北朝鮮のハッカーが1か月間に5億ドルを盗み取る——暗号資産セキュリティにおける最大の脅威に

執筆：Oluwapelumi Adejumo

翻訳：Chopper、Foresight News

わずか3週間足らずの間に、北朝鮮関連のハッカー組織が暗号資産DeFiプラットフォームから5億ドル以上を窃取した。ハッカーの攻撃の突破口は、コアとなるスマートコントラクトからインフラストラクチャーの周辺部における脆弱性へと移行している。

DriftおよびKelpDAOへの攻撃

Drift ProtocolおよびKelpDAOに対する2件の大規模な攻撃により、北朝鮮関連ハッカーによる今年の不正な暗号資産収入は7億ドルを突破した。この巨額の損失は、彼らの戦術的転換を浮き彫りにしている——すなわち、複雑な脆弱性を巧みに活用し、長期間にわたって潜伏する人員を投入して、標準的なセキュリティ対策を回避する傾向がますます強まっている。

4月20日、クロスチェーンインフラストラクチャープロバイダーLayerZeroは、KelpDAOが4月18日に攻撃を受け、約2.9億ドルの損害を被ったと確認した。これは2026年現在で最大規模の単一暗号資産窃盗事件となった。同社によると、初期のデジタルフォレンジック調査結果は、北朝鮮の悪名高いLazarus Group内に存在する専門チーム「TraderTraitor」を直接指し示している。

わずか数週間前の4月1日には、Solana上に構築された分散型パーペチュアル先物取引所Drift Protocolが約2.86億ドル分の資産を盗まれた。ブロックチェーンインテリジェンス企業Ellipticは、直ちにチェーン上のマネーロンダリング手法、トランザクションシーケンス、ネットワーク署名を分析し、それらを北朝鮮がこれまでに実行した既知の攻撃パターンと照合。これにより、本件は今年すでに同社が追跡した同種の18件目の事例であることが明らかになった。

攻撃の方向性転換：インフラストラクチャー周辺部への浸透

4月の攻撃手法は、北朝鮮ハッカーによるDeFiへの攻撃が一段と洗練されてきていることを示している。彼らはもはやコアとなるスマートコントラクトへの正面攻撃を避け、代わりに構造的に周辺部に位置する脆弱性を狙うようになった。

KelpDAOへの攻撃を例に挙げると、ハッカーはLayerZero Labsの分散型検証ネットワーク（DVN）が利用していた下流RPC（リモートプロシージャコール）インフラストラクチャーを乗っ取った。これらの重要なデータ通信経路を改ざんすることで、攻撃者は暗号学的なコア部分を破壊することなく、プロトコルの動作を操作した。LayerZeroは影響を受けたノードを停止し、DVN全体の復旧を完了したが、財務的損害は回収不能となっている。

このような間接的攻撃手法は、ネットワーク戦争の恐るべき進化を示している。ブロックチェーンセキュリティ企業CyversはCryptoSlateに対し、「北朝鮮関連の攻撃者は、攻撃の準備および実行においてより多くのリソースを投入し、ますます熟達してきている」と述べている。

同社はさらに次のように補足している。「また、彼らは常に最も脆弱な箇所を正確に特定できることも観測しています。今回の突破口は、プロトコルのコアインフラストラクチャーではなく、サードパーティ製コンポーネントでした。」

この戦略は、従来の企業向けネットワークスパイ活動と非常に類似しており、北朝鮮関連の攻撃が今後ますます防ぎにくくなることを意味している。最近の事例として、Googleの研究者が広く使われているAxios npmパッケージのサプライチェーンを侵食した事件があり、その背後に北朝鮮の特定脅威組織UNC1069が関与しているとの報告がある。これは、攻撃者がソフトウェアがブロックチェーンエコシステムに組み込まれる以前の段階から、それを意図的に破壊しようとしていることを示唆している。

北朝鮮による世界の暗号資産業界人材への浸透

技術的突破口に加え、北朝鮮は現在、世界中の暗号資産業界の人材市場に対して大規模かつ組織的な浸透を進めている。

脅威の形態は、遠隔地からのハッキング活動から完全に転換しており、警戒心のないWeb3スタートアップ企業内部に悪意ある人物を直接配置するという手法へと移行している。

イーサリアム財団のETH Rangersセキュリティプロジェクト傘下のKetman Projectは、6カ月間に及ぶ調査を経て驚くべき結論に至った——約100人の北朝鮮のサイバーエージェントが、複数のブロックチェーン企業内部に潜伏しているというのだ。彼らは偽装された身分を用いて、標準的な人事部門の審査を容易に通過し、機密性の高い内部コードベースへのアクセス権を獲得。そして、製品チーム内で数カ月から数年にわたり静かに潜伏した後、精密な攻撃を仕掛けるのである。

独立系ブロックチェーン調査員ZachXBTは、こうした諜報機関型の潜伏活動をさらに裏付ける情報を提供している。彼は最近、詐称された身分でリモート就労を行い、月平均で約100万ドルの収益を得ていた北朝鮮の特殊サイバー組織を暴露した。

このスキームでは、国際的に認められた金融チャネルを通じて暗号資産から法定通貨への送金が行われており、2025年末以降に処理された金額は350万ドルを超える。

業界関係者の推定によると、北朝鮮が展開するIT人材は、月当たり数百万ドルの収益を生み出しているという。これにより、北朝鮮は二重の収益源——安定した給与収入と、内部人員の協力を得た巨額なプロトコル窃盗——を確保している。

総窃盗額67.5億ドル

北朝鮮のデジタル資産事業の規模は、あらゆる従来のサイバー犯罪グループをはるかに凌駕している。ブロックチェーン分析会社Chainalysisによれば、2025年のみで北朝鮮関連ハッカーが窃取した金額は記録的な20億ドルに達し、同年の世界全体の暗号資産窃盗総額の60％を占めている。

今年の激しい攻撃活動を踏まえると、北朝鮮が歴史上窃取した暗号資産の総額はすでに67.5億ドルに達している。

資金の確保後、Lazarus Groupは極めて特徴的かつ地域に限定されたマネーロンダリング・パターンを示している。一般の暗号資産犯罪者がDEXやピアツーピア貸付プロトコルを頻繁に利用するのとは異なり、北朝鮮のハッカーは意図的にこうしたチャネルを回避している。チェーン上でのデータによると、彼らは中国語圏の保証付き取引サービス、高度に発達したOTCブローカーネットワーク、複雑なクロスチェーンミキサー・サービスに強く依存している。こうした傾向は、グローバル金融システムへの無制限アクセスではなく、構造的制約および地理的制約によって限定された資金換金チャネルを指向していることを示唆している。

防御は可能か？

セキュリティ研究者および業界幹部は、防御は可能だと考えているが、そのためには暗号資産企業が、何度も重大な攻撃で露呈してきた同じ運用上の弱点を解決しなければならないと指摘している。

Humanityの創設者Terence Kwok氏はCryptoSlateに対し、「北朝鮮関連の攻撃は、新たなネットワーク侵入形式ではなく、依然としてよく知られた脆弱性を標的にしている」と述べている。彼は、北朝鮮の攻撃者が侵入技術および不正資金の移動能力を高めつつある一方で、根本原因は依然として不適切なアクセス制御と集中型運用リスクにあると見ている。

彼は次のように説明する。「驚くべきことに、被害の原因はいまだにアクセス制御の不備や単一障害点といった古くからある問題に起因している。これは、業界が基本的なセキュリティ規律を未だに確立できていないことを意味している。」

この見解に基づき、Kwok氏は、業界における第一の防衛線として、資産移転の難易度を大幅に引き上げ、秘密鍵、内部権限、サードパーティへのアクセス権限に対してより厳格な管理を実施すべきだと指摘している。具体的には、企業は個人オペレーターへの依存を減らし、特権アクセスを制限し、サプライヤーへの依存を強化し、コアプロトコルと外部世界との間のインフラストラクチャーに追加の検証層を導入すべきである。

第二の防衛線は「スピード」である。一度、盗まれた資金がクロスチェーンやクロスブリッジを経由してマネーロンダリングネットワークに流入すると、回収の可能性は急激に低下する。Kwok氏は、取引所、ステーブルコイン発行元、ブロックチェーン分析会社、そして法執行機関が、攻撃発生直後の数分乃至数時間以内に迅速に連携して行動することが、資金の遮断成功率を高めるために不可欠だと述べている。

彼の言葉は業界の現実を鋭く突いている——すなわち、暗号資産システムの最も脆弱な箇所は、しばしばコード、人材、運用の交差点にあるということだ。盗まれた認証情報一つ、弱いサプライヤーへの依存一つ、見過ごされた権限の脆弱性一つで、数億ドルもの損失を招く可能性がある。

DeFiが直面する課題は、もはや堅牢なスマートコントラクトを書くことだけではない。それは、攻撃者が次の脆弱な環節を活用する前に、プロトコルの周辺部における運用セキュリティを守り抜くことなのである。