大手暗号資産取引所Binanceが先週、63億ドル相当の資産を強奪される被害に遭いました。FBIと複数の解析機関は、この攻撃が北朝鮮系のハッキング集団TraderTraitorによるものであると断定しています。
今回の被害額は暗号資産史上最大であり、2025年2月にBybitから盗まれた15億ドルの4倍以上に相当します。FBIはBybitへの攻撃についてもTraderTraitorの関与を指摘しています。
TRM Labsの調査によると、Binanceの被害額は2024年4月時点で北朝鮮ハッカーによる2017年以降の窃取総額推計60億ドルをほぼ倍増させました。
FBIやBybitの調査報告によれば、TraderTraitorは勧誘を装った接触や信頼されているソフトウェア提供者の侵害を繰り返し行い、送金承認に関わるシステムへのアクセス権を獲得してきました。
TRM Labsのグローバル政策・政府渉外責任者であるAri Redbord氏は、TraderTraitorを「暗号資産を盗む北朝鮮の精鋭部隊」と位置づけ、「Lazarusは政権系ハッキングの傘組織で、TraderTraitorは取引所やカストディアンからデジタル資産を盗むための専門チーム」と述べています。
TraderTraitorという名称は、FBI、Cybersecurity and Infrastructure Security Agency、財務省が2022年4月に発した勧告文書に初めて登場し、暗号資産取引アプリ内のマルウェアや取引所、分散型金融プロトコル、投資家への攻撃について言及されていました。同グループは、研究者がLazarusとして追跡する北朝鮮広範囲ハッキングネットワーク内でJade Sleet、UNC4899、Slow Piscesという名称でも知られています。
米当局はこのグループの目的を平壌の資金調達とし、2022年には暗号資産企業を標的にし続けると警告を発しました。北朝鮮政府は過去にUSDTを用いてロシア産原油の購入を試みた記録もあります。
Chainalysisのシニア・インテリジェンス・アナリストTom McLouth氏は、TraderTraitorを「金銭的動機を持つDPRK関連脅威グループ」とし、暗号資産関連の企業や機関、DAO、プロトコルを狙う傾向があると述べています。ただし、単純に高度なコード技術に依存せず、人間の心理的弱点を突く手法を駆使していると指摘しました。
2024年3月には、LinkedInの採用担当者を装った人物が日本のウォレットソフトウェア開発会社Gincoの従業員に接触。GitHubに公開されたと称するコーディングテストに悪意あるコードを紛れ込ませ、従業員の端末が侵害されました。約2カ月後には盗んだセッション情報で従業員になりすまし、Gincoの通信システムに侵入。日本の取引所DMM Bitcoinの正規送金申請の改ざんを行った可能性が高いとされています。
DMMは約4,503ビットコイン、3億800万ドル相当を失い、この事件が同サービスの閉鎖に繋がりました。ChainalysisのMcLouth氏は、この攻撃もTraderTraitorの仕業と断じ、同集団は技術だけでなく信頼を悪用すると説明しています。
また、FBIはTraderTraitorに関連するハッカーが2023年にAlphaPo、CoinsPaid、Atomic Walletの各窃取事件に関与し、それぞれ被害額は6,000万ドル、3,700万ドル、1億ドルに達すると指摘。LayerZeroのフォレンジック調査では、4月の2億9,200万ドル相当のKelpDAOブリッジ攻撃の背後にも同グループがいたと評価されています。
Binance事件でも同様の勧誘手法が用いられました。最高セキュリティ責任者Jimmy Su氏によれば、9月にプロジェクトディレクターを装った人物がソフトウェアエンジニアへ接近。偽の面接で信頼を築き、CEOを名乗る者が業務用コンピューターにマルウェアを含むコーディング課題をダウンロードするよう指示。これにより社内システムが侵害されました。
TRM LabsのRedbord氏は、TraderTraitorを「ビッグゲームハンター」と称し、「高度なソーシャルエンジニアリングや偽採用担当者、偽面接を大量に用いて人を狙い、たった一つのファイル実行から全体を動かす」と持続的な攻撃の特徴を語っています。
ChainalysisとTRMはいずれも高い確度で、Binance事件の背後にTraderTraitorの関与を認めています。
TraderTraitorの起源は、北朝鮮の偵察総局が2016～2017年に編成した暗号資産窃取専門のチームに遡ります。多国間制裁監視チームの2025年10月報告書は、TraderTraitorを同局の110研究所に位置づけ、メンバーは幼少期から専門的な教育を受け能力を高められていると記述しています。
彼らは標的システム侵入後、クラウドサービスの管理情報や暗号鍵を探し広範な権限を獲得します。ChainalysisのMcLouth氏は「有効な鍵が必ずしも正当なユーザーとは限らない」と警鐘を鳴らしました。侵入時には多要素認証を無効化し、侵入後に再度有効化する高度な手口も使われています。
セキュリティプラットフォームImmunefi副社長Simone Imbrescia氏も、侵害者には鍵盗難やスマートコントラクトの脆弱性の発見が必ずしも必要ない場合があると指摘しています。
Chainalysisは、Binanceから盗まれた資金が北朝鮮関与とされる9月の約3億8,800万ドル相当のBitgetハック収益と混合された事実を、同グループ関与の強力な証拠としています。
北朝鮮は関与を否定しており、金正恩総書記の妹Kim Yo Jong氏はFBIの評価を「ばかげたレトリック」と切り捨てました。
McLouth氏はTraderTraitorの資源やツール、第三者の多様性を指摘し、メンバーの多くは北朝鮮外で活動していると述べます。調査により同グループが国際的に数十カ国で分散活動していることが判明しています。
同氏によれば、このグループの目的は資金窃取だけでなく、その洗浄と使用可能な形への変換も含まれ、過去には規制の緩い地域に拠点を持つ店頭取引業者が暗号資産を換金し北朝鮮政府に渡してきました。
取引記録は追跡可能であり、捜査当局はこれを基に資金の送金や換金を阻止するサービスの特定を進めています。McLouth氏は「セキュリティは資金移動後に始まるべきではなく、窃盗前の侵入も資金洗浄同様に詳しく調査されるべきだ」と述べました。
