大手暗号資産取引所Binanceは先週、63億ドル相当の資金を窃取される事件に見舞われた。FBIや複数の分析企業は、この事件の背後に北朝鮮系のハッキンググループであるTraderTraitorがいると断定している。
この被害額は暗号資産史上最大規模であり、2025年2月にBybitから盗まれた15億ドルの約4倍に相当する。こちらの事件もFBIはTraderTraitorの関与を指摘している。さらにBinanceの被害額は、TRM Labsが2024年4月時点で北朝鮮系ハッカーによる2017年以降の総被害額として推計した60億ドル超をほぼ倍増させた。
FBIやBybitの調査によれば、TraderTraitorの攻撃は、偽の勧誘を装った接触や信頼が置かれたソフトウェア提供元の侵害から始まることが多く、これにより送金承認に用いられるシステムへのアクセス権を得ている。
TRM Labsの政策・政府渉外責任者Ari Redbord氏はCoinDeskに対し、「TraderTraitorは、北朝鮮の暗号資産盗難に特化した精鋭部隊だ」と説明した。同氏によると、「Lazarusは北朝鮮政権のさまざまなハッキング活動の総称であり、TraderTraitorはその中で取引所やカストディアンからデジタル資産を奪うために組織されたチームである」という。
TraderTraitorの名称は、FBI、米サイバーセキュリティ・インフラ保護局（CISA）、財務省が2022年4月に発表した勧告文書に初めて登場した。同文書は暗号資産取引アプリに組み込まれたマルウェアや、2020年まで遡る取引所、分散型金融プロトコル、投資家への攻撃事例を説明している。
このグループは、研究者がLazarusと称する北朝鮮の広範なハッキングネットワークの一部であり、Jade Sleet、UNC4899、Slow Piscesなどとしても追跡されている。米当局は、彼らの目的は平壌政権の資金調達であるとし、2022年には暗号資産企業を標的に資金を「生み出し、洗浄する」活動を続けていると警告している。
北朝鮮政府は少なくとも一度、USDT（テザー）を用いてロシア産原油の購入を試みた経緯もある。
Chainalysisのシニア・インテリジェンス・アナリストTom McLouth氏はCoinDeskの取材に対して、TraderTraitorは「金銭的動機を持つ北朝鮮（DPRK）の脅威グループであり、暗号資産関連の組織や機関、DAO、プロトコルなどを狙う傾向がある」と述べた。
しかし、映画に登場するような高度なコード技術を持ち、暗号資産取引所のセキュリティを圧倒するタイプのハッカーではない。彼らの主な手法はAIで強化されたコードではなく、人間の心理的な弱点を突くことだ。
勧誘から資金窃取までの手口
2024年3月には、LinkedInの採用担当者を装った人物が日本のウォレットソフトウェア企業Gincoの従業員に接触し、GitHub上のコーディングテストを名目に悪意あるコードを仕込んだファイルを送りつけ、結果的に従業員の端末を侵害した。
その2カ月後、攻撃者は盗んだセッション情報を使い従業員になりすまし、Gincoの通信システムに侵入。捜査当局はこのアクセスを使い、日本の取引所DMM Bitcoinからの正規送金申請を改ざんした可能性が高いと指摘する。
DMMは約4,503ビットコインを失い、その価値は約3億800万ドルに上った。この被害が同プラットフォームの閉鎖を引き起こした。背後にはTraderTraitorがいたとされる。
ChainalysisのMcLouth氏は「TraderTraitorは技術のみならず信頼を悪用する」と説明。偽の口実で近づき、最終的な侵害準備を巧妙に整える点が特徴だと語った。
これらの事件はこれらの取引所に留まらず、FBIはTraderTraitorと関連付けられるハッカーが2023年にAlphaPo、CoinsPaid、Atomic Walletで合計1億9,700万ドル相当の資金窃取に関わったと報告している。
さらにLayerZeroのフォレンジックチームは、このグループが2024年4月に発生したKelpDAOブリッジからの約2億9,200万ドル相当の資金窃取事件に関与していたと評価している。
Binanceの事件でも同様の勧誘手法が用いられた。最高セキュリティ責任者Jimmy Su氏の説明によれば、9月にプロジェクトディレクターを名乗る人物がソフトウェアエンジニアに接近し、偽の人事担当者が面接を実施。信頼構築のため私的なSNSアカウントも共有した。
2回目の面接ではCEOを装う者がエンジニアにコーディング課題を業務端末にダウンロードさせたが、そこにマルウェアが仕込まれており、その後攻撃者は当該端末や社内のAIツールを悪用し、世界最大の暗号資産取引所に侵入した。
TRM LabsのRedbord氏は「TraderTraitorはビッグゲームハンターであり、コードを狙う前に人を狙う。偽の採用担当者、偽の面接、そして従業員1人が1ファイルを実行するだけで侵害が成立する」と述べた。
同氏は続けて、「彼らは辛抱強く準備し、何週間も待ってから一気に攻撃を仕掛ける。かつ攻撃ごとに盗む資金は増えているように見え、彼らが有効な限りこの動きは続く」と指摘する。
Chainalysis、TRMの両社は各種要因に基づき、Binanceの事件もTraderTraitorの仕業であるとの帰属を強く示している。
暗号資産を狙う北朝鮮の専従チーム
TraderTraitorは北朝鮮偵察総局が2016～2017年に編成した暗号資産窃取専門チームに起源がある。多国間制裁監視チームの2025年10月報告書は、TraderTraitorを同局の110研究所の一部と位置付けている。
Redbord氏によれば、このチームに加入する人材は幼少期から発掘・教育され、専門のSTEM教育機関に入学。インターネットアクセスを与えられ、能力向上のため中国にも派遣されるという。
同氏は、「ロシアが体操選手を育成していたような方法論と同様に、サイバー犯罪が北朝鮮では競技種目のように育成されている」と述べた。
標的システムの侵入後、彼らはクラウドサービスへのログイン情報や暗号鍵を捜索し、より広範なアクセス獲得を図ると、ChainalysisのMcLouth氏が語った。
同氏は「有効な鍵を持っていても、必ずしも正当な利用者とは限らない」と指摘した。ある侵入事例では、管理者権限で多要素認証を一時的に停止し侵入後に再度有効化していたことも明らかになっている。
企業側は、認証情報の有効性確認と同時に、その使用状況や状況を綿密に監査する必要があると同氏は強調した。
セキュリティプラットフォームImmunefiの副社長Simone Imbrescia氏は今年初め、運用レイヤーを侵害する攻撃者は「鍵の盗取やスマートコントラクトの欠陥の発見を必要としない可能性がある」と指摘している。
資金の流れの解明
Chainalysisによれば、最も決定的な証拠は、盗まれたBinanceの資金が北朝鮮関与が疑われる9月の約3億8,800万ドル相当のBitgetハックの収益と混ぜ合わされていたことである。
北朝鮮は関与を否定しており、金正恩総書記の妹であるKim Yo Jong氏は声明でFBIの認定を「ばかげたレトリック」と一蹴している。
McLouth氏は「TraderTraitorが利用する資源やツール、関係する第三者は非常に多岐にわたる」と述べた。一般的な見方では平壌発の活動とされているが、同氏は、法的措置や提供されたデータから、多くが北朝鮮国外で活動していると指摘している。
「北朝鮮関連のIT労働者は世界数十カ国で活動しており、分散化が進んでいる」と語った。
このグループの目的は単なる資金窃取に留まらず、「資金を洗浄し、使える形にすること」にあるという。
過去の作戦では、店頭取引（OTC）業者が暗号資産を法定通貨に換え、それを北朝鮮政府が利用できる形にしていた。これらの業者は多くの場合、規制監督がほとんどまたは全く及ばない法域で活動している。
それらの流れにも取引記録が残り、捜査員は収益の流れを追跡し、送金や換金を阻止できるサービスを特定できると同氏は述べている。
「セキュリティ対策は、資金移動が始まってからではなく、それ以前の侵入段階から入念に行うべきだ」とMcLouth氏は強調した。