ハッカー組織

Insurance Journal の報道によると、ブロックチェーン分析会社 Elliptic は、50 件以上の北朝鮮に関連するセキュリティ事件を追跡しており、今年に入ってからの盗まれた資金は約 12 億ドルに達しています。一部の Bitget で盗まれた資金は、昨年の Bybit 取引所での 15 億ドルの盗難事件と関連するアドレスが重複しており、オンチェーンのマネーロンダリングパターンは初期的に、今回の Bitget 事件はハッカー組織 TraderTraitor によるものであることを示しています。

チェーン上の探偵 Specter の監視によると、資金の流れを追跡することで、北朝鮮のハッカー集団 Lazarus Group が Bitget の盗難事件の背後にいる可能性があることがわかりました。この事件は、今年の 7 月に発生した AFX 攻撃と関連があり、後者は約 2400 万ドルの損失を引き起こし、Lazarus Group に関連する TraderTraitor に帰属しています。Bitget で盗まれた XRP はクロスチェーンを経て、関連する資金の流れが AFX 攻撃で盗まれた資金に直接関連付けられます。

朝鮮のハッカー組織 WaterPlum は、暗号通貨、AI、及び NFT 会社の採用担当者を装い、ソフトウェア開発者や IT 従事者に対して、プログラミングタスクやビデオ会議の修正ファイルに見せかけたマルウェアを配布しています。この組織は、100 以上の国で少なくとも 3 万台のデバイスを感染させ、2025 年 12 月から 2026 年 7 月にかけて 7000 以上の暗号通貨ウォレットから資金やアカウント情報を引き出し、少なくとも 1070 万ドルを盗みました。

フォーブスの報道によると、アメリカ連邦捜査局（FBI）と日本警察庁（NPA）を含む多国籍機関が共同で発表した警告によれば、北朝鮮に関連するハッカー組織WaterPlum（別名Contagious Interview）が2025年12月から2026年7月まで、AI、暗号通貨、またはNFT分野の企業に偽装して虚偽の職を提供し、世界中のIT開発者に対して攻撃を仕掛けています。攻撃者はソーシャルメディアや求人プラットフォームで求職者に接触し、技術面接やプログラミングテストを理由に悪意のあるファイルをダウンロードさせるよう誘導し、成功裏に3万台以上のデバイスを感染させ、100以上の国と地域に広がり、7000以上の暗号財布からデータを盗みました。関連する資金は少なくとも1071万ドルが攻撃者が制御する財布に流入しています。

Lookonchain の監視によると、ハッカー組織 Lazarus Group は過去 2 時間で平均価格 2499 ドルで 911 枚の ETH（228 万ドル）を売却しました。

ZEITの報道によると、ベルリン市政府は2週間前にサイバー攻撃を受け、その後、ハッカー組織が盗まれたデータを使って身代金を要求している疑いがあります。『明鏡』の報道によれば、攻撃者は長年活動しているRhysidaハッカー組織であり、30ビットコイン（約200万ユーロ）の支払いを要求し、データを公開すると脅迫しています。関与している敏感な情報には、違反処理記録やパスワードなどが含まれる可能性があります。ベルリン州政府はこれまでデータ漏洩の範囲を確認しておらず、身代金の金額や攻撃者の身元についても応答しておらず、「捜査戦略上の理由から」コメントを控えています。ベルリン市長のKai Wegnerは、ベルリンは身代金に屈しないと明言しています。影響を受けたのは主に交通と建設管理部門であり、事件発生後、一時的に州政府のネットワークから隔離されました。

チェーン上のアナリスト Ai 姨の監視によると、ハッカー組織 Lazarus Group は2時間前に262.2枚のBTCを新しいアドレスに移転し、価値は1,664万ドルで、洗浄を計画している可能性があります。現在、この組織はチェーン上で7,306万ドルを超える資産を保有しており、主にBTC、USDT、ETHが含まれています。

Bitcoin.comによると、サイバーセキュリティ会社Genians Security Centerが発表した分析レポートによれば、北朝鮮の情報総局に属するハッカー組織KimsukyがAIを中心としたネットワーク攻撃ツールの体系を構築し、テストしているとのことです。研究者たちは、そのインフラストラクチャ内でOllama、GPT4All、Mstyの3つのローカルAIプラットフォームの展開の痕跡、さらにMicrosoft Semantic Kernel、LLaMaSharpなどのAI開発フレームワークコンポーネントを発見しました。これは、この組織が一時的な試みではなく、専用のAI攻撃ツールを体系的に開発していることを示しています。2026年初頭から、Kimsukyは生成型AIによって作成された高品質の文書を使用して、仮想資産、金融投資、ゲーム開発分野に対するフィッシング攻撃を行っています。AIが生成した専門文書は、従来のフィッシングメールの識別の有効性を大幅に低下させています。攻撃の手段は、合法的な文書に偽装されたZIP圧縮ファイルであり、悪意のあるLNKファイルが含まれており、トリガーされるとバックグラウンドで静かにPowerShellコマンドを実行します。

Crypto.newsによると、北朝鮮に関連するハッカー組織BlueNoroffは、偽のZoomおよびMicrosoft Teams会議を利用して暗号通貨ユーザーを分析し、その後マルウェアを配布しています。ハッカーはまず、被害者が信頼する暗号業界の連絡先アカウントを制御し、Calendlyなどを通じて一見正常な会議リンクを送信し、偽のZoom/Teamsドメインに誘導します。ユーザーが偽の会議ページに入ると、ページはブラウザ内のウォレットを静かにスキャンし、ウォレットの価値に基づいて攻撃を続行するかどうかを決定します。偽の会議では「Zoom/Teamsを更新する」またはコマンドを実行するよう求められ、実際にはマルウェアがダウンロードされます（WindowsおよびmacOSをサポート）。マルウェアはブラウザのキー、システムデータ、Telegramのセッションを盗みます。

韓国メディア Daily NK の報道によると、北朝鮮当局は7月12日にエリートハッカー集団を逮捕しました。この集団は北朝鮮中央銀行と外貿銀行の内部ネットワークに侵入し、国家貿易資金を盗み、暗号通貨を通じてマネーロンダリングを行った疑いがあります。情報筋によれば、集団のリーダーは北朝鮮の情報総局傘下のサイバー戦部隊の退役軍人で、金策工業大学と平壌科技大学の天才IT卒業生をリクルートし、暗号通信と無線機器を利用して犯行を行っていました。彼らは盗まれた資金を小額に分割して海外の暗号財布に転送し、仲介者を通じて現金に換え、さらに国境地域でドルなどの資金に換えました。平壌の官僚は外国通貨の支払い承認に異常があり、海外IPのアクセス記録を発見した後、調査を開始し、最終的に安全な家を襲撃してマネーロンダリングを行っていた容疑者を逮捕し、数十万ドルの機器を押収しました。この事件は平壌のエリートや軍関係者の間に衝撃を引き起こし、情報総局や科学教育界の高官たちは巻き込まれることを懸念しています。北朝鮮は以前からLazarus Groupなどのハッカー組織を通じて数十億ドルの暗号資産を盗んだと長い間非難されてきましたが、今回の事件は国内の金融システムも内部攻撃の標的になったことを珍しく示しています。

Financefeeds の報道によると、アメリカ合衆国司法省は、19歳のアメリカとイギリスの二重国籍を持つ Peter Stokes に対する刑事告発を発表しました。彼はネット犯罪組織「Scattered Spider」のメンバーとして指摘され、フィンランドからアメリカに引き渡されました。

Cryptopolitan の報道によると、ネットワークセキュリティアナリストは RemotePE と呼ばれる新しいファイルレスリモートアクセス型トロイの木馬 (RAT) を発見しました。北朝鮮に関連すると考えられているサイバー犯罪組織 Lazarus Group がこのトロイの木馬を利用して銀行や暗号通貨会社を攻撃しています。このトロイの木馬は完全にメモリ内で実行され、従来のウイルス対策やフォレンジックツールでは検出が困難です。攻撃者は Telegram を通じて取引会社の従業員を装い、偽の Calendly や Picktime のリンクを使用してソーシャルエンジニアリング攻撃を行います。マルウェアは DPAPILoader、RemotePELoader、RemotePE の三段階でチェーンロードされ、全プロセスはファイルシステムに触れず、プロセスの掘り空け、逆解析チェック、暗号化された C2 通信を利用して検出を回避します。このマルウェアは 2025 年 9 月に初めて発見されました。2026 年の最初の 4 ヶ月間で、Lazarus 組織は約 5.77 億ドルの暗号資産を盗み出し、これは世界の暗号盗難総額の 76% に相当します。2017 年以来、この組織が累計で盗んだ金額は 60 億ドルに達しています。

GoPlusの監視によると、ハッカーグループTeamPCPはGitHub内部の約4000のプライベートリポジトリからソースコードを入手したと主張し、地下フォーラムで5万ドルで販売するとしており、サンプルの検証もサポートしています。誰も購入しなければ、今後このデータが無料で公開される可能性があります。以前の報道によれば、GitHubの公式は今回の「内部リポジトリへの未承認アクセス」問題を調査中であり、GitHubの従業員のデバイスに悪意のあるVS Code/AI Codingプラグインがインストールされている疑いがあります。

OpenSourceMalwareの研究によると、北朝鮮のハッカー集団Lazarusは「感染性面接」や「TaskJacker」などの開発者を狙った悪意のある活動に新しい手法を採用し、第二段階のローダーをGit Hooksのpre-commitスクリプトに隠しています。「感染性面接」は、この組織が偽の暗号通貨/DeFi分野の採用プロセスを通じて、開発者を悪意のあるコードリポジトリをクローンさせる一連の攻撃活動であり、最終的に暗号資産や資格情報を盗みます。研究者は、面接プロセスの一環としてコードリポジトリをクローンするよう求められた開発者に対し、このようなリスクに警戒するように勧めており、個人のブラウザ設定、SSHキー、暗号ウォレットをマウントしないように、隔離された環境で実行することを推奨しています。

ネットセキュリティ会社Expelの研究報告によると、同社は北朝鮮（DPRK）国家支援のAPT組織「HexagonalRodent」を追跡しており、この組織はWeb3開発者を主なターゲットとして、高価値のデジタル資産である暗号通貨やNFTを専門に盗む活動を行っています。この組織は主に偽の求人情報を通じて攻撃を実施しています------LinkedInやWeb3求人プラットフォームに高給の職を掲載し、求職者を誘導して埋め込まれた悪意のあるコードを含む「スキルテスト」を完了させ、VSCodeのtasks.json機能を利用して被害者がプロジェクトフォルダーを開くと自動的に悪意のあるプログラムを実行します。使用されるマルウェアにはBeaverTail、OtterCookie、InvisibleFerretが含まれ、パスワード窃取、リモートコントロール、リバースシェルなどの機能を備えています。注目すべきは、この組織がChatGPT、Cursorなどの生成AIツールを大量に利用して悪意のあるソフトウェアを開発し、偽の会社ウェブサイトやAI生成の経営陣を構築していることです。さらに、メキシコにペーパーカンパニーを登録して攻撃の信頼性を高めています。また、この組織は最近、初めてサプライチェーン攻撃を実施し、VSCode拡張を成功裏に侵入しました。

CoinDesk の報道によると、ブロックチェーン分析会社 Elliptic は、Drift Protocol が攻撃を受け、2.85 億ドルの損失を被ったと述べており、「複数の兆候」が北朝鮮支援の DPRK ハッカー組織を指し示しています。Elliptic は、オンチェーンの行動、マネーロンダリングの手法、およびネットワークレベルの信号を重点的に分析し、これらが以前の国家関連の攻撃と一致していることを示しています。Elliptic の報告書は次のように指摘しています。「もし確認されれば、これは Elliptic が今年追跡した 18 番目の DPRK 攻撃であり、これまでに 3 億ドル以上が盗まれています。」技術的な観点から、Elliptic はこの攻撃を「計画的で、入念に準備された」と説明しており、主要な攻撃の前に早期のテスト取引と事前に配置されたウォレットが存在していました。攻撃が実行された後、資金は迅速に統合され、クロスチェーンで移転され、流動性の高い資産に変換され、資金の出所を混乱させつつも制御を維持するための組織的で再現可能なマネーロンダリングプロセスが形成されました。この事件は 10 種類以上の資産タイプに関与しており、資金は Solana からイーサリアムおよび他のチェーンにクロスチェーンで移転され、クロスチェーンの追跡能力の重要性がさらに浮き彫りになっています。Drift Protocol は Solana ブロックチェーン上で最大の分散型永久契約取引プラットフォームであり、そのトークンはハッカー攻撃を受けて以来 40% 以上下落し、約 0.06 ドルとなっています。

安全研究機関 Ctrl-Alt-Intel が、北朝鮮に関連する疑いのあるハッカーグループが、ステーキングプラットフォーム、取引所ソフトウェアプロバイダー、暗号取引所に対して攻撃を仕掛けたことを明らかにしました。攻撃者は、React2Shell 脆弱性（CVE-2025-55182）および取得した AWS アクセス資格情報を利用してクラウド環境に侵入し、S3、EC2、RDS、EKS、ECR などのリソースを列挙し、Secrets Manager、Terraform ファイル、Kubernetes 設定、Docker コンテナからキーと資格情報を抽出しました。研究者によると、攻撃者は 5 つの Docker イメージをダウンロードし、ChainUp 顧客関連のソフトウェアコンポーネントを含むソースコードを盗みました。攻撃インフラストラクチャには、韓国のサーバー 64.176.226[.]36 およびドメイン itemnania[.]com が含まれています。報告書は、この活動が北朝鮮に関連する攻撃の特徴と一致していると述べていますが、帰属の信頼度は中程度であり、AWS 資格情報の出所は明確ではありません。

据 Cointelegraph 报道，隶属于 Google Cloud 的美国网络安全公司 Mandiant 发现朝鲜关联威胁组织正在加大针对加密货币和金融科技公司的社会工程攻击。该威胁组织（代号 UNC1069）部署了七个恶意软件集合，包括新发现的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在获取敏感数据并窃取数字资产。攻击者利用被入侵的 Telegram 账户和通过人工智能生成的深度伪造视频进行虚假 Zoom 会议诱骗。自 2018 年以来，Mandiant 一直追踪该组织，但人工智能的进步帮助该组织自 2025 年 11 月起扩大了恶意活动规模。在一起入侵事件中，攻击者使用被盗的加密货币创始人 Telegram 账户发起联系，通过所谓的 ClickFix 攻击诱导受害者执行含有隐藏命令的"故障排除"指令。

AhnLab が発表した『2025年ネットワーク脅威トレンドと2026年セキュリティ展望』レポートによると、北朝鮮背景のハッカー組織 Lazarus が過去12ヶ月で最も多く言及されており、主に「標的型フィッシング」を利用して攻撃を実施し、講演会の招待や面接のリクエストなどのメールに偽装してターゲットを誘導しています。レポートでは、Lazarus が今年2月21日の Bybit のハッキング事件（損失14億ドル）や最近の韓国取引所 Upbit の3000万ドルの脆弱性攻撃など、複数の重大な攻撃の主要な容疑者と見なされていると述べています。AhnLab は、セキュリティを向上させるために、企業は定期的なセキュリティ監査、迅速なパッチ更新、従業員教育の強化を含む多層防御システムを構築する必要があると述べています。同社はまた、個人ユーザーに対して多要素認証の使用、未知のリンクや添付ファイルの慎重な取り扱い、個人情報の過度な露出の回避、公式チャネルからのみコンテンツをダウンロードすることを推奨しています。AhnLab は、AI アプリケーションの普及に伴い、攻撃者が識別が難しいフィッシングメール、偽装ページ、ディープフェイクコンテンツを生成しやすくなるため、今後関連する脅威がさらに複雑化する可能性があると指摘しています。（Cointelegraph）

韓国の仮想資産取引所 Upbit がハッカー攻撃を受け、445億ウォンの仮想資産が盗まれたと、韓国聯合ニュースが報じています。現在、北朝鮮の情報総局傘下のハッカー組織 Lazarus Group がこの事件の背後にいると強く疑われています。現地時間、韓国聯合ニュースは情報通信技術（ICT）業界および韓国政府の関連部門から、北朝鮮の情報総局に属するハッカー組織 Lazarus Group が大きな犯行の疑いがあるため、当局が Upbit に対して現場検査を行っていることを確認しました。このハッカー組織は、2019年に Upbit から580億ウォン相当のイーサリアムを盗んだ事件に関与したとされています。政府関係者は「今回の攻撃はサーバーを狙ったものではなく、管理者アカウントを盗まれたか、管理者になりすまして資金移動が行われた可能性が高い」と述べています。また、「現在把握している状況から判断すると、6年前のハッカーもこの方法で攻撃を実施したため、今回も同様の手口であると推測される」とも語っています。