バイナンス、ハッキング流出額が約1兆円に上る　全額補償を表明

約63億ドルの被害

世界最大級の仮想通貨取引所バイナンスは30日、セキュリティインシデント（ハッキング事件）に関する更新情報を公表し、被害額が推計で約63億ドル（9,920億円相当）に上ると明らかにした。

バイナンスは全損失をユーザー保護基金（SAFU）と自社の資金で補償するとし、ユーザー資産は安全だと説明した。

原因を巡っては、バイナンスの初期調査で、開発運用（DevOps）担当エンジニアのノートパソコンが侵害され、攻撃者がサービスコンテナに入り込んで不正な出金取引を送った可能性があるという。ウォレットの秘密鍵が漏えいした痕跡は見つかっていないとし、詳細な事後検証（post-mortem）と、修復完了後の更新版の準備金証明（Proof of Reserves）を公開する方針だ。

対応として、バイナンスは入出金を一時停止し、影響を受けたアドレスの承認を取り消した上で、捜査当局やブロックチェーン分析のパートナーと資金の追跡・回収に当たっている。

また、ブロックチェーン分野のパートナー（テザーやサークル、アービトラム）と連携し、影響を受けた資産のうちこれまでに約30億ドルをブロックチェーン上で凍結した。

攻撃の手口

攻撃の手口を分析したブロックチェーンセキュリティ企業ブロックエイドによると、攻撃者はイーサリアムの「EIP-7702」を悪用した。EIP-7702は、ウォレットの動作を外部のプログラムに任せる承認を出せる機能で、承認が有効になるには、取引時点の口座の通し番号（nonce）との一致が必要だ。

攻撃者はオンライン接続型のホットウォレット「バイナンス14」の通し番号を特定できなかったため、番号を変えた50件の承認（18914775から18914824まで）を1回の取引で送り、1件だけが一致して権限が未検証の悪意あるプログラムに移った。このプログラムは、攻撃者が指定したアドレスだけがイーサリアムとERC-20トークンを移せる設計で、手数料用の1ETHを残し、今後入金される資産も移される恐れがあるとの見方をブロックエイドは示した。