて深刻な運用リスク。これにより被害ユーザーは標的型のSIMスワップ攻撃や、高度なフィッシング詐欺への脆弱性が高まる。
重要なのは、VECERTによる認証ログとサンプルデータの分析で、バイナンスの内部サーバーが直接侵害された痕跡はない点。同社は代わりに、洗練されたクレデンシャルスタッフィングとスクレイピングの手口を指摘した。
「証拠から判断すると、攻撃者はログイン画面や一部APIでのキャプチャなどセキュリティ機構を回避・悪用し、継続的なリクエストの送信に成功したと考えられる」とVECERTは説明した。
今回の事案は、サイバーセキュリティ研究者ジェレミア・ファウラー氏が1月に報告した、同様の情報窃盗型マルウェアによるバイナンス関連認証情報約42万件の流出を受けてのもの。
最終的に、これら一連の事件はバイナンスのサイバーセキュリティ対策にとって重大な試練となる。同取引所は、ユーザーデータへの組織的な自動スクレイピングをこれ以上許容できない状況。
