改ざんされたAIツールと偽の面接、エンジニア3人の端末を乗っ取る
米国時間11月3日に公表されたバイナンスの事後報告書は、リチャード・テン共同最高経営責任者（CEO）が数カ月がかりの作戦と呼んだ攻撃の経緯をたどっている。始まりは6月だった。ウォレットを担当するエンジニアが、人気のAIコーディングツールを検索していて、改ざんされたインストール用のファイルをダウンロードしてしまったのだ。
バイナンスのセキュリティチームは不正なダウンロードに気づき、端末を交換した上で、認証情報（パスワードやアクセス用の鍵など）を新しいものに切り替えた。だが攻撃者はこのときすでに、誰がウォレットの基盤を担当しているのかを突き止めていた。
求職サイト経由の接触と課題、セキュリティツールも見逃したコード
9月には、別のエンジニアが正規の求職サイトを通じて声をかけられ、架空の会社の面接を受けた。偽の人事担当者は、信頼を得るために、自分の私的な写真や動画を見せた。続いて、その架空の会社の最高経営責任者を名乗る人物が、課題をダウンロードするようエンジニアに指示した。課題のコードには悪意のある仕掛けがあったが、パソコンなどの端末を守るセキュリティツールもそれを見逃した。
攻撃者は10月20日（UTC）までに、面接を受けたエンジニアのパソコンと社内のAIツールを足がかりにして、さらに2人のエンジニアのパソコンを乗っ取った。そして10月29日（UTC）、送金などの取引に署名して承認する、社内のウォレット署名サービスにたどり着いた。
2つのウォレットで試した末、事前承認50件で3分半のうちに持ち出す
10月28日（UTC）には、暗号資産の出どころを分かりにくくするサービスであるTornado Cash（トルネードキャッシュ）から引き出された資金が、攻撃の実行に使うウォレットに送り込まれた。攻撃者は、2つのウォレットでコードを試し、3つ目のウォレットで予行演習をした上で、そのコードをバイナンスのホットウォレットに仕込んだ。
10月29日20時20分（UTC）には、イーサリアム上の1つの取引に、あらかじめ署名された承認が50件まとめて含まれていた。使われたのは、ウォレットの操作をスマートコントラクト（ブロックチェーン上で自動的に動くプログラム）に任せられるようにする、EIP-7702という機能だ。
あらかじめ署名された承認は、ウォレットがその時点までに処理した取引の件数と、承認に付いた番号が一致したときにしか有効にならない。50件は、出金の処理で件数が刻々と増えても、どれか1つは一致するように用意されたものだった。
1つが一致して有効になると、攻撃者は3分半のうちに、16万7464ETH（イーサリアムの基軸となる暗号資産）と16億1500万USDT（米ドルに価値が連動するステーブルコイン）を根こそぎ持ち出した。
※編注：EIP-7702は、イーサリアムの改善提案（EIP）として採用された仕様で、正式名称は「Set Code for EOAs」である。通常のウォレット（外部所有アカウント、EOA）が、指定したスマートコントラクトのプログラムを実行できるようにする。複数の操作をまとめて処理したり、手数料を別の利用者が肩代わりしたりする用途を想定している。所有者は新たな承認を出せば、委任を取り消したり差し替えたりできる。
FBIは10月31日、バイナンスでの窃取をTraderTraitorの犯行だと発表した。バイビットの事件を起こしたのと同じ、北朝鮮の部隊である。
北朝鮮による暗号資産窃取、2017年以降で約2兆224億円に
TRMのデータによると、北朝鮮は2017年以降、100件の事件で約128億ドル（約2兆224億円）相当の暗号資産を盗んでおり、そのうちの74億ドル（約1兆1692億円）は2026年の分だ。2026年に世界で起きた暗号資産のハッキング被害額のうち、85％を北朝鮮が占める。2020年には7％だった。
バイナンス、バイビット、ローニン、ビットゲット、DMM Bitcoinの5件だけで、総額のうちの91億ドル（約1兆4378億円）を占める。国連の調査団は、盗まれた資金の多くが北朝鮮の弾道ミサイル開発に充てられているとしている。
