Chainalysisは30日（現地時間）、Binanceで発生した64億ドル（約9600億円）規模の流出について、北朝鮮系のサイバー犯罪組織「TraderTraitor」が関与したと認定したと発表した。暗号資産業界では過去最大級の流出事案だとしている。

同社によると、攻撃は29日午後4時20分ごろ（米東部時間）に始まった。攻撃者は、Tornado Cashを経由して資金を受け取ったウォレットを使用していたという。

攻撃者は有効な署名承認を悪用し、Binanceのホットウォレット上で、攻撃者が仕込んだコードを実行させた。その後、複数のブロックチェーン上で正規の署名済み取引を装いながら、資金を流出させたとしている。

流出後、攻撃者は発行体による凍結が可能なステーブルコインを別の資産へ交換しようとした。まず約5億ドル（約750億円）相当のステーブルコインを別のウォレットへ移し、そのうち3億2500万ドル（約488億円）分を約20分で2億8500万ドル（約428億円）相当のイーサリアムに交換した。残る1億7500万ドル（約263億円）は、その約10分後に中継用ウォレットへ送られた。

凍結措置は同日午後5時14分ごろに始まった。Chainalysisは、法執行機関やステーブルコイン発行体、業界関係者と連携して資金の流れを追跡し、捜査の手掛かりを初動段階で共有したという。発表時点では約28億ドル（約4200億円）が凍結された。

また同社は、Binanceから流出した資金が、先月発生したBitgetのハッキングで流出した資金とオンチェーン上で交錯する動きをリアルタイムで確認したと明らかにした。Bitgetの事案は、北朝鮮系攻撃者の関与が指摘されていた。

Chainalysisは、両事案の資金の間で見つかった直接的な接点を、今回の認定の根拠に挙げた。

自動化された資金洗浄の痕跡も確認されたという。短時間に数千件の取引が発生し、資金が複数のウォレット間を移動したほか、既に使われたウォレットへ戻る動きも見られた。

さらに、複数のウォレットが正確に1TRXを受け取った後で追加資金を受領し、別のウォレットへ送るパターンも繰り返し確認された。Chainalysisは、資金の流れを複雑に見せるため、自動化プログラムが使われた可能性があると分析している。

同社は今後数日間、流出資金の追加移動が続くとみている。暗号資産取引所は多額の資産を保有しているため、継続的に攻撃対象になりやすいとして、迅速なインシデント対応体制の整備が不可欠だと強調した。