ビットコイン10,565,805円▼4.41%
イーサリアム297,073円▼5.29%
XRP157.6円▼4.78%
ソラナ11,877円▼8.41%
BNB96,025円▼6.25%
バイナンスのホットウォレットから10月30日に暗号資産が流出した。同社は、ウォレットの秘密鍵が侵害された証拠は確認していない一方、社内の署名サービスへの不正アクセスがあったと説明した。
バイナンスは11月3日の初期調査で、攻撃者が通常の出金手順を通さずに取引を実行したとした。被害額は同社が約63億4000万ドル（約1兆131億円）と公表した。10チェーンでの移転時価格は約63億6000万ドル（約1兆163億円）と推計された。両者の金額には差があるが、その理由は公表されていない。
同社の報告では、攻撃準備は数カ月にわたり段階的に進んだ。改ざんされたソフトウェアや偽の採用面接が使われ、従業員の端末と社内AIツールを足掛かりに、コンテナ展開用の認証情報が取得されたという。攻撃者は10月30日に悪意あるスクリプトを実行し、署名サービスにアクセスしたとされる。
MPCは秘密鍵を一カ所に置かず、複数の参加者が分担して署名を作る方式だ。鍵が分散管理されていても、署名サービスが依頼の正当性を判定できなければ、不正な取引に署名を与える余地が残る。今回の報告は署名サービスの不正利用を示しており、MPCの暗号方式が破られたとはしていない。
イーサリアム上では、EIP-7702の承認を使い、攻撃者側のスマートコントラクトにホットウォレットの一部の実行権限が委ねられた。EIP-7702は、EOA（外部所有アカウント）の処理を署名によってスマートコントラクトに委任できる仕様だ。ブロックチェーンに記録された委任権限は、通常の出金機能を停止しただけでは失効しない。
最後の不正送金はイーサ（ETH）を2961.9枚送るもので、10月30日午前8時56分（日本時間）に確定した。バイナンスは同日午前9時10分（日本時間）、ゼロアドレスを指定する新たな承認で委任コードを解除した。同社は、MPCウォレットには即時の取り消しに使える単一の秘密鍵がなく、専用手順が必要だったと説明している。調査は続いている。
