北朝鮮ハッカーは盗んだ仮想通貨をどこへやったのか？BybitからBinanceまで、Lazarusのマネーロンダリング経路を読み解く

SoSoValue Researchによると、10月29日夜に発生した疑いのある大規模なバイナンス攻撃について、Chainalysisは被害額を約59億ドル、ZachXBTは北朝鮮系ハッカー集団Lazarusによる可能性が高いと推定している。記事は、2025年2月のBybit事件を参考に、盗難資産の資金洗浄経路を分析している。

Bybit事件では、約50万ETHが盗まれ、ハッカーはステーキング派生資産をETHに交換して複数アドレスへ分散。10～12日間でほぼ全量をBTCへ移し、利用先はTHORChainが約72％、eXchが約16％、OKX Web3ウォレットが約8％だった。2カ月後のBybit発表では、資金の68.6％が追跡可能、27.6％が「消失」、凍結できたのは3.8％だった。

記事は、BTCが発行者による凍結機能を持たず、流動性と受容性が高く、長期間保有しやすいことから、盗難ETHの交換先になりやすいと説明。換金段階では、BTCを分割・混合した後、TRON上のUSDTなどに替え、主に中国などの地下OTC業者を通じて法定通貨や商品価値に変える経路が想定されている。米財務省やMSMT、米司法省の公開情報では、中国の銀行口座・銀聯カード、ギフトカード、東南アジアのグレーな金融プラットフォームなどが事例として挙げられている。

「マークされたBTC」が必ずしも正規取引所に入る必要はなく、地下経済の買い手に直接売却される場合があるほか、複数の中継や混合によって追跡が確率的になると記事は指摘する。一方、混合手数料、クロスチェーン手数料、割引、凍結分などによる損失も発生する。MSMTは、北朝鮮が2024年1月から2025年9月までに約28.4億ドル相当の暗号資産を盗んだと推定している。

相場への影響については、ETHからBTCへの交換過程では初期に売り圧力が集中する一方、BTC化後の換金はOTC取引を通じて数カ月から数年に分散し、取引所の板への直接的な影響は比較的小さい可能性があると分析。今回のバイナンス事件では、盗難資産の中心がステーブルコインで、その多くが凍結されたとされ、直接凍結できないETHは約19.5万枚、約4.4億ドル相当と、Bybit事件より小さい。記事は今後、THORChainやChainflipなどのクロスチェーンプロトコルの流量を、ETHからBTCへの交換速度を測る手掛かりとして挙げている。事件は進行中で、データは更新される可能性がある。

著者：SoSoValue Research

10月29日夜、Binanceが史上最大規模とみられるハッカー攻撃を受けた。Chainalysisは盗まれた金額を約59億ドルと推定し、オンチェーン探偵のZachXBTは北朝鮮のLazarusである可能性が高いと見ている。

多くの人が気にしているのは、ハッカーはこれらのコインをどう処理するのか、相場を叩き落とすのか、という点だ。この問いに答える最良の参考例は、2025年2月に同じ一味が起こしたBybit事件である。

一、Bybitの振り返り：50万ETHを10日間で全てBTCに交換

2025年2月21日、Bybitから約50万ETH（当時約14億ドル相当）が盗まれ、それまでの史上最大の暗号資産窃盗事件となった。

ハッカーの処理速度は非常に速かった：

● 1日目： まずstETH、mETHなどのステーキングデリバティブをネイティブETHに交換し、その後、多数のアドレスに分割した。

● 5日目： すでにTHORChain経由で少なくとも16万ETHをクロスチェーン移転していた。

● 9日目： 1日でさらに6.22万ETHを移転し、累計約34.3万ETHが送金済みとなった。

● 10〜12日目： Arkhamが確認したところ、約50万ETHの全てがイーサリアムからネイティブBTCへクロスチェーンされた。

どのチャネルが使われたのか？

● THORChain（分散型クロスチェーンプロトコル）：約72%、36.1万ETH

● eXch（KYC不要の両替プラットフォーム）：約16%、7.97万ETH

● OKX Web3ウォレット：約8%、4万ETH

THORChainはこれにより約550万ドルの手数料を稼ぎ、コミュニティから強い批判を浴びた。eXchはその後、2025年5月1日にサービス停止を発表した。

最終的にどれだけ回収できたのか？ 2か月後、Bybit CEOが公表したデータは、68.6%が依然として追跡可能、27.6%がすでに「消失」、凍結されたのはわずか3.8%だった。

結論：盗まれたETHはほぼ全てBTCに交換され、実際に回収できたのは4%未満だった。

二、なぜハッカーは必ずBTCに交換するのか？

誰も凍結できない
USDTやUSDCには発行体があり、いつでもアドレスをブラックリストに登録できる。今回のBinance事件でも、TetherとCircleは約24億ドル相当のステーブルコインを迅速に凍結した。ETH自体は凍結できないが、イーサリアムエコシステム内のDEX、レンディングプロトコル、クロスチェーンブリッジはブロックできる可能性がある。ビットコインのチェーンにはこうした「関門」が存在しない。
流動性が最も深く、受け入れ度が最も高い
世界のどこでも、あらゆる場外業者がBTCを買い取る。MIT Technology Reviewは早くも2020年に、ハッカーは最終的にビットコインに戻る傾向があると指摘していた。これほど広く受け入れられ、これほど容易に現金化できる通貨は他にないからだ。
長期保管に適している
Lazarusは国家レベルのハッカー組織であり、資金を急いで使う必要がない。BTCは数か月、あるいは数年間保有し、注目が薄れてから分割して換金できる。

三、BTCに交換した後、どう現金化するのか

答えは、地下OTC（店頭取引）の業者を通じて出金する、である。

米国財務省は、北朝鮮は通常、場外業者を通じて盗んだ暗号資産を従来の通貨に交換しており、これらの業者の多くは中国にあり、金融機関や規制当局の目を逃れていると指摘している。

概略の経路：

盗まれたETH → クロスチェーンでBTCに交換 → 分割・ミキシング → 多くの場合トロンチェーンのUSDTに交換 → 地下業者 → 法定通貨または現物価値

業者はどうやって「チェーンを切る」のか。「対敲（相対での付け合せ取引）」による。

業者の手元には同時に、暗号資産を必要としつつ出所を気にしない別の買い手がいる。例えば、資金を国外に移したい人、ネットギャンブルや詐欺プラットフォーム、グレーな越境貿易などだ。業者はハッカーのコインをこうした買い手に売り、買い手が支払う現地の法定通貨をハッカーが指定した人物に渡す。オンチェーンの追跡は業者のところで途切れ、オフチェーンの資金は全く無関係な人物から来ている。

法定通貨は最終的にどこへ行くのか。 公開されている事例には以下がある：

● 銀行口座、銀聯カード。多国間制裁監視チーム（MSMT）の報告書は、北朝鮮のサイバー部隊が中国の金融システム（銀聯クレジットカードや商業銀行を含む）を利用して盗んだ暗号資産を現金化したと指摘している。

● ギフトカード。米司法省が2020年に起訴した中国籍の2人は、北朝鮮のコインを人民元やAppleギフトカードに交換して現金化したとされる。

● 東南アジアのグレーな金融プラットフォーム、例えばカンボジアのHuione Group（匯旺グループ）。

● 関与する地域は中国、ロシア、アルゼンチン、カンボジア、ベトナム、アラブ首長国連邦など。

四、「マークされたBTCは取引所に入れないのでは？」

これは最もよくある疑問だ。答えは3点に分かれる：

汚れたコインはそもそもコンプライアンス取引所に入る必要がない。 それらが売られる先はグレー経済の買い手であり、彼らはコインを流通や決済に使い続けるため、BinanceやCoinbaseに入金したりはしない。
マークは永続的な「白黒」ラベルではなく、リスクスコアである。 多層の中継、ミキシング、他の資金との混合を経て、追跡は「確定」から「確率」に変わる。Bybit事件で27.6%の資金が「消失」したのはこのためだ。
業者は高い手数料でリスクをカバーする。 業者は汚い金だと分かっているため、通常よりはるかに高い手数料を取る。ウォレット、銀行カード、ペーパーカンパニーは使い捨てにし、制裁や凍結のリスクも価格に織り込む。

もちろん、この道にもコストはある。ミキシング手数料、クロスチェーン手数料、業者によるディスカウント、凍結された部分——損失は相当な規模になり得る。しかし、制裁を受け、ほかにほとんど外貨獲得手段がない国にとっては、半分取り戻せても大きな収益だ。MSMTの報告書は、北朝鮮が2024年1月から2025年9月の間に約28.4億ドル相当の暗号資産を盗んだと推定している。

五、相場にとって何を意味するのか？

● ETHの売り圧力は前半に集中する。 ハッカーがETHをBTCに交換するプロセスは、実際のオンチェーンでの売却である。Bybit事件では約10日かかっており、参考になる。

● BTCの売り圧力は小さく、分散している。 BTCに交換した後、出金は主に場外の対敲を通じて行われるため、数か月から数年に及ぶ可能性があり、大半は取引所の板を経由しないので、価格への直接的な影響は小さい。

● ハッカーは大幅下落の主因ではない。 Bybitが盗まれた当日、ETHは約8%下落したが、その後の大幅下落は主に関税などのマクロ要因とレバレッジの清算によるものだった。

今回のBinance事件は何が違うのか。 盗まれた資産の大部分はステーブルコインで、すでに大量に凍結されている。直接凍結できないETHは約19.5万枚、価値は約4.4億ドルで、規模はBybit事件より小さい。また、ハッカーはUniswapやAaveなどのプロトコルを使ってステーブルコインをETHに交換しており、最終的に保有するETHは増える可能性がある。

今後注目すべき点： THORChainやChainflipなどのクロスチェーンプロトコルのフロー変化だ。これはハッカーがETHをBTCに交換する速度の直接的なシグナルとなる。

本記事は情報提供のみを目的としたものであり、投資助言を構成するものではありません。Binance事件は現在も進行中で、関連データは更新される可能性があります。