著者：Chainalysis
編訳：深潮 TechFlow
はじめに： 暗号資産の歴史において単一事件として最大の損失となったBinanceの64億ドル窃盗事件は、単一のスマートコントラクト脆弱性や危険度の高いゼロデイ脆弱性によるものではない。北朝鮮の国家支援ハッカー集団が数年かけて磨き上げてきた「人的ソーシャルエンジニアリングによる浸透」の集大成的一撃である。かつてはビジネス向けSNSで広く釣りリンクをばらまく手口から、中核プロトコルの開発者に合わせて仕立てた「高給の餌と連続面接」へと移行し、北朝鮮ハッカーは一見適法な採用プロセスを、内部ネットワークへ直接侵入するトロイの木馬へと武器化した。
Binance事件では、攻撃者は正規のヘッドハンターを装い、複数回の模擬技術スクリーニングを実施し、悪意あるコード入りのコーディングテストを使って被害者の端末に初期足場を築いた。その後、ローカルで有効な認証情報と社内コラボレーションツールを利用し、中核業務クラスターへの致命的な横展開を完了した。この体系的な侵害は、従来の静的なネットワーク境界防御の無効化を宣言するものであり、暗号資産企業とセキュリティチームは、端末行動監査、レッドチームによる継続的な模擬演習、オンチェーンでの資金移動のリアルタイム監視を最優先事項に据えなければならない。
エグゼクティブサマリー
Binance、北朝鮮の偽求職詐欺が60億ドル窃盗事件の黒幕と公表： 攻撃者は架空の求人と一連の偽面接でBinance従業員を標的にし、一見ありふれた採用プロセスを暗号資産史上最大規模の窃盗事件の突破口へと変えた。
小規模攻撃が北朝鮮ハッカーの攻撃シナリオの継続的改善を後押し： 過去18カ月間で、Chainalysisは1,430万ドル超の損失を同様の北朝鮮関連の偽面接詐欺に帰属すると確認した。分析によれば、こうした初期浸透により、北朝鮮の攻撃者は小規模な標的で手口を繰り返し鍛え、その後により価値の高い標的に用いることが可能になった。
今回の攻撃は北朝鮮の巨大な違法求職エコシステムの氷山の一角にすぎない： 偽面接のシナリオは、北朝鮮の高収益サイバー犯罪エコシステムの一環にすぎず、同エコシステムには身元を偽ったIT請負求職やオンチェーン資金洗浄ネットワークも含まれる。Chainalysisはこうした手口の進化と基盤となる暗号資産インフラを継続的に追跡している。
北朝鮮ハッカーがBinanceから64億ドルもの資金を盗み出した事件は、北朝鮮ハッカー集団がすでに手慣れた古典的戦術、すなわち求職詐欺から始まった。
Chainalysisの調査担当者は多年にわたりこの戦術を注視してきた。戦術の形は多様である。Binance事件では、北朝鮮ハッカーは被害従業員を偽の求職へ誘導し、そのコンピューターにマルウェアを植え付けた。しかし他の事例では、攻撃者はしばしば自ら求職者になりすまし、偽の身元で給与を得て国家政権の収入を生むか、企業の内部システムへの侵入を狙うか、あるいはその両方を行った。
セキュリティ事件はそのたびにオンチェーンに痕跡を残す。過去18カ月間で、Chainalysisは1,430万ドル超の資金損失が同様の北朝鮮関連の偽面接・マルウェア詐欺に由来すると確認した。これらの攻撃は、個人の暗号資産保有者や独立した個人ウォレットから、機関、暗号資産プロトコル、DAOまで、幅広い標的層に及んでいる。Binanceは、この一連の標的型攻撃における最新の被害者にすぎない。
「個人レベルで、求職面接が引き金となったウォレット窃盗事例を数十件特定しました」と、Chainalysisのシニアインテリジェンスアナリスト、Tom McLouth氏は指摘する。初期の事件での損失額は数万ドルから数百万ドルまで幅があるが、より重要な意味を持つのは、こうした演習が攻撃者に実戦経験を蓄積させたことだ。
McLouth氏はさらに、相次ぐ浸透の中で北朝鮮ハッカー組織は「攻撃方法論を絶えず洗練・進化させており」、戦術経路を磨き続け、より価値の高い標的を狙うために必要な実戦能力を徐々に構築してきたと説明する。「まさにこれが、史上最大規模の強奪事件が最終的に形を成した理由だ」と同氏は述べた。
こうした業界の背景から見れば、Binanceの窃盗事件は決して孤立した偶発的事象ではなく、攻撃者が数カ月から数年にわたる入念な準備と実戦での研鑽を重ねた末の集中的な爆発である。
偽の面接はいかにしてBinanceの扉を開いたか
火曜日、Binanceは北朝鮮ハッカーによる取引所への多段階攻撃に関する初期調査結果を公表した。
攻撃は9月、Binanceのあるエンジニアが求職面接の招待を受け取ったことから始まった。Binanceは、攻撃者が数週間をかけてこの従業員との信頼関係を築いた経緯を明らかにした。まず正規の採用プラットフォーム上で、架空の求人を装って従業員に接触したのだ。
架空の企業が主催する2回の面接の後、このBinance従業員は悪意あるコードを含む面接用コーディングテストをダウンロードするよう求められ、攻撃者はここで最初の足場を得た。その後、ハッカーはマルウェアを展開し、被害端末から社内AIツールへのアクセス権を利用して、Binanceの中核内部システムの深部へさらに横展開した。
今回のシステム侵害の規模は前例がないものの、ハッカーが用いた突破手段は新しいものではない。Chainalysisのグローバルサービス担当シニアディレクター、Alec Zebrick氏が今週のインタビューで論じたように、北朝鮮の攻撃者は「伝染性面接（Contagious Interviews）」と呼ぶ戦術を繰り返し用い、特権アクセス権を持つ従業員を狙ってきた。
ハッカーは標的従業員の身元認証情報とシステム権限を窃取することで企業の内部ネットワーク環境へ侵入する。そのため、機微な中核インフラに接触できるエンジニアや重要ポストの人材は、こうした攻撃にとって極めて魅力的な高価値標的となっている。
Binanceの窃盗事件は、偽の面接がどのように大規模組織のセキュリティ防衛線を崩す入口となるかを明確に示している。業界パートナーとの協調的な追跡を通じて、われわれは攻撃者がこの戦略をいかに一歩ずつ成熟させていったかを目の当たりにしてきた。
悪意ある面接の後、被害者の暗号資産ウォレットの秘密鍵がクラウドストレージから直接盗まれた事例を複数確認している。一部の事例では、被害者は助記詞（シードフレーズ）を感染したローカル端末に一度もダウンロードしていないと明確に述べている。
この現象は、攻撃者の制御権がすでにローカルファイルシステムを超えており、侵害されたクラウド認証情報やブラウザのアクティブセッション（Browser Sessions）を通じて権限外アクセスと権限拡大を実現した可能性が高いことを示している。
このフォレンジック上の事実は、Microsoftのセキュリティ調査報告書と完全に一致する。北朝鮮のマルウェアは、感染したシステム内で暗号資産の助記詞やパスワードマネージャーの残留データをくまなく探索する。
攻撃者が行動初期に収集した認証情報は、多数の関連アカウントを開く鍵へと速やかに変わり、その影響範囲は最初に感染した単一端末をはるかに超える。Binanceへの攻撃でも、まさにこの同じ基盤的シナリオ、すなわち偽の求職面接を利用して初期足場を獲得する手法が、最終的にハッカーを取引所の中核業務アーキテクチャへ深く侵入させることにつながった。
北朝鮮マルウェアはいかに標的システムに潜伏・植え込まれるのか
Binance窃盗事件は、北朝鮮の極めて収益性の高い違法求職エコシステムの一断面にすぎない。
北朝鮮ハッカーは各種のソーシャルエンジニアリング戦術を幅広く用いており、他の形式の偽採用詐欺だけでなく、身元を偽ったIT労働者を利用して正規企業に浸透するといった複数の側面も含まれる。
Chainalysisは、北朝鮮ハッカーがこうした技術を進化させ展開する他の新たな手法も継続的に追跡してきた。台頭しつつある新たな脅威の一つは、攻撃者がパブリックブロックチェーン上の空間を利用してマルウェアの指令を隠すもので、われわれはこの戦術を「ブロックチェーン・デッドドロップ」（Blockchain Dead Drops、略称BDD）と呼んでいる。
われわれの特集調査報告書によれば、過去1年間で、ブロックチェーンを利用した秘匿通信によるサイバー攻撃は5倍に急増した。この急増は主に国家支援ハッカー組織によって推進されており、同時にオープンウェイトの大規模AIモデルによって触媒・支援された可能性がある。
分析によれば、北朝鮮ハッカー組織は早くも2025年初頭から「Etherhiding（イーサ・ハイディング）」と総称される技術手法を採用し始め、偽の面接攻撃で侵害した被害者のコンピューターとマルウェアのコマンド・アンド・コントロール（C2）インフラとの間に永続的なリンクを確立しようとしていた。
ハッカーがオンチェーン取引を選ぶのは、パブリックブロックチェーンの台帳が改ざん不能で検閲耐性を持つためである。法執行機関によって法に基づき差し押さえ・閉鎖されやすい従来の中央集権型サーバーに比べ、ブロックチェーンはC2リレーネットワークを展開する上でより耐性の高い避難所となる。
Chainalysisのオンチェーン分析チームは、北朝鮮ハッカーによる高可用性技術を明らかにした。C2通信経路をTRONとAptosという2つの異なるパブリックブロックチェーンに分散して冗長性（Redundancy）を高め、感染端末を最終的に3つ目のチェーンであるBSCへ誘導する。
攻撃者はTRONとAptos上に特定のポインターを書き込み、その双方がBSC上の特定取引を指し示す。被害端末がTRONノードへの問い合わせを妨害されると、自動的かつシームレスにAptosへ代替の冗長チャネルとして切り替わる。どちらの経路を通っても、被害端末は最終的にBSC上の悪意あるペイロード（Payload）が置かれた目標アドレスを正確に特定できる。
最近では、北朝鮮ハッカーは「Null Receiver（ヌル・レシーバー）」と呼ばれる新たな秘匿戦術も進化させている。ハッカーは本来C2通信に使う指令データを、巧妙に構築したオンチェーンのバーンアドレスに直接エンコードして埋め込む。
このアドレスは実体として誰も実際に管理しておらず、暗号資産を保存するためにも使われていない。しかし、マルウェアに感染した端末はこのアドレス文字列を取得すると、それを直接逆デコードして実行指令に変換でき、それによって音もなく指令の中継と制御を完了する。
北朝鮮の高収益な違法求職エコシステムを解明する
北朝鮮の求職詐欺の兵器庫のもう一端には、広範に展開された大規模なIT労働者計画がある。こうした詐欺では、北朝鮮の技術者が正規の求職者になりすまし、世界各地の大手企業に応募して潜伏する。
彼らはこれによって高額の給与を得るだけでなく、潜伏しながら機微なシステムへの浸透機会を探り、同時に国家政権へ豊富な外貨収入を絶え間なく送り込む。
国連の公式推計によれば、北朝鮮のIT労働者エコシステムは毎年、同政権に6億ドル超という巨額の収入をもたらしている。この巨大な地下の影の労働力は、暗号資産エコシステムと無数の直接的な接点を持っている。
多くの事例で、これらのIT従業員はWeb3・暗号資産企業へ意図的に潜伏している。同時に、彼らは違法資金の流れを隠すために暗号資産を用いた資金洗浄を広く行っている。先月、われわれは米財務省の制裁対象となったロシア人と北朝鮮人の資金洗浄ネットワークを詳細に明らかにした。このネットワークは、北朝鮮が運営するIT請負体制に資金の移動・洗浄チャネルを提供していた。
Chainalysisは、北朝鮮のIT労働者詐欺に関する制裁リスト上のすべての暗号資産アドレス実体を密接に追跡し、この脅威エコシステムに関するオープンソースのサイバー情報を深く統合している。
北朝鮮のIT技術者は通常、海外拠点に派遣され、VPNでネットワーク上の位置を偽装し、盗取した偽の身元認証情報を用いて世界各地の企業のリモート職に応募する。採用されると、これらの従業員は通常、給与をステーブルコインで支払うよう雇用主に明確に要求する。
われわれはすでに、こうした高度に特徴的なオンチェーン活動を明らかにしている。特定の案件では、オンチェーン監視プローブが、ウォレットが毎月規則的に一定額の給与を受け取るという典型的な特徴を捉えた。
給与が着金すると、北朝鮮のIT要員は速やかに暗号資産を何層にもわたって資金洗浄の仲介者へ送金する。たとえば前述の、すでに制裁リストに掲載されたロシア人と北朝鮮人の資金洗浄ネットワークである。
Chainalysisはいかにオンチェーン資金の流れを追跡するのか
Binanceの重大セキュリティ事件は、北朝鮮ハッカーがいかに多次元で協調するサイバー犯罪の兵器庫を継続的に進化・試験・改善しているかを全面的に示している。
同じハッカー集団が、採用プラットフォームを利用したソーシャルエンジニアリングで突破口を開き、企業の中核インフラを侵害できる一方で、影の従業員を派遣して正規企業に偽装潜伏させ、暗号資産を駆使してオンチェーンで盗んだ資金を隠蔽移動させることができる。
攻撃手段が絶えず高度化する中で、企業やセキュリティ機関は従来のサイバーセキュリティ境界防御に限定されてはならず、こうした国際犯罪の運営を支える基盤的な資金の流れとオンチェーンインフラを重点監視の対象に据えなければならない。
Chainalysisは、北朝鮮ハッカーが暗号資産エコシステムを利用して収益を上げ、盗んだ資金を集約・移動し、違法所得を洗浄する手口を24時間365日厳密に監視している。
ブロックチェーンデータのインテリジェンスは、こうした対抗措置において中核的な役割を果たす。オンチェーン分析が従来のサイバーセキュリティ防御策や脅威インテリジェンスと深く結びつくことで、セキュリティチームと法執行機関は盗まれた資金を正確に特定し、緊急凍結できる。
この総合的な分析能力は、北朝鮮が拡大し続けるオンチェーン金融ネットワークの全体像を描き出すだけでなく、その調達・支払いの資金チェーンを探知し、国際的な制裁調査や合同の法執行に強力なオンチェーン・フォレンジックの根拠を提供する。
Binanceの窃盗事件に関する追跡調査は現在も全力で進められている。盗まれた資産は今後数日間もオンチェーンで分割・移動が続くと予想される。ChainalysisはBinanceおよび暗号資産業界全体と全面的に協力し、合同の資金追跡を進め、その後の資金洗浄経路を遮断し、潜在的な二次的損失の抑制と軽減に全力を尽くしている。
よくある質問
北朝鮮ハッカーはどのようにしてBinanceから64億ドルもの資金を窃取したのか？
攻撃はBinance従業員を狙った偽の求人から始まった。攻撃者は架空の企業が用意した複数回の面接を通じて従業員の信頼を得て、その後、悪意あるコードを含むプログラミング課題を送った。
従業員がテストコードをダウンロードして実行すると、コンピューターが感染し、ハッカーがBinanceのシステムへ入り込む初期足場が開かれた。攻撃者はその後マルウェアを展開し、被害端末から社内AIツールへのアクセス権を利用して、取引所の中核業務インフラへ徐々に深く浸透していった。
北朝鮮の偽面接攻撃詐欺とは何か？
北朝鮮の偽面接詐欺とは、ハッカーが偽の採用プロセスを利用して求職者のパソコンを侵害し、企業の機微なシステムへのアクセス権を取得したり、暗号資産ウォレットを窃取したりするソーシャルエンジニアリング手法である。
攻撃者は通常、業界のヘッドハンターや採用責任者になりすまし、一見正規で厳格な求職面接を組織し、悪意あるプログラミングテストやその他のダウンロード添付ファイルを通じてトロイの木馬型ペイロードを送り込む。Chainalysisはこうした行動を総称して「伝染性面接（Contagious Interviews）」と呼んでいる。
北朝鮮ハッカーはこれまで他の暗号資産攻撃でも偽面接手口を使ったのか？
はい。過去18カ月間で、Chainalysisは1,430万ドル超の資金損失が同様の北朝鮮の偽面接・マルウェア詐欺に直接関連していると確認した。
被害対象は、個人の暗号資産保有者、独立した個人ウォレット、機関、暗号資産プロトコル、分散型自律組織（DAO）に及ぶ。これらの初期攻撃により、北朝鮮ハッカーはより価値の高い標的を狙う前に、ソーシャルエンジニアリングの実戦シナリオを十分に検証・改善することができた。
偽の求職面接はどのように北朝鮮ハッカーの企業組織への浸透を助けるのか？
偽の面接は、攻撃者が標的従業員の個人端末、ログイン認証情報、内部ネットワークへのアクセス権を直接取得できるようにする。重要インフラへの高権限を持つ特権従業員は、そのアカウントや端末を侵害すれば企業内部システムへ直接入り込む横移動の足がかりとなるため、ハッカーにとって極めて価値の高い標的である。
北朝鮮の違法IT労働者詐欺とは何か？
これは北朝鮮の技術者が正規の求職者になりすまし、通常は盗取した偽の身分証明書や各種のネットワーク偽装手段を用いて、世界各地の企業のリモート職に応募・獲得することを指す。
彼らはこれによって高額の給与を得て国家政権の金庫を満たし、機会をうかがって企業の機微なシステムの内部制御権を取得する。国連の推計によれば、このグレーゾーンのエコシステムは毎年北朝鮮に6億ドル超の資金をもたらしている。
北朝鮮はそのサイバー犯罪活動で暗号資産をどのように利用しているのか？
北朝鮮関連のハッカー集団は、違法な労働による給与を暗号資産で受け取るだけでなく、サイバー攻撃で窃取した巨額の盗難資金を移動・洗浄するためにも暗号資産を利用している。請負労働者は通常、給与をステーブルコインで決済するよう要求し、その後、資金洗浄の仲介者口座へ送金する。
さらに、ハッカーはパブリックブロックチェーンネットワークを巧妙に利用してマルウェアの制御指令を隠し、これによって高可用性で遮断に強いコマンド・アンド・コントロール（C2）リレーインフラを構築している。
Chainalysisは北朝鮮関連のサイバー犯罪の追跡をどのように支援しているのか？
Chainalysisは24時間365日、オンチェーンの資金経路を深く分析し、北朝鮮ハッカーや影の実体が違法資金を受け取り、移動し、集約し、洗浄する手口と経路を正確に特定している。
こうしたブロックチェーンデータのインテリジェンスは、セキュリティ調査担当者や業界機関が盗まれた資産の行方を追跡し、資金洗浄の仲介ネットワークを特定し、制裁コンプライアンス調査の証拠を支え、重要な局面でエコシステムのパートナーと協力して盗まれた資金の凍結に全力を尽くすことを可能にする。
