727 Finance6.3億ドルのバイナンス盗難から、BybitやRoninといった暗号資産業界の主要な強盗事件に至るまで、北朝鮮のハッカーグループTraderTraitorが次第に明らかになってきた。米国政府が指定したこのハッカーネットワークは、偽の採用活動、サプライチェーン攻撃、署名ハイジャックをどのように利用して、約100億ドル相当の暗号資産を奪い去ったのか。
著者：BlockBeats
11月1日、米国連邦捜査局（FBI）は通知を発し、10月29日にバイナンスから盗まれた63億ドルを北朝鮮によるものと特定した。その通知で使われた用語は一つ、TraderTraitorであった。
この名前を検索すれば、Bybitの15億ドル、Bitgetの3億ドル、そして過去数年の主要な暗号資産事件がすべてこの名前と結びついていることが分かる。
TraderTraitorは企業でもなく、組織図上の一つの箱でもない。それは米国政府が一類の行為に与えたコードネームである。
2022年4月、FBI、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、および米国財務省は共同でAA22-108Aという番号の通知を発した。これがこの用語の最初の正式な登場であった。当時は、DAFOM、TokenAIS、CryptAISなど、暗号資産取引ソフトウェアを装った複数のトロイの木馬を指しており、そのインターフェースは説得力があり、インストールされると秘密鍵を窃取し始めるものであった。
その背後にいる者たちは、業界では長らくLazarus Group、APT38、BlueNoroff、Stardust Chollimaと呼ばれてきた。これらは四つの別々のチームではない。Lazarusは包括的な名称であり、APT38（Mandiant）、BlueNoroff（Kaspersky）、Stardust Chollima（CrowdStrike）は、異なるセキュリティ企業が同じ資金獲得部門に与えた三つの名称である。
二年後、このレッテルは具体的な行為に貼られた。2024年12月23日、FBI、米国国防総省サイバー犯罪センター、および日本警察庁は共同で3億ドルのDMM盗難事件の帰属を公表し、初めて「TraderTraitorとして追跡される北朝鮮のサイバー行為者」という表現を用い、その三つの別名を列挙した。Jade Sleet（Microsoftの名称）、UNC4899（Googleの名称）、Slow Pisces（Palo Altoの名称）である。
情報は今や比較的明確である。TraderTraitorは、より大きなLazarusグループ内で暗号資産を専門とし、現在最も収益性の高い部門である。少なくとも2020年以来、ブロックチェーン—取引プラットフォーム、DeFi、ウォレットサービスプロバイダー、暗号資産ファンド、および大量のコインを保有する個人—のみに焦点を当ててきた。
銀行強盗から取引プラットフォーム強盗へ
Lazarusは、2014年にSony Picturesのハードドライブを消去したことから、2016年にバングラデシュ銀行から資金を移動させたことに至るまで、すべてを包含する包括的な名称である。
バングラデシュ銀行事件を例にとろう。それを実行した部門は当時APT38、別名BlueNoroffと呼ばれていた。2016年2月、彼らはSWIFT命令（銀行間送金に用いられる国際メッセージングシステム）を偽造し、バングラデシュ銀行のニューヨーク連銀口座から10億ドルを送金しようとした。最終的に8100万ドルを取得したが、ある送金における綴り誤りが仲介銀行に停止させたためであった。
銀行の業務手順を研究し、手作業レビューの隙を見つけ、命令を偽造する技術は、後にそのまま暗号資産取引プラットフォームに移植された。2020年頃。彼らは暗号資産業界を標的に、手口の高度化を始めた。理由は容易に推測できる。資金があり、規制がなく、流動性もそれなりにあるからだ。
攻撃手法はいくつかある。
第一は偽の採用活動だ。ヘッドハンターがLinkedInで接触し、和やかに会話を交わした末に「採用前のプログラミングテスト」や「社内ツール」のインストーラーを送りつける。インストールされた時点で、そのマシンは彼らのものになる。Roninの6億2,000万ドルはこの手口で失われた。
第二はサプライチェーンだ。人を騙すのではなく、開発者のツールチェーンを汚染する方向に切り替えた。GitHub上の悪意あるリポジトリ、npm上の汚染されたパッケージ、JumpCloudのようなIDサービスプロバイダーなどだ。一人が侵害されれば、下流の企業群も連鎖的に侵害される。
第三は取引の直接改ざんだ。日本のDMMの事例では、相手側のログイン認証情報を窃取し、ウォレット企業Gincoの内部通信に侵入したうえで、本来は正常であるはずの送金を改ざんした。Bybitの事例では、Safe{Wallet}の開発者のコンピューターにハッキングしてWebフロントエンドにスクリプトを挿入した。署名者は通常のページを見ていたが、署名したのは別の取引だった。
今回のBinanceの事例もこれに含まれる。
攻撃者は36時間前から準備し、50件のEIP-7702承認に署名した。これはイーサリアムの新機能で、ウォレットがプログラムを一時的に「レンタル」して使用できるようにするものだ。そしてBinanceのホットウォレット自身に資金を送金させた。40分間で、10のネットワークにまたがった。あるセキュリティ企業の結論は、彼らがBinanceの署名システムにすでに到達していた可能性が非常に高いというものだ。
この組織の事例における関与額
最も有名な12の事例で97億ドル。
Binanceだけで63億ドルを占める。残りの11の事例は、2022年から2026年までで合計34億4,000万ドル。
Bybitの15億ドルはフロントエンドの改ざん、Roninの6億2,000万ドルは採用詐欺、Bitgetの3億8,800万ドルはウォレットシステムに書き込まれた偽の出金指示によるものだ。
DMM 3億800万ドル、WazirX 2億3,500万ドル、HarmonyとAtomicが各1億ドル、Alphapo 6,000万ドル、CoinEx 5,500万ドル、Stake 4,100万ドル、CoinsPaid 3,700万ドル。
図表の中で、米国政府がTraderTraitorと直接名指ししたのはBinance、Bybit、DMMの事例のみだ。Ronin、Harmony、Stake、Alphapo、CoinsPaid、AtomicはFBIがLazarus/APT38に帰属させた。WazirXは2025年1月に米国、日本、韓国の共同声明で名指しされた。CoinExはオンチェーン分析企業による推測にすぎない。Bitgetの事例は複数の企業がTraderTraitorとの関連を疑っているが、いずれも正式に帰属を認定していない。
TRMの統計によれば、北朝鮮は2017年以降100件の事例を実行し、総額は約128億ドル。今年これまでに74億ドル。2026年の世界の暗号資産窃取総額の85%が北朝鮮に帰属される。この表はそのうち12件のみを扱っている。顔が一致した人々
米国当局が名前を挙げた北朝鮮のハッカーは1人ではない。写真も公開されている。パク・ジンヒョク、ジョン・チャンヒョク、キム・イルは全員2021年2月の起訴状に記載されており、2024年にはリム・ジョンヒョクが追加され、1000万ドルの懸賞金がかけられた。
パク・ジンヒョク（Park Jin Hyok）、FBI指名手配
パク・ジンヒョクは最も早く起訴された一人である。2018年6月、米国司法省は彼に対して刑事告訴を行い、起訴状は同年9月に公開された。起訴状によると、彼が関与した共謀には、2014年のソニー・ピクチャーズ攻撃、2017年のWannaCry攻撃、2016年にバングラデシュ銀行から送金された8100万ドルが含まれていた。彼は依然として逃亡中であり、法廷に出廷したことはない。
Binance盗難の追跡
Binanceは会社資金、SAFU基金、先物保険基金で約90%を補填しており、残りの10%は流動性の低いトークンである。損失全体は会社が負担し、ユーザーは負担しない。
11月1日時点で、約27億ドル、約42%がステーブルコイン発行体とArbitrum Security Councilによって凍結された。攻撃者は依然として42万ETHと18,270BTC、約24億ドルを保有している。
資金洗浄の経路は依然として標準的な手法である。クロスチェーンブリッジでチェーンを切り替え、THORChainなどのサービスでコインを交換し、ミキサーで多数の人のコインを混ぜて分散させ、最終的に店頭取引を行う。
今回はいくつかの問題が発生した。THORChainは最近、イーサリアムのチェーン再編により、Binance攻撃の盗難資金の洗浄を誤って遅延させた。このチェーン再編により、THORChainは10 ETHを入金したユーザーに誤って重複返金を発行し、それがプロトコルの緊急一時停止を引き起こし、北朝鮮のハッカーグループの資金洗浄業者を含むすべてのユーザーが一時的にクロスチェーン交換を行えなくなった。
前回、Bitgetの盗難資金はTHORChainを通過し、THORChainはそれをまったく凍結せず、分散化とは凍結できないことだと言った。しかし、彼ら自身が前回ハッキングされたときはそうではなかった。THORChainがサービスを再開したとき、今回のBinance盗難の盗難資金が依然としてTHORChainを通過するなら、彼らがどのような言い訳でごまかすのかは不明である。