大手暗号資産取引所Binanceが先週被った63億ドル相当の窃取事件で、FBIと複数の分析機関は北朝鮮系ハッキング集団のTraderTraitorの関与を指摘した。この事件は暗号資産史上最大規模であり、2025年2月にBybitから盗まれた15億ドルの約4倍に達している。
TRM Labsのデータでは、2024年4月時点で北朝鮮のハッカーによる2017年以降の窃取総額が60億ドル超であったが、今回の被害によりほぼ倍増した。
FBIの調査やBybitの分析によると、TraderTraitorの攻撃は勧誘を装った接触や信頼を得たソフトウェア提供者の侵害に始まり、送金承認システムへのアクセスを得ることで遂行されてきた。
TRM LabsのAri Redbord氏は、TraderTraitorを「暗号資産を狙う北朝鮮の精鋭部隊」と説明し、「Lazarusグループは広範な政権ハッキング活動の傘であり、TraderTraitorは取引所やカストディアンからデジタル資産を奪うために編成されたチームだ」と説明している。
TraderTraitorの名称は2022年4月のFBI、Cybersecurity and Infrastructure Security Agency、財務省の共同勧告文書で初めて登場。同文書は、暗号資産取引アプリに隠されたマルウェアや取引所、分散型金融プロトコル、投資家への攻撃を記載している。
このグループはLazarusネットワークの一翼を担い、研究者の追跡名としてはJade Sleet、UNC4899、Slow Piscesとも呼ばれている。米当局は彼らの目的を平壌の資金調達とし、2022年には暗号資産企業を狙い続けると警告した。
北朝鮮政府はUSDTを利用しロシア産原油を購入しようとした事例もある。ChainalysisのTom McLouth氏はTraderTraitorを「金銭的動機を持つDPRKの脅威グループ」と位置付け、暗号資産組織やDAO、プロトコルを標的にしていると述べた。
ただし、彼らは映画に描かれるような極端に高度なコード技術だけでなく、AIよりも人間の弱点を攻める別の手法を用いている。
2024年3月にはLinkedInの採用担当者を装って日本のウォレットソフト企業Gincoの従業員に接触し、悪意あるコードを組み込んだコーディングテストを送付した。これによりコンピューターが侵害され、以降は従業員をなりすまして日本の取引所DMM Bitcoinの通信システムを乗っ取った。
DMMでは約4,503ビットコイン（約3億800万ドル相当）が盗難され、その損失によりプラットフォーム閉鎖に至った。この背後にTraderTraitorがいるとされる。
FBIは2023年にもAlphaPo、CoinsPaid、Atomic Walletへの攻撃で同集団の関与を示しており、それぞれ6,000万ドル、3,700万ドル、1億ドルの被害額となっている。LayerZeroの調査では、2024年4月のKelpDAOブリッジ事件（約2億9,200万ドル相当）も彼らの仕業と評価されている。
Binance事件では9月にプロジェクトディレクターや人事担当者を偽装した接触を通じてソフトウェアエンジニアにマルウェアをダウンロードさせる手口が用いられた。これが取引所のAIツールと端末への侵入を許し、世界最大の暗号資産取引所を侵害した。
TRM LabsのRedbord氏はTraderTraitorを「コードの前に人を狙うビッグゲームハンター」と呼び、高度なソーシャルエンジニアリングを多用し、1人の従業員がマルウェアを実行することで攻撃が成功すると指摘する。
さらに同氏は「彼らは長期間にわたり準備し、一気に攻撃を展開し、被害額は増加傾向にある」と語った。複数の調査機関が今回のBinanceハックをTraderTraitorの犯行と高確率で帰属付けている。
TraderTraitorの起源は2016～2017年に北朝鮮の偵察総局が編成した暗号資産窃取専門チームに遡り、多国間制裁監視チームの報告では同局の110研究所に属するとされる。Redbord氏は才能育成が幼少期から行われ、STEM系学校で教育を受け、中国へ送られると説明する。
標的システムへの侵入後はクラウドサービスのログイン情報や暗号鍵を探し、より広範なアクセス権限を獲得するとされる。ChainalysisのMcLouth氏は、管理者権限で多要素認証を一時停止させたケースもあると明かした。
企業は認証情報の正当性だけでなく、状況と利用者も精査する必要があると指摘される。ImmunefiのSimone Imbrescia氏は運用レイヤーの侵害は鍵の盗難やスマートコントラクトの欠陥の発見を伴わない可能性があると述べた。
ChainalysisはBinanceから盗まれた資金が、北朝鮮関与が疑われる9月のBitgetハックの資金と混入していた事実を最も強力な証拠とする。
平壌は関与を否定しており、Kim Yo Jong氏はFBIの認定を「ばかげたレトリック」と一蹴している。
TraderTraitorは多様なリソースやツール、第三者と連係し活動するが、多くは北朝鮮国外に拠点を置くとされる。DPRK関連のIT労働者は多数の国で活動し、分散傾向にある。
資金窃盗は目的の一部に過ぎず、その後の資金洗浄も彼らの重要活動である。過去の作戦では店頭取引業者が暗号資産を法定通貨に換え、北朝鮮政府に資金を提供していた。業者は規制の緩い地域で活動していることが多い。
取引記録は監査により追跡され、捜査官は送金や換金経路を遮断する対策を特定可能である。McLouth氏は「セキュリティは資金が動き出してからではなく、侵入時点から徹底すべきだ」と強調している。