Chainalysisは、過去18カ月間に発生した1,430万ドル超の暗号資産損失について、後にBinanceを標的とした北朝鮮の偽面接の手口によるものと特定した。

ブロックチェーン分析会社は、こうした小規模な窃盗を、63億ドルの窃盗に向けた練習とみている。

偽の就職面接数十件がウォレットの侵害につながる

損失の原因は、北朝鮮と関連する偽の面接やマルウェアを使った手口で、標的は個人の暗号資産保有者や個人ウォレットから、プロトコルやDAOまで多岐にわたった。

「ウォレットの侵害につながった、ほかにも数十件の就職面接を装った攻撃を特定しています」と、Chainalysisのシニア・インテリジェンス・アナリスト、トム・マクラウス氏は述べた。個人の損失額は数万ドルから数百万ドルに及んだ。

北朝鮮の工作員たちは、こうした攻撃で「手法を磨き、進化させていた」と彼は語った。「だからこそ、史上最大の窃盗事件が起きるのです」とマクロース氏は述べた。

Chainalysisによると、Binanceへの攻撃は、数カ月、あるいは数年にわたる訓練の集大成だった可能性がある。Cryptopolitanは、Binanceが自社への侵入の発端を、9月にエンジニアへ送られた採用面接の招待状までたどったと報じた。

そのエンジニアは、偽の企業との2回の面接の後、悪意あるコードを仕込まれた課題ファイルをダウンロードした。Chainalysisのグローバルサービス担当シニアマネージャー、アレック・ゼブリック氏はこれを「感染性面接」と呼ぶ。攻撃者は、特権アクセス権を持つ従業員を狙い、その認証情報を雇用主への攻撃に悪用しようとする。

Chainalysisはまた、悪意ある面接の後にクラウドストレージから秘密鍵が盗まれた事例も取り上げた。被害者の一部は、シードフレーズは感染した端末に一度も保存されていなかったと話している。Chainalysisによると、これはクラウドのログイン情報やブラウザーセッションが盗まれた可能性を示している。

3月、Microsoftは、同社のDefender Expertsチームが、少なくとも2022年12月から活動している「感染性面接」キャンペーンを追跡していると公表した。

このキャンペーンでは、暗号資産取引企業やAI企業を装った採用担当者が、応募者に悪意あるコードパッケージを実行させる。

Microsoftによると、マルウェアは端末内からウォレットのニーモニックフレーズ、KeePassや1Passwordのデータ、暗号鍵を探し出す。

ブロックチェーンを利用したデッドドロップが1年で5倍に急増

Chainalysisの報告によると、ブロックチェーンを利用したサイバー攻撃は過去12カ月で5倍に増加した。Chainalysisはこれを「ブロックチェーン・デッドドロップ」と呼び、増加の背景には国家主体の攻撃者や、オープンウェイトAIモデルが利用された可能性があるとしている。

北朝鮮の攻撃者は、2025年初頭に「Etherhiding」と呼ばれる手法を使い始めた。この手法では、偽の採用面接を通じて感染した端末を攻撃者のコマンド＆コントロールサーバーに接続する。ブロックチェーン上の記録は中央集権型のホスティングよりも警察が差し押さえにくいためだ。

北朝鮮のある攻撃手法では、TRONとAptosに指示を分散させていた。両チェーンにはBSC上にホストされたペイロードへのポインターがあり、感染した端末はそのペイロードへリダイレクトされる。

TRONが機能しない場合は、Aptosが代替として使われる。

より新しい「ヌル・レシーバー」方式では、特別に作成されたアドレス内に指示を埋め込む。このアドレスは制御されておらず、暗号資産を保管する目的で設計されたものではない。

感染した端末は、このアドレスをコマンドとして解釈する。

9月、FBI、日本の警察庁、オーストラリアとドイツの関係機関は、WaterPlumと呼ばれる北朝鮮の攻撃グループが約1,071万ドル相当の暗号資産を窃取したとして、公に非難した。

WaterPlumは「感染性面接」とも呼ばれる。この作戦により、約7,000件の暗号資産アカウントの機密データが影響を受けた。

FBIはBinanceからの窃盗を北朝鮮のグループTraderTraitorによるものと断定したが、平壌は関与を否定した。Chainalysisは、盗まれた資金が今後数日間も移動を続けると予想している。

この記事を読んでいるあなたは、すでに一歩先を行っています。ニュースレターを購読して、その位置を保ちましょう。