FBI、TraderTraitorの関与を指摘

FBIは、北朝鮮政府系ハッカーが記録上最大のデジタル資産窃盗事件の背後にいたと特定し、10月31日にこの作戦を「TraderTraitor」と命名した。Binanceのウォレットから約63億4,000万ドルが不正に流出した2日後のことだった。取引所が暫定調査報告書として公表した独自のインシデント開示では、6月から10月下旬にかけて段階的に進んだ侵入の経緯が明らかにされている。Binanceの説明によると、一連の攻撃は6月に始まった。あるソフトウェアエンジニアがAIコーディングツールをインストールしようとした際、トロイの木馬を仕込まれたHomebrewインストーラーをダウンロードしてしまった。会社は異常を検知し、その端末をネットワークから切り離して、端末に関連付けられた認証情報を更新した。しかし、攻撃者はその後も活動を続けた。9月には、求人プラットフォーム上でBinanceでの職歴が確認できるエンジニアに、偽の採用担当者から採用の誘いが届いた。エンジニアはビデオ面接を受け、ファイルにマルウェアが仕込まれた開発課題を渡された。取引所の報告によると、10月20日までに侵入者は感染したワークステーションと社内AIツールを利用して、ウォレット運用担当者の権限を取得し、コンテナのデプロイ権限を持つ従業員のアクセストークンを特定していた。10月29日には、盗まれた認証情報を使って別の従業員のコンピューターに侵入し、コンテナをデプロイして悪意のあるスクリプトを実行した。その後、社内のウォレット署名システムにアクセスし、標準的な出金手続きを経ずに取引を承認した。Binanceは、影響を受けた資産の額を約63億4,000万ドルとし、損失をユーザーに転嫁せず自社で負担すると述べた。また、攻撃者の侵入経路となったウォレットシステムと社内AIツールも再構築した。FBIは以前、2025年に発生した15億ドル相当のBybit窃盗事件にも「TraderTraitor」という名称を使用していた。つまり、Binanceの事件は同じ攻撃グループに対する2度目の命名であり、規模はBybitの4倍以上に上る。業界史上、単独の事件として最大の被害額となった。

ミリム大学からRonin Bridgeへ

侵害を可能にした能力は、一夜にして築かれたものではない。北朝鮮はビットコインが登場する数十年も前の1980年代に、サイバー分野で活動させるため、数学や科学に秀でた生徒の選抜を始めた。米海軍大学院の2004年の論文によると、ミリム学院は1984年に設立され、1986年には5年制のミリム大学となった。高校の成績優秀者や軍務に就く兵士を受け入れ、コンピューティング、プログラミング、電子戦を学ばせていた。セキュリティ企業DTEXの報告によると、金星第1中学校の生徒は6年間で約1,660時間のコンピューター教育を受け、Linux、CおよびC++、Windows、ネットワーク、AIを学ぶ。成績上位の卒業生は金日成総合大学または金策工業総合大学に進む。韓国軍は、ハッカーとその支援要員を含め、同国のサイバー戦要員を2024年時点で約8,400人と推定した。初期の作戦は金銭獲得ではなく、情報収集や妨害を狙っていた。米司法省は、北朝鮮とつながりのある攻撃者が2014年のソニー・ピクチャーズへのハッキング、SWIFT接続の決済システムから8,100万ドルを奪った2016年のバングラデシュ銀行強盗、そして2017年のランサムウェア「WannaCry」の大規模攻撃に関与したとしている。その後、デジタル資産は銀行システムにはないものをもたらした。取引所のウォレットや送金権限が奪われれば、資産は瞬時に国境を越える。FBIは、ゲーム「Axie Infinity」のRonin Bridgeから約6億2,000万ドルが盗まれた2022年の事件をLazarusとAPT38の犯行とし、2025年にBybitから15億ドルが流出した侵害事件をTraderTraitorの犯行としている。第三の経路は雇用を通じたものだ。司法省は2025年、北朝鮮とつながりのある労働者が、偽造または盗用した身元を使って100社を超える米企業のリモート職に就き、給与を受け取り、場合によっては機密データにもアクセスしていたと発表した。多国間制裁監視チームによる2025年の報告書は、Bybitから盗まれた資金は同年9月までに、中国、ロシア、香港、カンボジアの仲介業者を通じて、おそらく全額が現金化されたと結論づけた。

コードの欠陥によるものはわずか1％

数字を見ると、標的が選ばれる理由がわかる。TRM Labsの集計によると、北朝鮮による暗号資産窃取額は2017年以降累計で約128億ドルに上り、そのうち74億ドルは今年10月までに盗まれたもので、世界のハッキング被害額の約85％を占める。同国に帰属するとされた攻撃100件のうち、スマートコントラクトのコードを悪用したのはわずか13件で、盗まれた価値に占める割合も約1％にすぎなかった。Binanceの事件を含めると、資金の88％は秘密鍵、サーバー、署名システムの侵害によるものだった。Binanceの事後分析は、あらゆる段階でこのパターンと一致している。採用担当者を装った接触、感染した開発者ツール、認証情報を足掛かりにした侵入、そして内部からアクセスされたウォレット署名システムだ。利用者にとっての教訓は、自己管理だけでなく、どの取引所を選ぶかも同じくらい重要だということだ。そのため、最良の暗号資産取引所を比較する際には、手数料と同じくらいカストディ管理の対策にも重きを置く必要がある。