執筆：小饼、深潮TechFlow
2026年10月30日未明、Binanceの9つのチェーン上のホットウォレットが同時に攻撃され、オンチェーンで62億6000万ドル超が流出した。
10月31日、米連邦捜査局（FBI）は北朝鮮のハッカー集団がBinanceへの攻撃に関与したと発表した。トランプ大統領は、北朝鮮の関与が確認されれば米国は北朝鮮と交渉する考えを示した。
一国が暗号資産業界全体をATMと化している。
深潮TechFlowの集計によると、2017年から2026年の間に、Lazarusおよび北朝鮮に関連するハッカーは計37件の暗号資産窃盗事件に関与し、推定総額は約118億1700万ドルに上る。
2017年に韓国の取引所Bithumbを攻撃して700万ドルを盗んだのを皮切りに、Binanceで一夜にして数十億ドルが消えるまで――ネットワークが閉鎖されているとされる北朝鮮は、いかにして10年足らずでサイバー戦場の辺境プレイヤーから暗号資産世界のトップ捕食者へと変貌したのか。
1通のPDF、6億ドル
2022年初頭、暗号資産ゲームAxie Infinityの親会社Sky Mavisの上級エンジニアのもとに、LinkedInのメッセージが届いた。相手はある企業の採用担当者を名乗り、非常に魅力的な報酬プランを提示してきた。
このエンジニアは何度も面接を重ね、すべては正規の手続きに見えた。最終的に、彼はPDF形式の採用通知書を受け取った。ファイルを開いた瞬間、スパイウェアが音もなくSky Mavisの内部システムに侵入した。
Axie InfinityのRonin Bridgeは9つのバリデータノードによるプルーフ・オブ・オーソリティ（PoA）方式を採用し、出金を承認するには5つのノードの署名が必要だった。攻撃者は感染したエンジニアのPCからSky MavisのITインフラに侵入し、4つのバリデータの鍵を入手した。5つ目の署名は、忘れ去られた脆弱性から得られた。2021年11月、Sky Mavisはトランザクション負荷のピーク時に署名を支援するようAxie DAOに依頼していた。この一時的な承認は12月には無効化されていたが、アクセス権限は一度も取り消されていなかった。
2022年3月、6億2000万ドルがRonin Bridgeから消えた。1カ月後、FBIはこの攻撃を北朝鮮のLazarus Groupによるものと特定した。
偽のオファー1通、忘れられた承認1件、そして6億ドルが盗まれた。
その後もRoninの脚本は繰り返し上演されたが、攻撃者の手口は進化していった。
2022年6月、Harmony Horizon Bridgeが破られ、1億ドルが送金された。攻撃者はブロックチェーン開発者を装い、内部関係者の立場でシステム権限を取得した。2023年にはAtomic Wallet、Alphapo、CoinsPaid、Stake.comが相次いで攻撃を受け、累計損失は2億3800万ドルを超えた。2024年7月には、インドの取引所WazirXが2億3500万ドルを奪われた。
攻撃のたびに手口は異なるが、背後にある論理は驚くほど一貫している。一人を見つけ、その人を騙し、その人を使って扉を開かせる。
2025年2月、彼らはこの方法論を新たな高みへ押し上げた。
Bybitのコールドウォレットから15億ドルが送金された。Paradigmのセキュリティ研究者samczsunの振り返りによると、攻撃者はBybitを直接攻撃したのではなく、マルチシグウォレットサービスプロバイダーSafe{Wallet}のインフラに侵入し、そこに悪意のあるコードを埋め込み、Bybitのコールドウォレット署名フローを正確に標的にした。これはつまり、Bybit自身の安全対策が完璧であっても、上流のサプライチェーンが破られれば、すべての防御線は無意味になるということだ。
8カ月後、Binanceが最新の獲物となった。
事後に関連公開されたBinanceの調査結果によると、ある運用エンジニアのノートPCが侵害され、攻撃者はそれを足がかりに内部システムへ侵入。EIP-7702を利用してホットウォレットに委任承認への署名をさせた。神鱼はオンチェーン分析で攻撃コントラクトのロジックを分解した。「攻撃者のプログラムは一人の主人しか認めず、ただ一つのことしかしない。金を移すことだ」
RoninからBybit、そしてBinanceへ。攻撃規模は6億ドルから15億ドル、さらに62億ドルへと跳ね上がった。いずれもソーシャルエンジニアリングの勝利であり、いずれも一人の人間から始まっている。
あなたの同僚は北朝鮮人かもしれない
Lazarusによる外部への攻撃を「扉を破って押し入る」行為だとするなら、北朝鮮のIT労働者の浸透は「堂々と屋内に入り込む」行為だ。
2024年10月、CoinDeskは業界に衝撃を与える調査報道を公開した。記者がブロックチェーン上の支払い記録と内部情報を追跡したところ、24社以上の暗号資産企業が知らずに北朝鮮のIT労働者を雇用しており、うち少なくとも12社が従業員名簿に北朝鮮籍とみられる従業員を確認したと認めた。名指しされたプロジェクトにはCosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance、Truflationが含まれる。
MetaMaskのセキュリティ研究者Taylor Monahanは、少なくとも40のDeFiプロトコルがその発展過程で北朝鮮のIT労働者を雇用したことがあり、期間は7年に及ぶと明かした。
彼らは偽造パスポートやビザ、丹念に作り込んだ履歴書で選考を通過し、Telegram、Discord、Indeedで応募した。採用プロセスが緩く、暗号資産で給与を支払うスタートアップチームを狙い、リモート勤務中はほとんどカメラをオンにしない。国連の推計によると、北朝鮮のIT労働者は年間最大6億ドルの収入を政権にもたらし、本人の手元に残るのはその10～30％にすぎない。
2024年3月のMunchables事件は、教科書的な事例を示した。
Blastチェーン上のNFTゲームは、「Werewolves0943」という偽名の開発者を雇った。オンチェーン調査員のZachXBTが追跡したところ、この開発者は北朝鮮のスパイであり、開発権限を利用してプロジェクトから17,400 ETH（約6200万ドル相当）を引き出していた。
物語の転機は、Blastの創業者Pacmanとコミュニティからの多重的な圧力を受け、この開発者が8時間以内にすべての秘密鍵を提出し、盗んだ資金を全額返還したことにある。なぜ返還したのかは誰も知らない。一つの推測は、身元が露見した後に盗んだ資金を保有し続ければ、より大きな厄介事を招くだけだというものだ。
しかしSushiの経験はそこまで幸運ではなかった。
2021年9月、Sushi/MISOプラットフォームから約300万ドルが盗まれた。事後の調査で、「Anthony Keller」と「Sava Grujic」という偽名の元請負業者2名が、解雇後もコードベースへのアクセス権を保持していたことが判明した。Sushiは後に、北朝鮮籍とみられる別の請負業者「Gary Lee」も雇用している。2023年、Truflationの創業者Stefan Rustは、自身のチームに北朝鮮人とみられる労働者が5人おり、全従業員の3分の1を超えていることに気づいた。その後、同社は約500万ドルの秘密鍵漏洩攻撃を受けた。
CrowdStrikeのデータによると、北朝鮮のIT労働者は12カ月間に320社以上に浸透し、前年比約220％増となった。
彼らは虚偽の身元を使い、米国内で人を雇って複数のPCを設置させて集中的にリモート勤務を行い、地理的位置を偽装。さらに生成AIをビデオ面接に利用している。
セキュリティ企業KnowBe4は、自社も被害に遭っていたことを発見した。通常の採用プロセスを経て入社した「従業員」が、勤務開始直後にマルウェアの配備を始めたのだ。
金正恩の悪口を一言も言えない
北朝鮮のハッカーとは、いったいどんな人間なのか。
2026年8月、韓系アメリカ人の記者が、MetaMaskのセキュリティ研究者Taylor Monahan、SEAL AllianceのNick Bax、Ump Labsの協力のもと、採用担当者「Sophie Wang」を装い、北朝鮮の国家級ハッカーとみられる人物のビデオ面接を行った。
この求職者は「Justin Lim」と名乗り、米国カリフォルニア州ロングビーチに住んでいると主張したが、アクセントは韓国語訛りと判断された。オンチェーンの手がかりと身元データによれば、実際の拠点はロシアのウラジオストクである可能性が極めて高く、2022年にはMetaPlayから約270万ドルを盗んでいた。
面接で彼は相応の技術力を示した。Velasネットワークをフォークし、The Graphを互換動作させる方法を説明し、不慣れなOpenSea SeaportプロトコルやUniswap v4に遭遇すると、その場でドキュメントを開いて分析した。
面接官が北朝鮮がBybitから15億ドルを盗んだことに言及すると、彼は面接全体で唯一の笑みを浮かべた。
最後の質問がすべてを終わらせた。面接官が金正恩について否定的な評価を一言述べるよう求めると、沈黙の後、彼はZoomから退出した。その後、「ネットワークが不安定だ」としてDiscordかTelegramで会話を続けたいと要求。再度問い詰められると、彼はただ「この人についてはあまり知らない」とだけ答えた。
北朝鮮では、最高指導者を公に批判すると、三代にわたって政治犯収容所に送られる可能性がある。このテストは後に、採用選考の手段としてセキュリティコミュニティで広く推奨されるようになった。候補者に金正恩への否定的な評価を求めると、ほとんどすべての北朝鮮人開発者がそれを避ける。
秘密戦争
北朝鮮のサイバー攻撃能力は一朝一夕に築かれたものではない。
脱北者の張世律（Jang Se-yul）がBusiness Insiderに明かしたところによると、北朝鮮のサイバー戦争プロジェクトは1980年代にまでさかのぼり、内部コードネームは「秘密戦争」だ。金氏政権は早くから、通常軍力が米韓連合軍に大きく劣る前提のもとで、サイバー作戦がコスト最小・リターン最大の非対称兵器であることを認識していた。
一人の北朝鮮ハッカーを育成するには約9年かかる。出発点は金策工業総合大学（旧自動化大学）で、毎年約5000人の志願者から100人を合格させる。選考ではまず政治的出自が重視され、北朝鮮の「成分」制度は市民を3つの主要階層と56のサブカテゴリーに分類し、戸籍記録に記録している。訓練生は毎日90分の授業を6コマ受け、プログラミング言語とオペレーティングシステムを学び、Windowsアーキテクチャを深く研究し、既製ツールに頼らず自力でマルウェアを書くことを求められる。
卒業後、ハッカーは国家を標的とする行動グループに配属され、海外で合法的な企業従業員の身分で約2年間潜伏し、現地の言語と文化を学ぶ。報酬は極めて厚遇で、月額最高2000ドルは北朝鮮大使の給与の2倍に相当する。報奨には平壌の185平方メートル超のマンションと、家族全員の首都移住資格も含まれる。
「ハッカーの訓練コストは極めて低い」と張世律は言う。「だからこそ、貧しい国でもこの分野に巨額を投じられるのだ。」
彼の見方では、サイバー脅威は核脅威よりも直接的で危険だ。「これは銃を撃たない戦争だ。」
幽霊帝国
米財務省は2019年、Lazarus Group、BlueNoroff、Andarielの3組織を制裁し、いずれも北朝鮮の偵察総局（RGB）の支配下にあると指摘した。しかし「Lazarus」という名前は、実際には外部から巨大な国家級サイバー攻撃体系を総称する呼び方にすぎない。
Paradigmのセキュリティ研究者samczsunはBybit事件後に公表した分析で、この複雑に入り組んだ組織ネットワークを整理した。
TraderTraitor： 大型案件ハンター。取引所、カストディアン、ウォレットシステムを専門に狙い、スピアフィッシングや偽の求人を得意とする。Ronin、WazirX、Bybitはいずれもこのチームの仕業だ。通常はゼロデイ脆弱性を使わず、「人」を操ってシステムをこじ開ける。
AppleJeus（Citrine Sleet）： サプライチェーンの刺客。暗号資産領域をめぐるトロイの木馬化ソフトウェアを開発し、2024年にRadiant Capitalへ浸透したのが代表作だ。またChromiumのゼロデイ脆弱性CVE-2024-7971を利用してFudModule Rootkitを配備した。
BlueNoroff（Sapphire Sleet）： 金融ハンター。初期は銀行やSWIFTシステムを攻撃し、2016年にはバングラデシュ中央銀行から10億ドルを奪いかけた（実際の入手額は8100万ドル）。現在は暗号資産とVC領域へ全面的に転換している。
Famous Chollima： 潜伏者。偽の身元でテクノロジー企業や暗号資産企業に入社し、内部からの浸透能力を形成する。CrowdStrikeが追跡した320社の浸透企業は、主にこのチームの仕業だ。
DangerousPassword： 低コスト大量網。フィッシングメールや偽のビデオ通話アプリを用いる。手法は単純だが、量の多さで勝負する。
これらの分岐の間では、メンバー、ツール、インフラが大量に交差しており、異なるセキュリティ機関が付けた名称もそれぞれ異なる。Diamond Sleet、UNC4899、Contagious Interview、Wagemole。
同じ敵に十数もの名前、異なる仮面。
非対称戦争
Binance事件後、マスクはXに投稿した。「Everyday is Zeroday」
これは修辞ではない。Microsoftの脅威インテリジェンス部門が公表した特別調査報告書によると、北朝鮮が活動する8つの主要ハッカー組織のうち3つは、AIツールと日常的な攻撃プロセスを深く融合させており、Microsoftが定義するサイバー脅威におけるAI応用成熟度モデルで最高レベルに達している。
AIの関与はもはや周辺的な実験にとどまらず、事前偵察、ソーシャルエンジニアリング型フィッシング、身元偽装、マルウェア作成、さらにはソフトウェアサプライチェーンへの毒入れまで、全チェーンを網羅している。つまり、かつて数週間の準備を要したフィッシングメール、偽の履歴書、悪意のあるコードは、今では大量生成され、自動で反復進化する。
攻撃者は一つの脆弱性を見つければよいが、防御側はすべての脆弱性を守らなければならない。これは非対称戦争だ。
Bithumbの700万ドルからRoninの6億2000万ドルへ、Bybitの15億ドルからBinanceの62億ドルへ、攻撃規模は指数関数的に増大している。この曲線のもう一端にあるのは、一人当たりGDPが2000ドル未満の国、17歳から9年間の訓練を受ける若者たち、そして「秘密戦争」に40年間奉仕してきた国家機構だ。
暗号資産業界は一つの事実と向き合わなければならない。向かい合っているのは、核保有国のサイバー戦力の総体であり、この敵はますます強くなっている。
