執筆：ChandlerZ、Foresight News

編集者注：暗号資産の世界では、富は数分のうちに移動しうる。何気ない求人や一度のソフトウェア更新の裏に、巨額資産へ通じる入り口が隠れていることがある。Foresight Newsのコラム「暗号ストーリー会」は、そうした不可解な事件の背後にいる人物を追い、公開資料と資金の手がかりをたどりながら、物語の中でまだ見えていない部分を探っていく。

第2回、私たちが近づくのはLazarus Groupだ。北朝鮮に関連するとされるこのハッカー組織は、Sony Picturesへの攻撃、バングラデシュ中央銀行からの窃取、そして複数の暗号資産窃盗に関与したと指摘されてきた。バイナンスへの攻撃後、再び世間の目に姿を現した。画面の向こうに隠れたこの者たちはどこから来たのか。どうやって標的に近づき、盗んだ資産をどう移しているのか。

2026年10月、バイナンスの63.4億ドル相当のデジタル資産が盗まれ、暗号資産業界の歴史的記録を更新した。

その1か月余り前、あるバイナンスのエンジニアは求人プラットフォームで、一見ありふれた面接の招待を受け取った。採用側はまずビデオ面接を設定し、次に「会社のCEO」を自称する人物による2回目の面接を求めた。終盤になって、相手はプログラミングの課題を送り、エンジニアに業務用パソコンへダウンロードするよう促した。

11月3日に公表された初動調査報告書によれば、その採用企業は完全に攻撃者が作り上げた架空のもので、課題には悪意あるコードが仕込まれていた。攻撃者はこれでエンジニアのパソコンに侵入し、10月20日にはバイナンス内部のAIツールを利用して横方向に侵攻、デプロイシステムの権限トークンを入手し、最終的にウォレットの署名システムを突破した。バイナンスは緊急に約28.5億ドルを遮断・凍結したものの、「偽の求人」から始まったこの侵入は、暗号資産業界の窃取記録を塗り替えた。

米連邦捜査局（FBI）はこの事件を北朝鮮のハッカー活動「TraderTraitor」に帰属させた。これは悪名高いLazarus Groupの中核をなす支流である。バイナンスが攻撃された当日、Microsoftが公表した調査報告書は、より危険な進化を明らかにした。この北朝鮮ハッカー集団は生成AIを日常的な行動に全面的に取り込み、AIで採用企業を大量に偽造し、面接の話術をあつらえ、さらにはオープンソースのAIツールを直接使って脆弱性の悪用（侵入）を支援しているという。

長年の進化を経て、この隠密部隊は暗号資産業界を巨大な外貨獲得マシンに変えてしまった。Chainalysisと韓国の大韓貿易投資振興公社のデータによれば、2025年に北朝鮮のハッカーは少なくとも20.2億ドル相当の暗号資産を窃取した。これは同年の北朝鮮の全国貨物輸出額（4.69億ドル）の4.3倍に当たる。またTRM Labsの推計では、2026年10月時点で北朝鮮のハッカーは累計約128億ドルを窃取している。2026年に世界で87億ドルに達した暗号資産ハッカーによる損失のうち、北朝鮮だけで85%を独占しており、2020年にはその割合はわずか7%だった。

各国の法執行機関による継続的な捜査と厳しい制裁の下で、なぜLazarusはむしろ窃取を激化させ、世界のオンチェーン大型強奪の8割以上を占めるまでになったのか。画面の向こうに隠れたこの者たちはいったい誰なのか。どう訓練され、どう潜伏し、どうやって100億ドル規模の盗品を資金洗浄しているのか。

その答えは、発見された北朝鮮ハッカーから語り起こせるかもしれない。

発見された北朝鮮ハッカー

「幽霊プログラマー」たちの本当の姿を見きわめるのは容易ではない。だが十数年におよぶ猫と鼠のゲームの中でも、いくつかの亀裂があり、外の世界は画面の向こうの真の姿をのぞき見ることができた。

最初の亀裂は、15年前に中国・大連へ送られた一通の履歴書に現れた。

2011年1月、北朝鮮の会社Chosun Expoは海外企業に対し、平壌の金策工業総合大学を卒業した若者Pak Jin Hek（すなわちPark Jin Hyok、朴鎮赫）を推薦し、大連チームの開発業務を引き継がせようとした。履歴書の中のParkは英語と中国語のバイリンガルで、Javaに精通し、オンラインゲーム開発の経験もあった。当時の彼は、ごく普通の海外駐在プログラマーに見えた。

2011年5月、彼はメールの雑談で、9月で大連での生活が1年になると語り、帰国して結婚する予定で、できれば長く国内にいたいと述べた。数か月後、彼は来週帰国すると相手に告げた。

CBSの報道で使われたPark Jin Hyokの手配写真

しかし数年後、FBIがSony Picturesへの攻撃、バングラデシュ中央銀行の8100万ドル窃取、そしてWannaCryランサムウェア事件を遡って追跡した際、偶然にもParkの当時の仕事用メールアドレスを掘り起こした。彼は完全な切り離しを怠っていた。日常用メールのアドレス帳には、ハッカー活動用アカウント「Kim Hyon Woo」のアドレスがそのまま保存されており、別の仕事用アカウントはハッカーのクラウド上の暗号化ファイルを開く権限を持ち、さらに同じ機器と同じネットワークアドレスを共有したこともあった。

この生活の痕跡と工作ネットワークの交差により、ParkはFBIの指名手配リストにおける象徴的な顔となった。ロイターが取材した脱北者のコンピューター技術者によれば、北朝鮮では才能ある理系学生が何段階もの選別を受け、軍のサイバー部門へ送られるか海外へ派遣されるという。

昼は会社のために外貨を稼ぐ外注プログラマー。夜は国家の命令に従うダークウェブの狩人。それが彼らである。

10年前のParkがまだ身体を海外に置く必要があったとすれば、2人目に露見した潜伏者は、AI時代の「完璧な偽装」の恐ろしさを示した。

2024年7月、米国のサイバーセキュリティ企業KnowBe4はリモート勤務の上級エンジニアを採用した。応募者は正規の米国市民の身分を盗用し、AIで精巧に合成した顔写真を掲げ、4回のビデオ面接とすべての身元調査を通過した。ほころびが現れたのは、会社がMacの業務用パソコンを発送した瞬間だった。届け先は実は米国本土のノートパソコンファームで、海外のハッカーに代わってパソコンをホストし、米国IPを偽装する専門業者だった。パソコンの電源が入ってから25分も経たないうちに、この「新入社員」は待ちきれずにRaspberry Pi経由でマルウェアを仕込み、即座に端末のアラートを作動させた。セキュリティチームが電話で確認すると、相手は言葉を濁してすぐに接続を切った。最終的にMandiantとFBIにより北朝鮮の潜伏要員と確認された。

2025年から2026年になると、AIによる顔のすり替えや偽の身元が通常の身元調査を無効化したため、暗号資産業界が3人目の北朝鮮ハッカーを炙り出した方法は、ブラックユーモアに満ちていた。

日米の開発者を装った北朝鮮のIT人材がWeb3業界に大量に流れ込むにつれ、悩まされた暗号資産プロジェクトの一部は、必ず効く究極の面接問題「金正恩テスト」を編み出した。2026年4月、ブロックチェーンセキュリティ調査員のTanuki42は、82秒のリモート面接映像を公開した。Taro Aikuchiと名乗り、東京・目黒区に住むと自称する応募者は技術的な質疑にすらすらと答えていたが、面接官が北朝鮮のスパイを排除するため、金正恩を罵る卑猥な言葉を復唱するよう突然求めた瞬間、この「日本人エンジニア」の顔色は一変した。

彼はまず「電波が悪い」ふりをし、面接官が再度問いただすと沈黙に陥り、その後に慌てて回線を切断した。数分のうちに、彼はTelegramアカウントを急いで変更し、記録を消去し、LinkedInのページも削除した。

これらの技術者が最先端のブロックチェーンコードとAIディープフェイク技術を身につけていても、厳格な監視と連座制の下では、最高指導者を公然と侮辱することは、絶対に越えてはならない生死の一線だった。

大連の賃貸アパートでメールアドレスを共有していた朴鎮赫から、AIで4回の面接をだまし通した偽の米国人エンジニア、そして一言の政治的タブーで即座に回線を切った「東京の開発者」まで、15年をまたぐこの3つの露見の瞬間は、Lazarusという巨大な氷山の一角を形づくっている。

Lazarusは「ネット上の強奪」だけではない

2014年11月、Sony Picturesのコンピューターシステムが破壊され、大量の内部未公開資料と幹部のメールが流出した。自ら「Guardians of Peace」と名乗る組織が犯行を宣言した。当時、Sonyは北朝鮮の指導者暗殺を描くフィクション映画『The Interview』の公開を控えていた。米司法省はその後の訴追で、北朝鮮の支援を受けた攻撃者が資料の窃取やパソコンの機能停止だけでなく、従業員に爆弾脅迫まで送ったとしている。

数か月後、セキュリティ企業Novettaが主導して、攻撃に使われたマルウェアの横断的な追跡（遡及）が行われた。研究者は、Sony事件のコードの一部が、それ以前の複数のサイバー攻撃で使われたツールと同一の起源を持つことを発見した。2016年に公表された報告書『Operation Blockbuster』は、暗がりに潜むこの攻撃勢力を総称して「Lazarus Group」と呼んだ。

調査が進むにつれ、Lazarusは単一の資金強奪集団ではなく、厳格な分業を敷いた一つの国家機構であることが次第に明らかになった。2019年に米財務省がLazarus、BlueNoroff、Andarielを制裁した際、それらを北朝鮮の最高軍事情報機関である偵察総局（RGB）に明確に紐づけた。

セキュリティ企業Palo Alto Networks傘下のUnit 42は2024年に、全体像を示す関係図を作成した。偵察総局の指揮の傘の下、複数のサイバー活動クラスターがそれぞれ役割を担い、その狩場はとっくに暗号資産業界を越えて、世界の金融、国防・軍事産業、メディア・情報に及んでいる。

Unit 42が2024年に作成した北朝鮮偵察総局関連のサイバー活動クラスター関係図

このネットワークの中で、ブロックチェーンと暗号資産業界を主に狙うのはその一部にすぎない。たとえばバイナンス事件のTraderTraitorと重なるSlow Pisces（別名Jade Sleet）、そして偽の取引ソフトを通じてAppleJeusトロイの木馬をばらまくことに特化したGleaming Pisces（別名Citrine Sleet）である。

暗号資産業界の外でも、他の支流の行動は同じく度肝を抜くものだ。伝統的金融の領域では、Alluring Pisces（すなわちBlueNoroff/APT38）が暗号資産ブルの前から世界の銀行システムを現金自動預払機のように扱っていた。最も世を騒がせた代表作は2016年のバングラデシュ中央銀行大強奪事件である。

国防・軍事産業の領域では、Jumpy Pisces（すなわちAndariel）が「戦争で戦争を養う」技術窃取者の役割を演じている。米司法省が2024年7月に公表した起訴状によれば、この支流は独特の循環構造を形づくっている。一方でMauiランサムウェアを使って米国の複数の病院や医療機関を攻撃し、身代金を強要して行動資金を調達する。他方でその資金でサーバーを購入し、米国の防衛請負企業、空軍基地、韓国の国防研究開発機関に侵入し、F-15戦闘機のエンジン、軍用偵察衛星、潜水艦、そして核燃料・ウラン濃縮施設の機密設計図を標的型で窃取した。

メディアと戦略情報の領域では、Selective Pisces（Diamond Sleet）とSparkling Pisces（Kimsuky）が機密の窃取と萎縮効果の創出に力を注いでいる。Sony Picturesのようなエンタメ大手を機能停止に追い込んだ過去に加え、近年は欧米の主要メディアの記者やシンクタンクの学者を繰り返し装い、北朝鮮問題を報じる西側の記者、外交官、国防系シンクタンクに木馬入りの「インタビュー要項」や会議の招待を送りつけた。さらにはSNS上でそっくりな偽アカウントを大量に登録し、一流のセキュリティ研究者を装ってGoogleなどの企業のセキュリティ専門家に「逆フィッシング」を持ちかけ、未公開のソフトウェア脆弱性（0-day）や各国の対北朝鮮政策の手の内を窃取したことさえある。

研究者は主に攻撃対象、マルウェアの特徴、サーバー基盤によってクラスターを分類しているが、異なるチームが行動の中でコードベースや踏み台サーバーを共有する場合、各行動をどの集団が行ったのかを豆腐を切るように切り分けるのは、ほとんど不可能な課題だ。

ただし確かなのは、「資金強奪」と「機密窃取」がこの機械の中でとっくに高度にかみ合っているということだ。

中央銀行の口座から取引所のウォレットへ

暗号資産取引所が主な標的となる以前、銀行はすでに調査者の視野に入っていた。

2016年2月、バングラデシュ中央銀行のSWIFT国際銀行間通信システムに接続するパソコンが侵入された。米国の司法文書によれば、攻撃者は中央銀行の名義で送金指令を発し、ニューヨーク連邦準備銀行に対し、中央銀行口座のドルを海外へ送金するよう求めた。

攻撃者は10億ドル近くを送金しようとし、うち8100万ドルがフィリピンの口座に到達した後、銀行、送金業者、カジノの経路を経た。もう1件の2000万ドルはスリランカの受取銀行で阻止された。調査者は、フィリピンの受取口座が前年すでに架空の名義で開設されていたことを発見した。

受取口座に加え、攻撃者は銀行が送金をどう処理するかを把握する必要もあった。APT38による金融機関攻撃を研究したMandiantは、標的機関のネットワークに侵入すると、アカウントの認証情報を収集し、SWIFT取引を処理するパソコンを探し、送金指令を送る機会をうかがうことを明らかにした。同社が観察した事例では、攻撃者は平均約155日、最長で2年近く被害者のネットワーク内に留まっていた。

Mandiantが整理したAPT38の攻撃フロー

数年後、暗号資産業界の資金も次第に標的となった。2022年、ブロックチェーンゲームAxie Infinityが利用するRoninクロスチェーンブリッジが窃取され、損失は6億ドルを超えた。FBIは攻撃をLazarusに帰属させた。2年後、日本の取引所DMM Bitcoinは4502.9枚のビットコインを失い、事件当時の価値は約3.08億ドルだった。米国と日本の法執行機関はこの事件をTraderTraitorに帰属させた。

調査者はDMM事件の入り口を再現した。2024年3月、採用担当者を装った攻撃者がLinkedInでウォレットソフト企業Gincoの従業員に接触し、悪意あるコードを仕込んだいわゆる応募テストを送りつけた。攻撃者はアクセス権を取得するとその従業員になりすまし、その後、同社の通信システムを利用して、DMMの正常な取引リクエストを改ざんしたとみられている。

2025年2月、暗号資産取引所Bybitはイーサリアムの一部をコールドウォレットから日常使用するウォレットへ移そうとしていた。コールドウォレットは資産の保管に使われ、この送金はウォレットサービス提供者Safeのインターフェースを通じ、複数の権限者が共同で署名する必要があった。調査を担当したセキュリティ企業Sygniaは後に攻撃の過程を整理した。早くも2月4日にはSafeの開発者のパソコンに悪意ある活動が現れ、翌日、攻撃者はその開発者のアクセストークンを利用してSafeのクラウド環境に侵入した。

2月19日、攻撃者はSafeのウェブページが呼び出すコードに悪意ある内容を埋め込み、トリガー条件を設定して、Bybitの対象ウォレットが操作を開始するのを待った。2日後、Bybitの権限者がSafeのインターフェースを通じて送金を処理した際、目にしたのは一見正常な内部送金リクエストだった。

しかしセキュリティ企業NCC Groupの再現によれば、署名者が実際に承認した取引には悪意ある操作が含まれており、攻撃者が事前に配備したコントラクトを呼び出してコールドウォレットの制御ロジックを変更していた。取引の実行後、攻撃者は元のマルチシグを再度取得することなく、ウォレット内の資産を移すことができた。約15億ドルの資産がその後流出した。

Curvegridが作成したBybit窃取過程の模式図

Sygniaの調査によれば、悪意あるコードは取引から約2分後に削除された。調査は、Safeの開発者のパソコンが最初に侵害された経緯にソーシャルエンジニアリングが関わった可能性があるとみているが、具体的な接触方法はまだ確認されていない。

Bybitのマルチシグ設定は複数の権限者による共同承認を要求し、本来は単一アカウントの失陥によるリスクを減らせるはずだった。攻撃者はSafeのクラウド環境に侵入した後、これらの署名者が共同で使うウェブページを改変し、最終的に悪意ある取引を承認させた。

ソフトウェアサービス提供者への侵入に加え、一部の北朝鮮関係者は偽の身元で暗号資産企業に入り込んだとも指摘されている。米司法省は2025年、4人の北朝鮮国籍者が窃取計画に関与したと訴追し、うち2人は開発者としてそれぞれブロックチェーン企業と仮想トークン企業に雇用されていた。検察によれば、彼らは仕事の機会を利用して90万ドル超の仮想資産を窃取・移転した。

注目すべきは、採用プロセスのもう一方の端にも罠が潜みうることだ。Microsoftが「Sapphire Sleet」と呼ぶ活動クラスターを調査したところ、攻撃者はSNSで採用担当者を装い、まず標的と仕事の機会について話し、次に技術面接を設定して、会議ツールや開発ツールの更新に偽装したマルウェアのインストールを求めるという。DMM事件でGincoの従業員が受け取ったあの応募テストも、同様の接触過程で現れたものだった。

こうした手法はさらに更新され続けている。2026年10月の報告書でMicrosoftは、北朝鮮関連の攻撃者が生成AIを標的の調査、連絡内容の作成、偽の身元の形成に利用していると指摘した。応募者の経歴に合わせて念入りに用意されたように見える招待の背後には、その人物の職務背景や人間関係の収集があったかもしれない。

盗まれた金は、どこへ行ったのか

資産を移した後、攻撃者は通常まず資金を複数の新しいウォレットに分割し、一部のアドレスは入金後にまた逐次下へ移し、分散したオンチェーン記録を残す。その後、資金は分散型取引所やクロスチェーンサービスを通じて他のトークンに交換されたり、別のブロックチェーンへ移されたりする。変換を経るたびに、調査者は新しいアドレスとその取引相手を追い続けなければならない。

Bybit窃取後の資金の流れは一つの手がかりを与えた。2025年2月、Bybitから盗まれたイーサリアムは数千のアドレスへ流れ始めた。攻撃者は資金を分割し、交換し、クロスチェーンサービスを通じて移した。TRM Labsによれば、48時間以内に少なくとも1.6億ドルが移され、資金洗浄の経路に入った。

こうした送金を追う中で、オンチェーン調査員のZachXBTは別の人々に気づいた。彼が2026年10月に公表した調査によれば、Bybitへの攻撃後、TelegramやDiscordの公開グループに10以上のアカウントが現れ、盗まれた資金に関わる注文の処理を求めていた。そのうちJimmy Greenというハンドルネームを使うトレーダーが、彼の注意を引いた。

ZachXBTは顧客を装って相手に近づくことにした。2025年3月6日、彼は新たなアドレスに34.97万枚のUSDCを送金し、Jimmyとの複数回の取引を準備した。Jimmyは受取アドレスを提供し、イーサリアムチェーン上のUSDCを送金させ、トロン（TRON）チェーン上のUSDTに交換させた。ZachXBTが追跡すると、この受取アドレスのオンチェーン手数料を支払ったウォレットは、Bybitの盗難資金まで遡ることができ、公開されている事件関与アドレスの一覧にも載っていた。

Jimmyとの接触を続けるため、ZachXBTはさらに複数の取引を完了し、それぞれ約5%の目減りを負担した。二人は取引について、また麻雀や食べ物、家族についても話した。連絡が増えるにつれ、Jimmyは自分を顧客だと思い込んでいるこの人物に、自分たちチームの業務について話し始めた。北朝鮮の顧客のためにBybitの資金を移すこと、そしてチームが香港と中国本土でどう動いているかである。

ZachXBTによれば、Jimmyはある資金がSolanaへ移されることを前日に伝え、翌日にはオンチェーンで対応する送金が現れた。3月12日、Jimmyはクロスチェーン取引のスクリーンショットを送り、ZachXBTは金額と時刻に基づいてTHORChain上で一致する注文を見つけた。相手がその後提供した3つのSolanaアドレスは、1200万ドル超のBybit盗難資金の一群を追跡する助けとなった。彼の説明では、Tetherは後にこのアドレス群に関連する44.2万枚のUSDTを凍結した。

Jimmyはまた、自分のチームがBybitの盗難資産の大部分を処理したとZachXBTに主張した。ZachXBTは、自分が観察した資金洗浄のパターンはこの主張と符合すると考えている。彼は調査結果を事件に関わる法執行機関と民間機関の調査員に渡し、2026年10月になってからこの経験を公表した。

セキュリティ事件の発生後、バイナンスは事件に関連する約30億ドル相当の資産がオンチェーンで凍結されたと発表した。TRM Labsは、攻撃者が分散型取引所やマーケットメイカーを通じて資産の一部を売却し、またAaveやJustLendなどのレンディングプロトコルに盗んだ資産の一部を担保として預け入れ、他の資産を借り出しているのを観察した。

同時に、バイナンスは影響を受けた資産の補填を始めた。プラットフォームは11月2日、関連資産の約95%が補填されたと述べ、一部主要資産の準備証明を公表した。11月3日、バイナンスはさらに多くの資産とネットワークの出金を再開すると発表し、セキュリティ調査は続いている。

ハッカー関連の可能性があるウォレットが1700枚超のETHを購入、その後Tornado Cashに入金

人気記事