著者：Nancy、PANews
世界は今、非対称戦争の時代に入りつつある。
米国とイランの物理的な戦場では、イランが低コストのドローン、ミサイル、海上封鎖などの手段で消耗戦を展開し、比較的限られたコストで米国の軍事資源を引きつけ、世界経済に圧力をかけている。
暗号資産の世界では、AIがサイバー攻撃の技術的ハードルを下げ、攻撃者の行動効率と破壊力を増幅させている。攻撃者は限られた資源を投じるだけで、大企業や複雑なシステムに甚大な損害を与えうる。
118億ドル、一国の国家級ハッカー軍団
北朝鮮ハッカーの攻撃が頻発し、暗号資産市場は動揺している。防衛ラインの強化に奔走する人もいれば、別の道を探る人もいる。ある開発者は最近、かなり風変わりな認証メカニズムを設計し、精神的なレベルで北朝鮮のユーザーのサイトアクセスを阻止しようとした。ところが、この悪ふざけの色合いを帯びたセキュリティ実験は、思いがけず本物のサイバー攻撃を引き寄せてしまった。
セキュリティインシデントにおける頻出キーワードから、暗号資産業界でネタとして茶化される素材まで、北朝鮮ハッカーは次第に業界が避けて通れない話題になっている。そして冗談の裏側には、サイバーセキュリティリスクに対する市場の懸念の深まりがある。
Chainalysisのデータによると、2026年10月29日時点で、北朝鮮に関係するとみられるハッカー攻撃による損失は、今年報告された暗号資産ハッカー攻撃損失の約89%を占め、2021年の15%から大きく上昇した。1回の攻撃あたりの損失で見ると、北朝鮮関連とみられる攻撃の平均損失は2021年の5065万ドルから2026年には約1億8500万ドルに増え、2021年の約3.7倍となった。
世界で長期的に国際制裁を受けている国の一つである北朝鮮は、通常の国際貿易や金融活動を通じて外貨や資源を獲得することが難しい。そのためサイバー攻撃は、資金を調達し金融上の制限を回避する重要な手段になりつつある。
北朝鮮のハッカー戦力は、技術の達人たちがそれぞれ独自に戦う集団ではなく、長期間かけて構築された高度に組織化された国家級のサイバー作戦体系である。人材の選抜、エリート教育から軍事化された訓練、さらに海外への潜伏と実戦に至るまで、北朝鮮は比較的完結した人材育成と行動の仕組みを築き上げてきた。
この仕組みは、数学オリンピック選手のピラミッド型選抜によく似ている。全国から卓越した論理的思考力と数学の才能を持つ少数の青少年を発掘すると同時に、その政治的背景と忠誠心を審査する。選抜を通過した人材は集中的な教育資源を得て、長期にわたる体系的なコンピュータサイエンス、数学、プログラミングの訓練を受ける。
国内での訓練を終えると、一部の人員は海外に派遣され、学生、IT従事者、リモート技術者などの身分で活動し、実際の環境で技術経験を積みながら、標的国の言語、文化、働き方を学び、その後の行動に備える。
こうした技術人材を引きつけ、つなぎ留めるため、北朝鮮は兵役義務の一部免除、首都での居住資格、住居、比較的高い収入、さらにはより良い教育・医療資源といった特別待遇も提供する。資源が限られた国にとって、こうしたインセンティブはかなりの魅力を持つ。希少な技術を握るハッカーは特別な社会的地位を得て、北朝鮮国内で新興の特権層になりつつある。
人材育成はあくまで第一歩にすぎず、高度に専門化された組織の分業こそが、北朝鮮の「キーボード戦士」の真の切り札である。偵察要員は世界のサイバー情報を収集し、システムの脆弱性を探し出して攻撃対象を選別する。実行要員は身分の偽装、ソーシャルエンジニアリング、マルウェアを用いて浸透し、資金や機密情報を窃取する。さらに資金移動、マネーロンダリング、資産の換金を専門に担う人員が、サイバー攻撃で得た利益を自由に使える資金へと変える。
標的の選別から技術的な浸透、資金移動まで、一見単純に見える暗号資産窃取事件の背後には、完全な越境作戦の連鎖があるのかもしれない。Lazarus Group、APT38、Kimsukyなどは、まさに外部のセキュリティ機関が攻撃目標、技術手段、行動特性に基づいて識別した、それぞれ異なる北朝鮮関連のハッカー組織である。
アナリストのDarkfost氏が最近明らかにしたところによると、バイナンスを狙った攻撃事件の発生に伴い、Lazarus組織が窃取した資金の総額は118.7億ドルに達した。韓国銀行の2025年のデータによれば、この数字は北朝鮮のGDPの45%、国民総所得（GNI）の35%に相当する。この推計が成り立つならば、サイバー攻撃による収入はもはや単なる追加の違法収入ではなく、北朝鮮の経済体系中で相当な規模を持つ資金源になりうる。
北朝鮮にとって、サイバー攻撃は戦略的な武器であると同時に、金融封鎖を迂回して経済資源を獲得するもう一つの経路でもある。従来の金融体系では手が届きにくい一国が、サイバー空間を利用して新たな資源獲得の方法を探っているのだ。
最大のセキュリティホールは、身近な「同僚」かもしれない
攻撃者がファイアウォールの正面突破を試みなくなり、組織の内部から入口を探すようになると、攻撃コストはしばしばより低く、隠蔽性もより高くなる。セキュリティ機器とネットワーク境界に依存して構築されてきた従来の防御体系は、新たな課題に直面している。
北朝鮮ハッカーは、こうした非対称な攻撃手法を極限まで突き詰めている。丹念に作り込んだ履歴書、偽造したパスポートや身分情報を用いてIT従事者や求職者を装い、企業の開発者や運用・保守担当者といった中核的な従業員に自ら接触するのだ。
相手の警戒心をさらに和らげるため、攻撃者は実際のビデオ面接にも参加し、生活写真や日常の投稿を含む偽のSNSアカウントを提供して、できる限り本物らしい求職者のイメージを作り上げる。採用プロセスを通過してチームに入り込めば、正規の従業員という身分を利用して長期間潜伏し、内部システム、コードリポジトリ、機密権限へと徐々に接近し、さらなる浸透の機会を探る可能性がある。
イーサリアム財団の助成プロジェクトKetmanは、6カ月間でWeb3組織に潜伏する北朝鮮のIT人員100人を特定した。MetaMaskのセキュリティ研究者Taylor Monahan氏も以前、少なくとも40のDeFiプロトコルがその発展の過程で北朝鮮のIT人員を雇用したことがあり、その期間は7年にも及ぶと明かしている。これらの人員は偽造したパスポート、ビザ、丹念に書き上げた履歴書でWeb3チームに入り込んだ。さらに紛らわしいのは、彼らのブロックチェーン開発経験の一部が本物だということだ。
バイナンスが最新に明らかにしたところによると、今年に入って同プラットフォームは北朝鮮に関係するとみられるサイバー攻撃57件を阻止した。攻撃手法には、偽の求人面接を通じた浸透、常用の開発ツールに偽装したマルウェアの利用、ソフトウェアパッケージやブラウザ拡張機能の改ざん、ビデオ会議アプリを装って従業員に悪意あるプログラムを実行させる手口などがあり、さらにソーシャルエンジニアリング攻撃で認証情報を窃取し、遠隔操作トロイの木馬を植え付けた。
今回のバイナンスの60億ドル超の暗号資産盗難事件では、当局が当初公表した調査情報によると、攻撃者は偽の高給募集の誘いでバイナンスのウォレット基盤チームのソフトウェアエンジニアに接触した。複数回のビデオ面接を経て、攻撃者は技術テストプロジェクトに偽装した悪意あるプログラムを作業用PCで実行するよう誘導し、最終的に従業員の端末を掌握、さらにウォレット基盤の安全性を脅かした。SlowMist創業者の余弦氏は、こうした事件は高度標的型攻撃（APT）に分類され、人間性の悪用、情報偵察、マルウェアの検知回避、信頼チェーンの悪用、標的型の横展開ポイズニング、クラウド環境への浸透、リスク管理の迂回、0day脆弱性など複数の段階が関わると指摘した。
同様の手口には先例がある。2022年にAxie Infinity傘下のRonin Networkが攻撃を受けた際、北朝鮮関連のハッカー組織Lazarus GroupはLinkedInを通じて高給の役職でSky Mavisの上級エンジニアに接触した。複数回の面接を経て、攻撃者はトロイの木馬を含む偽の仕事のオファー文書を送り、最終的に検証ノードに関わるシステムを掌握し、約6億2500万ドル相当の資産を盗み出した。
これこそが暗号資産業界が直面する非対称なセキュリティのジレンマである。かつて、セキュリティ防御は堅固な技術的障壁の構築に大きく依存していた。しかしソーシャルエンジニアリング攻撃が進化し続ける中で、攻撃者は必ずしもより先進的な技術やより多くの資源を持つ必要はなく、弱い一箇所を見つけるだけでよい。
技術的な脆弱性以上に、本当に防ぎにくいのは、すでに信頼を得てしまった人々かもしれない。
AIでアップグレードする攻防戦、資源をめぐる争奪戦はすでに始まっている
ソーシャルエンジニアリング攻撃がハッカーによる組織の防衛線突破のコストを下げたのだとすれば、AIの継続的な進化はサイバー攻撃の規模と効率をさらに増幅させている。
マイクロソフトの脅威インテリジェンスチームの最新報告書によると、同社が追跡する北朝鮮の主要ハッカー組織8つのうち、すでに3つがAIツールを日常の攻撃フローに深く組み込み、マイクロソフトのサイバー脅威におけるAI活用成熟度モデルの最高レベルに達している。
ソーシャルエンジニアリングと身分偽造の面では、北朝鮮のハッカー組織がAIを利用してフィッシング、求人、投資といった誘導コンテンツを大量生成し、翻訳や語調の調整によって外国人を装い、さらには偽の履歴書、面接の回答、プロフィール画像、音声や動画まで生成している。なかでもある組織は2026年8月から9月にかけて、韓国のユーザーを狙ったカスタマイズ型フィッシングPDFを100件以上生成した。偽の身分で海外企業に雇用された北朝鮮のリモートIT人員も、AIを活用して複数の身分を同時に維持し始めている。
韓国のセキュリティ企業Geniansが明らかにしたところによると、北朝鮮のハッカー組織Kimsukyは今年8月にすでにローカル環境の大規模言語モデル（LLM）とRAGを構築し、AIコードエディターCursorを使用した記録を大量に残していた。関連ツールがブロックされても、迅速に別のツールへ切り替えて活動を続けられるという。
マイクロソフトは、これらの組織はまだ完全に自律的な攻撃を実現しておらず、AIが攻撃の成功率やコストに与える実際の影響も依然として不明確だとの見方を示している。しかし標的の偵察、ソーシャルエンジニアリングから身分偽造、マルウェア開発まで、AIはすでに攻撃フローの複数の段階に入り込んでいる。AIは一般の攻撃者を直接トップクラスのハッカーに変えられるわけではないが、複雑な攻撃を完了するのに必要な時間と人手を圧縮することはできる。
バイナンスのハッカー事件でも、AIツールは攻撃の一環となった。調査情報によると、攻撃者はサプライチェーン攻撃を通じて、改ざんされたAIプログラミングツールをエンジニアに提供した。エンジニアが異常に気づいてツールを交換した後も、その職務情報やウォレット基盤チームの他のメンバーの情報はすでに露呈していた。その後、攻撃者はあるエンジニアのPCを掌握すると、バイナンス内部のAIツールを利用して他の従業員の端末にもさらに侵入し、最終的に署名の制御権を獲得した。
AIの能力が高まり続けるにつれ、サイバー攻防の競争は従来の技術と人材の競争から、データ、モデル、計算資源の争奪へと広がりつつあり、サイバー攻防の非対称性をさらに強めている。
最近、セキュリティ研究者のJun Song氏は、匿名のブラックハット組織から連絡を受け、脆弱性悪用データを用いてオープンウェイトモデルに強化学習の事後訓練を施すよう依頼され、非常に高額な報酬を支払う用意があると聞かされたと共有した。Jun Song氏によると、相手はこれまでに見たことのない規模の攻撃データを保有していると主張しており、たとえそれが法執行機関の潜入データセットだと言われても信じるだろうという。対照的に、同氏が参加したホワイトハットプロジェクトはGLM-5.3を使用しており、用いたデータ量は相手が主張する規模の1%にも満たないが、モデルの性能はすでにフロンティアモデルを大きく上回っている。
AIの攻防競争において、高品質で大規模な脆弱性悪用データは、サイバーセキュリティモデルを訓練するための重要な資源になりうる。より多くのデータ、より強力なモデル、より潤沢な計算資源を手にした者が、将来の攻防競争で優位に立つ可能性がある。
膨大な脆弱性悪用データを効果的にモデルの能力へと変換できれば、攻撃者は脆弱性の発見や攻撃実行の効率をさらに高められる。これに対応して、防御側が十分なデータ、モデル、計算資源を確保できるかどうかも、新たな脅威を識別し対処する能力に影響する。
Coinbaseは6月、AnthropicのフロンティアモデルClaude Mythosの利用権限を取得し、暗号資産ウォレットと資産のセキュリティ防衛線の強化に活用していると明らかにした。これに対し、数カ月後もバイナンスは同様の権限をまだ得ていないと述べている。フロンティアモデルへのアクセス権限の差は、脆弱性の発見、自動化されたセキュリティ監査、リスク防御などにおける企業間の能力格差をさらに広げる可能性がある。
イランが低コストの兵器で米国の軍事力を牽制することから、北朝鮮のハッカーが身分偽装、ソーシャルエンジニアリング、AIツールで攻撃を加速させることまで、戦場は異なれど、いずれも一つの現実を指し示している。資源の優位はもはや絶対的な安全を意味せず、本当に危険なのは旧時代の思考で新時代の脅威に対処することなのだ。
