警察や情報機関、取引所に、暗号資産犯罪者を捕まえるためのツールを高額で売っている会社が、自分の庭すら守れませんでした。Chainalysisは、外部の攻撃者が同社のシステムと社内ツールに不正アクセスし、その後プラットフォーム利用者のデータを持ち出したことを公式に認めました。この発表が出たのは10月30日。まさに同じ日に、同じChainalysisが全知の預言者のような顔で暗号資産史上最大の強奪事件の犯人を名指ししていました。同社の見立てでは、Binanceのウォレットから約64億ドルを奪ったのは北朝鮮のグループTraderTraitorだというのです。
ところが、会社自身が明かした詳細を読み始めると、探偵ばりの明快さはどこかへ消えてしまいます。伝えられているのは、侵入に気づいたのが「今月」だということだけです。攻撃者はユーザーID、フルネーム、業務用メールアドレス、組織内での役職を持ち去りました。その中には、Chainalysisがいままさにありがたくない手紙を送っている顧客たちも含まれます。同社によれば、一部の被害者にはそれ以前に非公開で知らせていたそうです。流出したレコードが全部でいくつあり、具体的に誰のアカウントが荒らされたのか、世界屈指のアナリストたちはいまだに数え終えていません。各顧客には「分析が完了し次第」個別の内訳を送ると約束しています。侵入者が入り込んだ穴は、いままさに走りながら塞がれているところです。
しかも公開された報告では、肝心な問いのすべてがぽっかりと空白になっています。侵入が発見されたのは正確に何日か、攻撃者は何週間ネットワーク内でやりたい放題だったのか、どの脆弱性から入り込んだのか、どの「社内ツール」を使うことができたのか。数字もなければ日付もなく、技術的な事実もひとつとしてありません。
盗まれた情報について、Chainalysisは「機密性のない」ものだと安心させるように説明しています。同社のソフトウェアを誰が買っているのかを忘れれば、聞こえはいいでしょう。同社の主な顧客は法執行機関、税務当局や情報機関、暗号資産取引所、そして銀行です。現役の暗号資産犯罪捜査官のフルネーム、業務用メールアドレス、役割は「機密性のない些細な情報」などではなく、標的型フィッシングや恐喝にそのまま使える黄金の住所録です。そのことはChainalysis自身もよくわかっています。同じ文書の中で、突然届くパスワードリセットのメール、ログイン確認を求めるプッシュ通知、そして同社の社員を名乗って電話をかけてくる詐欺師を信用しないよう、顧客に強く呼びかけているのですから。
悪いのはAI、Binanceは無関係
失敗の理由についての公式説明は、それだけで一読の価値があります。まずは「みんなやられている」という定番の手口から始まります。Chainalysisは「ここ数週間の他の多くのテック系プラットフォームと同様に」被害に遭ったのだそうです。いまはどこもかしこもハッキングされているのだから、あまり厳しく責めないでほしい、というわけです。続いてマーケティングの重砲が火を噴きます。すべては「業界全体でのAIを活用したサイバー攻撃の増加」と、何やら「攻撃的なエージェント型の手法」のせいだというのです。どんなエージェントなのか、誰が動かしたのか、人工知能がセキュリティを生業とする会社の境界防御をどう突破したのか。ひと言もありません。その一方で、開いた穴は同じ流行りの粉薬で治すと約束しています。調査には外部のコンサルタントと「高度な大規模言語モデル」が投入されました。AIが押し入り、見張りに立つのもAIなのです。
短い文書の中で、同社は二度にわたり、今回の侵害がBinanceから数十億ドルが盗まれた事件とはまったく無関係だと神経質に強調しています。喜んで信じましょう。皮肉は別のところにあります。よその取引所が空にされたとき、Chainalysisの専門家たちは、特定の国家を名指しする正確な診断を下すのに8時間しか必要としませんでした。資金の流出が始まったのはニューヨーク時間の10月29日16時20分で、0時30分にはもう世界に北朝鮮が突きつけられていたのです。数十億ドル規模のどんな穴でも平壌の陰謀のせいにするのがいかに便利か、私たちは昨日詳しく解説しました。ところが、誰かがChainalysis自身のサーバーに忍び込んだ途端、探偵たちの伝説的な眼力はぷつりと消えてしまいました。侵入者には国旗もグループも痕跡もなく、あるのは「エージェント型」という曖昧な言葉だけです。
さらに滑稽なのは、パスワードをめぐる言い回しの曲芸です。プレスリリースの冒頭で、同社は「認証情報」へのアクセスの痕跡はそもそも見つからなかったと威勢よく報告しています。ところが数段落先の顧客向けの手紙では、表現がひっそりと痩せ細ります。そこには、攻撃者が「平文の」パスワードには到達していないとしか書かれていません。つまり、パスワードのハッシュはどこへ持ち去られていてもおかしくない、と考えるべきでしょう。そもそも、サイバーセキュリティ企業が2026年にもなって「平文のパスワード」を別のカテゴリーとして挙げること自体が疑問です。そして顧客への最後の助言、「組織でまだ二要素認証を有効にしていない場合は有効にしてください」は、図らずも公然の秘密を明かしてしまいました。法執行機関や金融捜査官のための閉じたプラットフォームで、今日まで二つ目の認証要素なしで平然と仕事ができたということです。
本物のセキュリティが認証や美しいスローガンを並べたショーウィンドウにすり替えられる様子については、すでにVantaの分析記事で書きました。Chainalysisのショーウィンドウは、このジャンルの作法どおりに飾り付けられています。「世界トップクラスの専門家」「全社的なアプローチ」「セキュリティ態勢の強化」。足りないのは、単純な問いへの答えだけです。何件のレコードが持ち去られたのか、侵入者は何日間内部に居座ったのか、どの扉から入ってきたのか。結局のところ、浮かび上がるのは見事な絵図です。ブロックチェーンをたどって、他人のポケットにある北朝鮮の痕跡を8時間で見つけ出す会社が、自分の台所への侵入については、悪いのは顔のないAIで、Binanceとは断じて無関係で、流出したのはハッカーを捕まえるのが仕事の人たちの氏名とメールアドレスと役職にすぎない、としか言えないのです。