著者：区块律动
11月1日、米連邦捜査局（FBI）は通告を出し、10月29日にバイナンスから盗まれたあの63億ドルを北朝鮮の仕業と認定した。通告では「TraderTraitor」という言葉が使われている。
この名前を検索すると、Bybitの15億ドル、Bitgetの3億ドル、そして過去数年の暗号通貨の大事件が、いずれもこの名前と関係していることが分かる。
TraderTraitorは企業でもなく、組織図の一つの枠でもない。米政府が一種の行為につけたコードネームだ。
2022年4月、FBI、米サイバーセキュリティ・インフラセキュリティ庁（CISA）、米財務省は共同で通告AA22-108Aを発出した。この言葉が正式に登場したのはそれが初めてだった。当時は、DAFOM、TokenAIS、CryptAISなど、仮想通貨の売買ソフトを装ったトロイの木馬を指しており、インターフェースは本物そっくりで、インストールするとすぐに秘密鍵を盗み始めた。
これをやっている者たちを、業界はずっとLazarus Group、APT38、BlueNoroff、Stardust Chollimaと呼んできたが、これは4つのチームではない。Lazarus、つまりラザルスは総称であり、APT38（Mandiant）、BlueNoroff（カスペルスキー）、Stardust Chollima（CrowdStrike）は、同じ資金獲得ルートに異なるセキュリティ企業が付けた3つの名前だ。
2年後、このラベルは具体的な行為に結びつけられた。2024年12月23日、FBI、米国防総省サイバー犯罪センター、日本警察庁がDMMの3億ドル盗難事件の帰属を共同で発表し、初めて「TraderTraitorとして追跡されている北朝鮮のサイバー行為者」という表現を使い、その3つの別名を列挙した。Jade Sleet（マイクロソフトの呼称）、UNC4899（グーグルの呼称）、Slow Pisces（Palo Altoの呼称）だ。
今では情報はかなり明確になっている。TraderTraitorはLazarusという大きなグループの中で、暗号資産を専門に手がけ、現在最も資金を生んでいる一派だ。少なくとも2020年からはブロックチェーンだけを狙っている。取引プラットフォーム、DeFi、ウォレットサービス事業者、暗号資産ファンド、そして大量のコインを抱える個人も対象だ。
銀行強盗から取引プラットフォーム強奪へ
Lazarusは傘のような名前で、その下には何でもある。2014年にソニー・ピクチャーズのハードディスクを消去し、2016年にはバングラデシュ中央銀行から資金を送金した。
例えばバングラデシュ中央銀行の件では、手を下したのは当時APT38、あるいはBlueNoroffと呼ばれていた。2016年2月、彼らはSWIFT指令（銀行間送金に使われる国際メッセージ）を偽造し、バングラデシュ中央銀行のニューヨーク連銀にある口座から10億ドルを送金しようとした。最終的に成功したのは8,100万ドルで、ある送金の綴り間違いが仲介銀行に止められたためだった。
銀行の業務手順を研究し、人的審査の隙を見つけ、指令を偽造するその手腕は、後にそのまま暗号資産取引プラットフォームに持ち込まれた。
およそ2020年前後。彼らは手法のアップグレードを始め、標的はクリプト業界になった。理由も推測しやすい。金があり、規制もなく、流動性も悪くない。
手口はいくつかある。
一つ目は偽の採用。ヘッドハンターがLinkedInで接触し、話が弾み、最後に「入社前のプログラミングテスト」あるいは「社内ツール」のインストーラーを送ってくる。インストールすれば、マシンは彼らのものになる。Roninの6.2億ドルは、こうして失われた。
二つ目はサプライチェーン。人を騙すのをやめ、開発者のツールチェーンを汚染する方向に転じた。GitHub上の悪意あるリポジトリ、npm上の毒入りパッケージ、JumpCloudのようなIDサービス事業者。一人がやられれば、下流の一連の企業も連鎖的にやられる。
三つ目は取引の直接改ざん。日本のDMM事件では、彼らは相手のログイン認証情報を盗み、ウォレット企業Gincoの内部通信に潜り込み、本来なら正常な送金を書き換えた。Bybit事件では、Safe{Wallet}の開発者のパソコンにハッキングし、Webフロントエンドにスクリプトを埋め込んだ。署名する人には通常のページが見えているが、署名したのは別の取引だった。
バイナンスの今回もそうだ。
攻撃者は36時間前から準備し、50件のEIP-7702承認に署名した。これはイーサリアムの新機能で、ウォレットにプログラムを一時的に「レンタル」して使わせることができるものだ。そしてバイナンスのホットウォレット自身に資金を送らせた。40分で10のネットワークをまたいだ。あるセキュリティ企業の結論は、彼らはおそらくすでにバイナンスの署名システムに触れている、というものだ。
この組織の犯行金額
最も有名な12件で、97億ドル。
バイナンス1社で63億ドル。残りの11件は、2022年から2026年までで、全部合わせて34.4億ドル。
Bybitの15億ドルは改ざんされたフロントエンド。Roninの6.2億ドルは騙されて開いた採用。Bitgetの3.88億ドルはウォレットシステムに書き込まれた偽の出金指令。
DMM 3.08億ドル、WazirX 2.35億ドル、HarmonyとAtomicが各1億ドル、Alphapo 0.6億ドル、CoinEx 0.55億ドル、Stake 0.41億ドル、CoinsPaid 0.37億ドル。
図の中で米政府が直接TraderTraitorと名指ししたのは、バイナンス、Bybit、DMMの3件だけだ。Ronin、Harmony、Stake、Alphapo、CoinsPaid、AtomicはFBIがLazarus/APT38に帰属させたもの。WazirXは米日韓の2025年1月の共同声明で名指しされた。CoinExはオンチェーン分析機関の推測に過ぎない。Bitgetの件は複数の機関がTraderTraitorとの関連を疑っているが、いずれも正式な帰属はない。
TRMの統計では、北朝鮮は2017年以来100件を実行し、累計約128億ドル。今年これまでに74億ドル。2026年の世界の暗号資産盗難総額のうち、85%が北朝鮮の帳簿に記録されている。この表はそのうちの12件に過ぎない。
顔が特定できる人物
米当局が名指しし、写真も残っている北朝鮮ハッカーは一人ではない。朴鎮赫（Park Jin Hyok）、Jon Chang Hyok、Kim Ilはいずれも2021年2月の起訴状に名を連ねており、2024年にはRim Jong Hyokが加わり、懸賞金1,000万ドルがかけられた。
FBIが指名手配する朴鎮赫（Park Jin Hyok）
朴鎮赫は最も早く起訴された一人だ。2018年6月、米司法省が彼に対して刑事告訴し、同年9月に封印が解除された。起訴状によれば、彼が関与した共謀には、2014年のソニー・ピクチャーズ攻撃、2017年のWannaCry、そして2016年にバングラデシュ中央銀行から送金された8,100万ドルが含まれる。彼は今も逃亡中で、一度も出廷していない。
バイナンス盗難の追跡
バイナンスはすでに会社資金、SAFU基金、先物保険基金で約90%を補填しており、残りの10%は流動性の低いトークンだ。損失はすべて会社が負担し、ユーザーは負担しない。
11月1日時点で、約27億ドル、約42%がステーブルコイン発行体とArbitrumセキュリティ評議会によって凍結されている。攻撃者の手元にはまだ42万枚のイーサリアムと18,270枚のビットコイン、約24億ドルが残っている。
マネーロンダリングの道筋は依然として定番の操作だ。クロスチェーンブリッジでチェーンを替え、THORChainのようなサービスでコインを交換し、ミキサーで多くの人のコインを混ぜて分散させ、最後に店頭取引（OTC）に流す。
今回にはちょっとしたハプニングがあった。THORChainは最近、イーサリアムのチェーン再編により、バイナンス攻撃事件で盗まれた資金のマネーロンダリングを偶発的に遅延させた。このチェーン再編により、THORChainは10枚のETHを預けたユーザーに誤って二重返金を行い、プロトコルの緊急停止を招き、すべてのユーザーがクロスチェーン交換を行うことを一時的に阻止した。そこには北朝鮮ハッカー組織に関連するマネーロンダリング要員も含まれていた。
前回Bitgetの盗難資金はTHORChainを通ったが、THORChainはまったく凍結しなかった。「分散型だから凍結できない」と言ったが、前回自分たちが盗まれた時はそうは言っていなかった。
THORChainがサービスを再開する時、今回のバイナンス盗難資金が依然としてTHORChainを通るなら、彼らはどんな言い訳でごまかすのだろうか。
