朝鮮

CoinBureau は、チェーン上の調査者 ZachXBT の言葉を引用し、疑わしい北朝鮮関連の攻撃者が Zcash を通じて Bitget から盗まれた資金を隠蔽していると述べています。約 2700 枚の ZEC、価値約 380 万ドルの資金が Zcash の Ironwood に転送され始めました。これらの盗まれた ZEC は隠蔽プールに転送されており、取引の詳細は隠すことができます。Bitget に関与する多様な資産、総額約 3.88 億ドルのセキュリティ事件の中で、約 18900 枚の ZEC、価値約 2830 万ドルが盗まれました。以前、Bitget の CEO Gracy Chen は、盗まれた資金を取り戻すことに「あまり楽観的ではない」と述べていました。

Insurance Journal の報道によると、ブロックチェーン分析会社 Elliptic は、50 件以上の北朝鮮に関連するセキュリティ事件を追跡しており、今年に入ってからの盗まれた資金は約 12 億ドルに達しています。一部の Bitget で盗まれた資金は、昨年の Bybit 取引所での 15 億ドルの盗難事件と関連するアドレスが重複しており、オンチェーンのマネーロンダリングパターンは初期的に、今回の Bitget 事件はハッカー組織 TraderTraitor によるものであることを示しています。

チェーン分析者Specterの監視によると、北朝鮮は複数のチェーン上で資金を洗浄しており、dYdX、Noble、Osmosisなどの基盤チェーンも含まれており、dYdX上で永続的な契約ポジションを開設しています。

GoPlus Security は X プラットフォームで、THORChain の資金流出は検証者が TSS 閾値署名を通じて自発的に署名する必要があり、ビットコインやイーサリアムとは異なると発表しました。Bitget から盗まれた資金の中には、約 101.5 BTC（約 850 万ドル）がすでに転送されており、さらに約 2763 万 XRP（約 4300 万ドル）が BTC に交換されているため、北朝鮮関連のアドレスを遮断するよう呼びかけています。

チェーン上の探偵 Specter の監視によると、資金の流れを追跡することで、北朝鮮のハッカー集団 Lazarus Group が Bitget の盗難事件の背後にいる可能性があることがわかりました。この事件は、今年の 7 月に発生した AFX 攻撃と関連があり、後者は約 2400 万ドルの損失を引き起こし、Lazarus Group に関連する TraderTraitor に帰属しています。Bitget で盗まれた XRP はクロスチェーンを経て、関連する資金の流れが AFX 攻撃で盗まれた資金に直接関連付けられます。

BitgetのCEO、Gracy Chenはプラットフォームのセキュリティ事件に関するライブQ&Aで、初期調査の結果、一部の関連IPアドレスがある北朝鮮のハッカー組織が使用しているVPNサービスと一致していることがわかり、攻撃のパターンも北朝鮮のハッカーの以前の行動に似ているため、この組織が約3.516億ドルに関わる攻撃に関与している可能性を排除できないと述べました。関連する帰属はまだ初期調査段階にあります。Gracy Chenは、Bitgetは現在、この事件が内部の人間によるものとは考えていないと述べました。攻撃者はプラットフォームのシステムに直接侵入し、資金を移転しましたが、ユーザーの出金リクエストを偽造することはなく、コールドウォレットやホットウォレットの秘密鍵を取得することもありませんでした。調査員は、具体的に影響を受けたシステムや攻撃者の侵入方法を確認しています。

朝鮮のハッカー組織 WaterPlum は、暗号通貨、AI、及び NFT 会社の採用担当者を装い、ソフトウェア開発者や IT 従事者に対して、プログラミングタスクやビデオ会議の修正ファイルに見せかけたマルウェアを配布しています。この組織は、100 以上の国で少なくとも 3 万台のデバイスを感染させ、2025 年 12 月から 2026 年 7 月にかけて 7000 以上の暗号通貨ウォレットから資金やアカウント情報を引き出し、少なくとも 1070 万ドルを盗みました。

フォーブスの報道によると、アメリカ連邦捜査局（FBI）と日本警察庁（NPA）を含む多国籍機関が共同で発表した警告によれば、北朝鮮に関連するハッカー組織WaterPlum（別名Contagious Interview）が2025年12月から2026年7月まで、AI、暗号通貨、またはNFT分野の企業に偽装して虚偽の職を提供し、世界中のIT開発者に対して攻撃を仕掛けています。攻撃者はソーシャルメディアや求人プラットフォームで求職者に接触し、技術面接やプログラミングテストを理由に悪意のあるファイルをダウンロードさせるよう誘導し、成功裏に3万台以上のデバイスを感染させ、100以上の国と地域に広がり、7000以上の暗号財布からデータを盗みました。関連する資金は少なくとも1071万ドルが攻撃者が制御する財布に流入しています。

日本警察庁はFBI、ASD/ACSC、BNDおよびBfVと共同で警報を発表しました。北朝鮮背景のネットワーク攻撃組織「WaterPlum」（別名 Contagious Interview）が求職者をターゲットにし、AI、暗号資産およびNFT企業を装って虚偽の求人情報を発信し、求職者にBeaverTail、InvisibleFerret、OtterCookieなどのマルウェアを含むNPMパッケージをダウンロードさせ、暗号資産ウォレット情報や機密データを盗み取っています。2026年7月までに、この組織は世界100カ国以上で3万台を超えるデバイスを感染させ、7000件以上の暗号資産ウォレット情報を盗み、彼らが管理するウォレットには少なくとも約17億円（約1071万ドル）の暗号資産が集まっています。日本警察庁は国内で初めて、地元の「支援者」によって設立された「ノートパソコンファーム」を発見し、北朝鮮のIT労働者がリモートで支援者の住居内のPCを操作して業務を受けており、関連する事件の金額は数億円に達しています。警察庁とFBIは、WaterPlumおよび一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局の統一指揮を受けており、得られた収益は直接北朝鮮の国家資金プールに流入していると評価しています。警察はIT技術者および企業発注者に対し、警戒を強化し、未確認の環境で第三者のコードを実行しないように注意を促しています。

Cointelegraph の報道によると、Chainalysis の報告は、過去 12 ヶ月間に攻撃者が公共ブロックチェーン上に悪意のあるソフトウェアの指示やインフラ情報を保存する回数が 420% 増加したことを示しています。国家背景のハッカーは、四半期ごとに約 3 分の 2 の新たな活動を寄与しています。Chainalysis は、以前は特定されていなかった Tron、Aptos、および BNB Smart Chain の活動を北朝鮮背景の組織 UNC5342 に関連付けています。報告書は、Tron と Aptos の取引におけるコーディングポインタが感染したデバイスを同じ BSC 取引に導くことを示しており、その取引にはリモートアクセスとデータ窃取インフラに接続するための暗号化されたサーバーアドレスと設定データが含まれています。公共ブロックチェーン上の情報は、ドメイン名、サーバー、またはコードリポジトリが閉鎖された後でもアクセス可能であり、悪意のあるソフトウェア活動の持続性を高めています。2025 年には、北朝鮮のハッカーが EtherHiding という類似の技術を使用して、スマートコントラクトに盗難コインコードを埋め込んでいました。さらに、2025 年 7 月以降、悪意のあるブロックチェーンへの書き込み量が 440% 増加しました。その時、高容量のオープンソース中国 AI モデルが悪意のあるコードを生成する能力を持ち始めました。Chainalysis のネットワーク犯罪研究責任者である Eric Jardine は、明確な時間的関連を発見したと述べていますが、攻撃者がこれらのモデルを使用したことを証明することはできませんでした。Chainalysis は、イラン情報省に関連する可能性のある脅威行為者を特定し、ビットコインブロックチェーンにコーディングされたコマンドと制御ルーティングデータを書き込み、中本聡と歴史的に関連のある有名なアドレスに小額の支払いを送信しました。このアドレスは攻撃者とは無関係であり、感染したデバイスが更新指示を取得するための恒久的な公共の場所として機能します。

NBCの報道によると、北朝鮮はイラン、レバノンなどの第三国からの遠隔ITスタッフを利用して、アメリカ企業に浸透し、武器計画の資金を調達している。アメリカおよび複数の外国機関が7月に発表した警告では、北朝鮮のITスタッフが「契約を結ぼうとしており、給与を北朝鮮の関連機関に送金する意図がある」と指摘しており、同時に企業に内部的な脅威をもたらし、データ漏洩、暗号通貨の盗難、敏感情報の窃取に関与している。アメリカなどの政府が反制を強化する中、北朝鮮はますます多くの第三国のITスタッフを利用して求職面接を行い、仕事の契約を得た後、関連するポジションは通常北朝鮮の工作員が引き継ぐと報じられている。これらの外国のITスタッフはLinkedInでスカウトされ、一部は月に約500ドルの暗号通貨を受け取り、「面接アシスタント」としてパートタイムで働いている。Cointelegraphは5月にサイバーセキュリティ会社CrowdStrikeのデータを引用し、北朝鮮に関連する国家ハッカーおよび脅威行為者が2025年に引き起こした暗号通貨の損失が20億ドルを超え、前年比51%増加したと報じた。韓国中央銀行は、世界的な制裁に直面しながらも、北朝鮮の2025年のGDPが3.5%成長すると見込んでいる。

韓国聯合ニュースによると、アメリカのワシントンD.C.の連邦裁判所は、北朝鮮の海外IT労働者によるマネーロンダリングに関連するウォレット資産を押収するよう命じました。これには158,123 USDCと54,574 USDTが含まれ、総額は約21.27万ドルです。アメリカ司法省は、合計774万ドルの北朝鮮関連の暗号資産の押収を求めています。

Arkham のブロックチェーンデータによると、北朝鮮国家支援のハッカー組織 Lazarus Group に関連するウォレットが、過去三週間で分散型永続契約取引プラットフォーム Hyperliquid 上で 3000 万ドル以上のビットコインを売却し、その資金をイーサリアムやソラナの購入に使用し、その後 Kraken、LBank、KuCoin などの中央集権取引所に移転した。Kraken は、業界をリードするコンプライアンスプログラムを維持し、制裁対象のウォレットに関連する資産を特定し阻止するためにオンチェーン活動を継続的に監視していると述べた。LBank と KuCoin は、関連するリスクは業界全体が直面する継続的な課題であり、公開されたオンチェーンデータが必ずしもプラットフォームレベルのコンプライアンス措置を反映しているわけではないと強調した。この事態が発生する中、トランプ政権は Hyperliquid を規制されたアメリカの金融システムに組み込むことを模索している。トランプは今月初めのホワイトハウスのイベントで、アメリカ商品先物取引委員会の委員長 Mike Selig が Hyperliquid をアメリカに完全にコンプライアンスを持って導入するための道筋を策定していると述べた。ブルームバーグの報道によれば、Kraken の親会社 Payward は Hyperliquid Labs とアメリカのトレーダーに永続契約を提供するための詳細な交渉を行っている。Hyperliquid は分散型永続契約分野の主導プラットフォームであり、ユーザーは従来のブローカーアカウントや KYC チェックなしで暗号ウォレットを直接接続して取引できる。DefiLlama のデータによると、その累積永続契約取引量は 5 兆ドルを超え、現在の未決済契約は約 133 億ドルである。

Cryptopolitan の報道によると、攻撃者はサプライチェーン攻撃を通じて、広く使用されている Rust コードパッケージの悪意のあるバージョンを 3 つ公開しました。その中で、arrayref というライブラリは約 4 分の 3 の Rust 開発環境で使用されています。悪意のある更新は、ユーザーがプロジェクトをコンパイルする際に自動的にログイン情報を盗むバックドアを隠しており、影響を受けたバージョンをコンパイルしたユーザーは、コンピュータやキーが露出している可能性があります。Wiz の研究者は、arrayref 攻撃のコマンドと制御のパスが、北朝鮮のハッカー組織 Sapphire Sleet および UNC1069 が使用している Mastra 行動と重なっていることを指摘しています。IP アドレスは同じセキュリティ証明書を共有し、同じホスティング業者 Hostwinds を使用しています。攻撃者は、人気のある proc-macro2 を模倣したスペルミスの proc-macro1 依存関係を追加しただけで、元のコードを変更せず、テストとビルドを通過させました。攻撃は公開から 86 分後に削除されましたが、大量にダウンロードされていました。影響を受けたパッケージは Solana および Ethereum ツールで広く使用されています。Rust チームは、メンテナが悪意のない行動をしていると考えており、そのデバイスや資格情報が侵害された可能性があります。

Cointelegraph の報道によると、サイバーセキュリティ会社 BCA LTD の創設者 Mauro Eldritch と Telefónica Tech のネットワーク脅威インテリジェンスアナリスト Heiner García が共同で偽の暗号スタートアップ「Ballena Azul」を設立し、疑わしい北朝鮮の IT 労働者を制御された仮想デスクトップ環境で最大五週間働かせ、その行動を全て監視することに成功した。調査によると、関連する労働者が使用していた外部サーバーは、以前に InvisibleFerret、BeaverTail、OtterCookie などのマルウェアを配布していた北朝鮮のネットワーク作戦インフラと関連があることが示されている。また、労働者は ChatGPT を利用したプログラミングや Google Gemini による偽の身分証明書の作成に大きく依存していた。研究者は、北朝鮮の IT 労働者がアメリカの身分を偽造してリモートワークを得て、その報酬が最終的に平壌政権の大量破壊兵器プロジェクトに流れ込んでいると指摘しており、アメリカ財務省のデータによれば、このような計画は 2024 年に北朝鮮に約 8 億ドルの収入をもたらすとされている。

Bitcoin.comによると、サイバーセキュリティ会社Genians Security Centerが発表した分析レポートによれば、北朝鮮の情報総局に属するハッカー組織KimsukyがAIを中心としたネットワーク攻撃ツールの体系を構築し、テストしているとのことです。研究者たちは、そのインフラストラクチャ内でOllama、GPT4All、Mstyの3つのローカルAIプラットフォームの展開の痕跡、さらにMicrosoft Semantic Kernel、LLaMaSharpなどのAI開発フレームワークコンポーネントを発見しました。これは、この組織が一時的な試みではなく、専用のAI攻撃ツールを体系的に開発していることを示しています。2026年初頭から、Kimsukyは生成型AIによって作成された高品質の文書を使用して、仮想資産、金融投資、ゲーム開発分野に対するフィッシング攻撃を行っています。AIが生成した専門文書は、従来のフィッシングメールの識別の有効性を大幅に低下させています。攻撃の手段は、合法的な文書に偽装されたZIP圧縮ファイルであり、悪意のあるLNKファイルが含まれており、トリガーされるとバックグラウンドで静かにPowerShellコマンドを実行します。

加密通貨取引所 Bybit は、アメリカ合衆国コロンビア特別区連邦地方裁判所に民事訴訟を提起し、北朝鮮、北朝鮮偵察総局およびハッカー組織 Lazarus Group を訴えています。この事件は、2025 年 2 月に約 15 億ドルが盗まれた事件に関連しています。Bybit は、裁判官が初期の禁止命令を承認し、事件の審理中に特定された盗まれた資産の移転または処分を禁止したと述べており、実体問題に関して Bybit が勝訴する可能性が高いと考えています。訴訟は、関連資金を保有または移転する未知の個人および団体を John Doe 被告として列挙しています。Bybit は、約 4840 万ドルが回収され、約 3050 万ドルが 28 以上の取引所および保管機関で凍結されていることを明らかにしており、両者は合計で盗まれた金額の約 5% を占めています。攻撃者は 2025 年 2 月に Bybit のコールドウォレットから約 50 万 ETH を移転し、その大部分の資金はその後 Thorchain を介してビットコインに交換され、ミキシングサービスを通じて移転されました。Bybit は、この事件が刑事調査と並行して進行していると述べています。

暗号通貨取引所 Bybit は、朝鮮民主主義人民共和国、その情報機関である偵察総局（RGB）、および国家制裁を受けたハッカー組織 Lazarus Group に対して、15 億ドルのハッキング事件に関する民事訴訟を提起しました。アメリカ連邦裁判所は、訴訟期間中にこの事件に関連する特定された資産を移転または消失させることを禁止する仮差止命令を発令しました。

Wired の報道によると、北朝鮮のハッカー組織のシステムに近く2年間潜伏していたセキュリティ研究者が警告を発し、個人の従業員や契約者に対する攻撃手段が非常に効果的で影響範囲が広いことを指摘し、世界中の多くの組織が侵入を受けていると述べています。ギリシャのサイバーセキュリティ研究者 Vangelis Stykas は、22ヶ月前に北朝鮮のシステムへのアクセス権を取得して以来、57カ国の1,640社が北朝鮮のハッカー活動の影響を受けていることを示す証拠を発見したと述べています。その中で約700から800の影響を受けた組織が「非常に破壊的な」侵入を受けています。

Crypto.newsによると、北朝鮮に関連するハッカー組織BlueNoroffは、偽のZoomおよびMicrosoft Teams会議を利用して暗号通貨ユーザーを分析し、その後マルウェアを配布しています。ハッカーはまず、被害者が信頼する暗号業界の連絡先アカウントを制御し、Calendlyなどを通じて一見正常な会議リンクを送信し、偽のZoom/Teamsドメインに誘導します。ユーザーが偽の会議ページに入ると、ページはブラウザ内のウォレットを静かにスキャンし、ウォレットの価値に基づいて攻撃を続行するかどうかを決定します。偽の会議では「Zoom/Teamsを更新する」またはコマンドを実行するよう求められ、実際にはマルウェアがダウンロードされます（WindowsおよびmacOSをサポート）。マルウェアはブラウザのキー、システムデータ、Telegramのセッションを盗みます。