Binanceから25億ドル超（約3750億円）相当の暗号資産が流出した大規模ハッキングで、秘密鍵そのものの流出ではなく、取引の署名基盤が侵害された可能性が浮上している。攻撃者がウォレットの秘密鍵を直接奪ったのではなく、取引承認プロセスを悪用し、不正取引を、正規の承認を経たように見せかけたとの見方だ。

Cointelegraphが30日（現地時間）に報じたところによると、Blockaidの共同創業者兼CEO、イード・ベンナタン氏は初期分析として、「鍵の流出」よりも「鍵の悪用」の可能性が高いとの見方を示した。署名基盤が侵害されたように見えるとし、現時点では秘密鍵自体が流出したとはみていないという。

Binanceはなお攻撃経路を特定できておらず、焦点は攻撃者がどのように取引承認の仕組みを回避したかに移っている。秘密鍵が盗まれていなくても、署名システムが操作・侵害されれば、不正取引を正規手続きに見せかけて実行できるためだ。

BlockaidはXに投稿したオンチェーン分析で、攻撃者が「Binance14」を標的に、EIP-7702に基づく承認50件を1件の取引にまとめたと説明した。このうち1件の承認が当該アカウントに必要なノンスと一致し、受理されたとしている。

EIP-7702は、一般アカウントがスマートコントラクトのコードを委任実行できるようにするイーサリアムの改善提案だ。Blockaidによると、問題のアカウントは未検証のスイーパーコントラクトに権限を委任しており、このコントラクトは指定された運用者がトークンとEtherを引き出せる設計だったという。

こうした点は、攻撃者が秘密鍵を入手しなくても、取引承認体制の隙を突いて資産を移動できた可能性を示唆する。ただ、具体的にどのシステムが侵害されたのか、攻撃者が取引所内部にどの程度アクセスしていたのかは確認されていない。

ベンナタン氏は、複数の端末が同時に侵害された可能性や、取引所ネットワーク内部でラテラルムーブメント（横展開）が起きた可能性にも言及した。ただし、いずれも現時点で確認された事実ではなく、初期段階の推定にとどまると強調した。ブロックチェーン分析企業ArkhamのCEO、ミゲル・モレル氏も、原因が秘密鍵の窃取なのかインフラ侵害なのかを判断するには情報が不十分だとし、攻撃の影響はなお続いているように見えると述べた。

市場では、今回の攻撃が2025年2月のBybitハッキングと似通っている点にも関心が集まっている。ベンナタン氏は、両事案の攻撃手法は非常に近いと評価した。Bybitが当時公表したフォレンジック調査によると、攻撃者はSafe開発者の認証情報を侵害してウォレット基盤にアクセスし、署名権限者を欺いて不正取引を承認させたとされる。

攻撃主体は特定されていないが、Blockaidはオンチェーン上で確認された周到な事前準備について、北朝鮮系サイバー攻撃組織の作戦と似た特徴があると分析した。ただし、攻撃者を断定する決定的な証拠ではないとしている。

今回の事案は、暗号資産取引所のセキュリティ対策が秘密鍵の保管だけでは不十分であることを改めて示した。ウォレットへのアクセス権限に加え、取引を検証・署名するシステムや、それを管理する運用端末、内部ネットワークまでを一体で保護する必要がある。

とりわけ、攻撃者が秘密鍵を直接盗まずに署名手順を悪用できるのであれば、従来の鍵管理だけでは資産保護が不十分になる可能性がある。Binanceの今後の調査で、侵入経路や内部システムへの被害範囲がどこまで明らかになるかが注目される。