バイナンス63億4000万ドル盗難事件：ハッカーは内部AIエージェントをどのように活用して侵入を図ったのか？

著者：Mehab Qureshi（TheStreet）

編訳：TechFlow

TechFlow要旨：ビーナー（Binance）が発表した史上最大規模の63億4000万ドルに及ぶ暗号資産盗難事件の調査報告書において、技術界と金融業界を震撼させたある技術的詳細が浮かび上がった。攻撃者は偽の就職面接を通じて社外社員のエンドポイントを突破した後、従来の悪意のあるスクリプトに依存して社内ネットワーク内で横方向移動を行うのではなく、ビーナー内部にデプロイされたエンタープライズ級のAIエージェントツールの直接呼び出しとその乗っ取りを行った。

最先端のエンタープライズ級AIセキュリティ防御機関であるMace AIの共同創業者チームは、TheStreetのコラムにてこの攻撃の技術的メカニズムを詳しく解き明かした。彼らは指摘している。現代企業がスマート化トランスフォーメーションを進める過熱の中で、往々にして内部AIツールに対してコードベースやマイクロサービス全体をまたぐ高度な呼び出し権限を与えながら、認知敵対攻撃やプロンプトエンジニアリングに対して脆弱な伝統的なセキュリティガードレールに対する注意を払ってこなかったと。この事件は「社内AIはそもそも安全」という技術的神話を決定的に打ち砕き、自律型エージェントをコアビジネスフローに組み込んでいるすべての機関にとって、系統立てた警戒を呼びかける警鐘となった。

ビーナー公式が公表した事後的調査報告書によれば、同プラットフォームでの63億4000万ドルという巨額の資金盗難を招いた背後のハッカーは、数ヶ月にわたる複雑な攻撃チェーンの中で、ビーナー内部デプロイのエンタープライズ級AIツールを直接利用し、コアアーキテクチャへの深度浸透を実現した。

エンタープライズ級AIセキュリティ機関Mace AIの共同創業者兼CEO、ウォルトン・コーマー氏はその後コラムにてこの攻撃の発生メカニズムについて深入りして分析し、厳しい警告を発している。大多数の企業はこの新しい攻撃表面（アタックサーフェス）に対して全く準備できていないのだと。

暗号資産およびフィンテック史における最高額の問題資金を持つ安全事件と見なされるこの件は、伝統的な集中型機関のエンドポイント防御上の欠陥を露呈させるだけでなく、テクノロジー業界全体に前例のない深刻な命題を投げかけた。内部AIエージェントが企業の最も脆弱なシステム的負債となった今、私たちはそれをどのように制御すべきなのか？

複数段階の侵攻：偽採用広告の背後にある長期潜伏と踏み台構築

ビーナーセキュリティチームと複数の第三者フォレンジック機関が発表した合同検証報告書によると、数十億ドル規模に関わるこの壊滅的な攻撃は、従来の単一脆弱性exploitとは比較にならず、特定国家背景を持つハッカー組織によって綿密に計画された長期のソーシャルエンジニアリングおよびサイバー侵攻作戦であった。

攻撃作戦は数ヶ月前からすでに静かに幕を開けていた。ハッカーチームは専門的SNS上で極めて説得力のあるリクルーター身分を偽装し、ターゲットとなった開発者を狙ってカスタマイズされた偽技術面接を展開した。

面接でのコミュニケーションおよびコードテストの环节中、攻撃者はビーナーウォレットインフラチームに所属するある運用保守エンジニアを誘導し、偽装業務用コンピュータ上で隠蔽バックドアを含むマルウェアパッケージをダウンロード・実行させた。

悪意のあるコードは通常のエンドポイント検知メカニズムを回避することに成功し、攻撃者に被害者エンジニア端末デバイスへのローカルアクセス権限を得させた。しかし、このエンジニアの個人アカウント権限自体は厳格に制限されており、コアな資金ホット／コールドウォレットの署名システムに直接触れることはできなかった。

従来のネットワーク攻撃経路に従ったなら、攻撃者は次いで複雑な企業イントラネット内でポートスキャン、トラフィック嗅取、特権昇格脆弱性の悪用を行って慎重に内部横展開する必要があり、これは企業内部セキュリティオペレーションセンター（SOC）の異常アラートを容易に引き起こしかねない。

しかし予想に反し、攻撃者は今回の作戦においてまったく新しい近道を選んだ。エンジニアが日常的に使用する企業内統合AI開発アシスタントを狙い撃ちにしたのである。

権限格差：なぜ内部AIエージェントが人間従業員よりも高いシステム権限を持っているのか

ウォルトン・コーマー氏は分析の中で、大半のエンタープライズアーキテクトが長年見過ごしてきたセキュリティの盲点を明らかにした。企業内部にデプロイされるAIエージェントツールは、多くの場合、一般の人間従業員をはるかに上回るシステム権限とデータアクセス視野を享有しているのである。

現代の大規模テック企業内部では、全員のR&D協力効率を向上させるため、企業は一般的にAIアシスタントを内部コードリポジトリ、APIドキュメント、マイクロサービストポロジーライブラリ、設定管理システムなどに深く接入する。

AIエージェントが部門横断的なアーキテクチャ相談にスムーズに応答し、コード生成を支援できるようにするため、システム管理者はその智能体に対してデフォルトで極めて高度なクロスドメイン読み取り権限とサービストークンを付与しがちだ。

これにより極めて危険な「権限ミスマッチ」現象が生じる。階層の開発者が直接コア機微マイクロサービスの内部インターフェースやサーバー設定を閲覧できない一方で、内部AIに対し自然言語で問い合わせを行うと、AIはこれらの設定を読み取り出力を整理するための完全な権限を保有しているのである。

ハッカーが被害者従業員の業務用コンピュータを掌握すると、瞬く間に当該内部AIツールとのやり取りに不可欠な全てのコンテキスト環境を継承したことになる。

攻撃者にとって、この内部AIはもはや単純な生産性補助プラグインではなく、イントラネットの最深部にマウントされ、全システム機密を熟知する「万能のマスターキー」となった。

認知脱獄：ハッカーが「礼儀正しい会話」を通じてコアトポロジーと認証情報を騙し取る手法

内部AIとの対話入口を獲得した後、攻撃者はあらゆる複雑な基盤高強度暗号アルゴリズムを解読しようとせず、巧みにマルチターンなプロンプトエンジニアリングを用い、一見通常の「礼儀正しい会話」を通じてAIのセキュリティ防御境界を徐々に解体した。

Mace AI 首席科学者のグレッグ・フランク氏は指摘する。現在大多数の企業が自社のAIエージェントに設定するセキュリティガードレールは、本質的に外部入力を巡って設計されたキーワードフィルタリングルールまたは浅層的な意図分類器なのであると。

これらの伝統的ガードレールは「秘密鍵を直接要求する」ような乱暴な指示にはまだ対応できるものの、大規模言語モデルの認知論理に精通したベテランペンテスターに対峙すると、その防線は急激に崩壊してしまう。

ハッカーは日常の開発トラブルシューティングの文脈を模倣し、順を追ってAIに対して何度看似然とした合理的な技術相談を提起した。

彼らはAIにビーナー内部の異なるR&Dグループ間のサービス呼び出し依存関係を整理させ、コアウォレット署名サービス開発を担当する第二シニアエンジニアの具体的なシステム環境およびイントラネット位置情報を次第に引き出した。

この緻密に仕組まれた連なる意味的誘導の下、内部AIは警戒なく秘密ネットワークトポロジ構造を吐き出すだけでなく、さらなる侵攻に必要な重要設定の手がかりの抽出までハッカーを手伝ってしまった。

内部漏洩を防ぐために本来設置された各種セキュリティ機制は、自身が信頼するAIエージェントの積極的な協力を前にして完全に無力化した。ハッカーはこれ凭借し、通常のエンドポイントからコア署名ノードへの跨階層ジャンプを容易に実現した。

秘密鍵の回避：バッチ署名サービスの強制的奪取メカニズムの検証

公式に開示された最終フォレンジック結果によれば、この驚天動地の巨額事件において、ビーナーのホット／コールドウォレットの基盤核心秘密鍵そのものは直接流出していない。まさにここがこの攻撃の最大の隠匿性と殺傷力を生む点なのである。

内部AIを用いて横方向ジャンプ侵攻を完了した後、攻撃者はウォレット署名マイクロサービスの認可検証ロジックへの侵入および乗っ取りに成功した。

ハッカーはハードウェアセキュリティモジュール（HSM）または保護された隔離環境から秘密鍵を強制的に取り出そうとはせず、取得した高度なサービス認証情報を利用し、正規の内部呼び出しリクエストを偽造した。

彼らはビーナーの自動化署名エンジンが強制的に大容量悪意のある送金指令に法的な署名を行うよう駆り立て、さらにブロックチェーン上でイーサリアムEIP-7702標準のバッチアカウント抽象化認可機構と深く結合させた。

これらの取引指令はブロックチェーン上で取引所公式署名サービスの有効署名支持を伴っていたため、初期のブロックチェーン異常検知レーダーはそれらを通常の大容量ホット／コールドウォレット内部集約操作と誤判定していた。

取引所のセキュリティチームが資金異常を検知し伝統的前端出金チャネルを緊急停止した時には、ハッカーは既に下層スマートコントラクトのバッチ実行ロジックを用いて、極短い時間で数百種のトークン資産を分流かつ尽きてしまっていた。

二重スパイの脅威：企業級自律エージェントがハッカーの最も理想的な内部バックドアへと成り下がっている

Mace AIチームの検証は、Agentic時代に全面突入する科技と金融業界に痛烈な振り返りを迫った。世界のトップセキュリティ運用チームでさえ内部AIがシステムキーを差し出すのを阻止できないのであれば、現在の企業AIセキュリティ防御ラインは間違いなく空虚なのだと。

ウォルトン・コーマー氏は強調する。伝統的ネットワークセキュリティ防御の究極目標は「金庫の鍵」を守ることだが、自律型AIエージェントが広く普及した現代においては、AIそのものがすでに事前に合法的にその鍵を手中に収めているのだと。

攻撃者が精巧に作り込まれた自然言語のプロンプト一つでシステム内のデジタル従業員をあっさりと懐柔できるのであれば、AIは事実上、企業の最深部に潜む「二重スパイ」へと変貌してしまったと言える。

各機関が自律エージェントを企業の核コードベース、継続的インテグレーションパイプライン、資産調整中枢へ接続するために争う中で、AIの文脈下における「最小権限の原則」の強制実装を再考せねばならない。

モデルベンダーが提供する道徳的ガードレールや外付けルールベースに単に頼るだけでは、高次元の認知攻撃に耐えられない。業界は早急にエージェントの全ライフサイクルにわたる説明可能性監査とマルチエージェント対抗検証防御アーキテクチャを構築することが急務である。

ビーナーの63億4000万ドル盗難事件は時代の警鐘を徹底して鳴らした。人間が自ら武装させた内部AIエージェントが、ハッカーによって企業全体の倒壊を招く最も致命的な刃となることをいかに防ぐか。これが全員が正面から答えなければならない生死を賭けた課題なのである。