バイナンスハッキング事件が確認された。これは暗号資産史上最大の流出事件である。ブロックチェーン調査員によると、木曜日にバイナンスのホットウォレットから最大で55億ドル相当の不審な資金移動が追跡された。
ステーブルコイン発行体がすでに対応している。テザーは15億6700万ドル超のUSDTを凍結したと確認した。サークルは8億ドル超のUSDCをブロックした。
リップルも約2億ドルの凍結を行ったと報じられている。
これにより、凍結額は約26億ドルに迫るが、被害総額は依然として確定していない。
本稿執筆時点で、バイナンス取引所の出金およびバイナンス・アルファの取引は停止中。
この事件はすでに下落していた暗号資産市場にさらに圧力を与えた。ビットコインは7万9000ドルを下回り、BNBも急落した。
バイナンスのハッキングはどのように起きたか
セキュリティ研究者は、攻撃者がEIP-7702と呼ばれるイーサリアムの機能を悪用し、バイナンスのホットウォレットを制御した疑いがあると指摘している。
1. 攻撃者がウォレットの権限を奪取
EIP-7702は、通常のイーサリアムウォレットがスマートコントラクトに代理操作を許可する仕組みである。
調査員によれば、バイナンスのウォレットが未検証のコントラクトに操作権限を委任していたことが判明した。攻撃者が必要な認証情報をどのように得たかは明らかでない。
2. 攻撃者が50件の権限承認を試行
研究者によれば、攻撃者は異なる取引シーケンス番号（ノンス）で50件の署名入り承認を提出した。
バイナンスのウォレットは取引を継続的に処理していた。その時点のシーケンス番号と合致する承認のみが成功した。
これにより不正なコントラクトが有効化された。
3. コントラクトが資金の流出を開始
該当コントラクトには、ETHや他のトークンを引き出すための関数が組み込まれていたとされる。
数分以内に、バイナンス14から約16万7464ETHおよび16億1500万USDTが、その他多数の暗号資産とともに送金された。
その後、資金はこの受取アドレスに移動した。
4. 脅威は継続の可能性
研究者は、不正な委任が置き換えまたは取り消されるまで有効なままとなるリスクを警告した。
攻撃者の管理下にあるコードが稼働している限り、新たに入金された資金が被害を受けるおそれもある。
バイナンスは現時点で、この攻撃手法に関する技術的説明を公表していない。
バイナンス利用者が取るべき対応
ホットウォレットは取引所がインターネット上で顧客取引を処理するために用いる。流出が発生しても、個々の顧客アカウントが自動的に侵害されるわけではない。
利用者は次の注意点を守る必要がある。
- 公式のバイナンス最新情報を確認。 バイナンスのアプリやウェブサイトで出金状況を随時確認。
- 不審なリンクに注意。 ハッキング補償や緊急出金、アカウント復旧を名乗るメッセージは無視。
- 2段階認証の有効化。 認証アプリやセキュリティキーの利用を推奨。
- 出金アドレスの確認。 送金前に全アドレスを精査。アドレス詐称詐欺に注意。
- リカバリーフレーズや秘密鍵を決して共有しない。 バイナンスのサポートがこれらの情報を求めることはない。
バイナンスは顧客の資産は安全と強調している。最終的な被害規模や顧客被害の有無については現在も調査中である。
