大手暗号資産取引所Binanceが先週被った63億ドル相当の窃取事件は、北朝鮮系ハッキング集団TraderTraitorの仕業とFBIと複数の分析会社が結論づけました。このグループは、暗号資産業界で最近発生した注目度の高い複数の窃取事件にも関与してきました。
今回の盗難被害は暗号資産史上最大規模であり、2025年2月にBybitから盗まれた15億ドルの4倍以上にのぼります。FBIもBybit事件でのTraderTraitor関与を指摘しています。Binanceの被害額は、2024年4月までにTRM Labsが北朝鮮のハッカーによる窃取額として推計していた60億ドル超をほぼ倍増させました。
調査によると、TraderTraitorの攻撃は、勧誘を装った接触や信頼されたソフトウェア提供元の侵害から始まる例が繰り返されています。これにより、送金承認に使われるシステムへのアクセスが可能となりました。
TRM Labsのグローバル政策・政府渉外責任者Ari Redbord氏は、「TraderTraitorは北朝鮮の精鋭部隊で、暗号資産を盗むことを目的としたチームです」と述べています。TraderTraitorはLazarusという政権系ハッキンググループの一部で、取引所やカストディアンからデジタル資産を狙う役割を担っています。
TraderTraitorという名称は、FBIや米サイバーセキュリティ・インフラ庁（CISA）、財務省が2022年4月に発表した勧告文書にも登場しています。同文書は、暗号資産取引アプリのマルウェアや、取引所、分散型金融プロトコル、投資家への攻撃を古くは2020年までさかのぼり説明していました。
研究者たちはTraderTraitorを、北朝鮮のハッキング活動ネットワークの一部としてJade Sleet、UNC4899、Slow Piscesという別名でも追跡しています。米当局は彼らの目的を平壌政府の資金調達であるとし、2022年には暗号資産企業を標的にし続けると警告していました。また北朝鮮政府は一度、USDTを用いてロシア産原油の購入を試みたこともあります。
Chainalysisのシニア・インテリジェンス・アナリストTom McLouth氏は「TraderTraitorは金銭的動機を持つ北朝鮮関連の脅威グループで、暗号資産関連の組織や機関、DAO、プロトコルを標的にする傾向があります」と述べています。一方で、映画に描かれるような高度なコード解析技能を持ち取引所のセキュリティを超えるハッカーではなく、人間の弱点を突く別の手法を用いていると指摘しました。
2024年3月、日本のウォレットソフトウェア企業Gincoの従業員にLinkedInの採用担当者を装った人物が接触。GitHub上のコーディングテストを送付し、その中に悪意あるコードを仕込んで従業員の端末を侵害しました。2カ月後、攻撃者は盗んだセッション情報で従業員になりすましGincoの通信システムに侵入。DMM Bitcoinからの正規送金申請を改ざんし、約4,503ビットコイン（約3億8,000万ドル相当）が失われました。これにより同社は閉鎖に至りました。
ChainalysisのMcLouth氏は、TraderTraitorが単に技術を悪用するだけでなく、信頼まで悪用して攻撃を行うと語ります。FBIはTraderTraitor関連のハッカーが2023年にAlphaPo、CoinsPaid、Atomic Walletなどを標的とした事件に関与し、それぞれ約6,000万ドル、3,700万ドル、1億ドルの被害を与えたとしています。さらに、LayerZeroの調査では2024年4月に起きた約2億9,200万ドル相当のKelpDAOブリッジ窃取事件の背後にもTraderTraitorの関与が推定されています。
Binanceでも再び勧誘の手口が用いられました。最高セキュリティ責任者のJimmy Su氏によると、2024年9月にプロジェクトディレクターを名乗る人物がソフトウェアエンジニアに接触。人事担当者を装い信頼構築のため私的写真のSNSアカウントを共有し、続く面接ではCEO役がコーディング課題をエンジニアの業務用端末にダウンロードさせました。その課題にマルウェアが仕込まれ、攻撃者は端末と社内のAIツールを活用して世界最大の暗号資産取引所への侵害を成功させました。
TRM LabsのRedbord氏は、「TraderTraitorは大規模なソーシャルエンジニアリングを駆使し、偽の採用担当者や面接を用いて1人の従業員の操作だけで侵害を開始します。それから数週間の準備を経て一気に攻撃を仕掛ける。加えて窃取資金は増加傾向にあります」と述べています。Chainalysis及びTRM Labsの分析により、Binanceへのハックも高い確度でTraderTraitorの犯行と特定されています。
TraderTraitorの起源は、北朝鮮の対外情報機関である偵察総局が2016〜2017年に編成した暗号資産窃取専門チームに遡ります。多国間制裁監視チームの2025年10月報告書はTraderTraitorを偵察総局の110研究所に位置づけており、才能は幼少期から専門教育により育成されるとされています。専門STEM学校への入学や中国への派遣が行われ、Redbord氏は「サイバー犯罪が競技種目のように選手育成されている」と表現しました。
標的システムに侵入後はクラウドサービスのログイン情報や暗号鍵を探し、広範囲なアクセスを狙います。ChainalysisのMcLouth氏は「有効な鍵が必ずしも正当なユーザーのものでない」と指摘しました。攻撃では管理者権限で多要素認証を停止し、侵害後に再度有効化する手法も確認されています。企業は認証情報の利用状況を注意深く監視すべきと述べています。
Immunefiの副社長Simone Imbrescia氏も「運用レイヤーの侵害者は鍵盗難やスマートコントラクトの欠陥発見が必須ではない可能性がある」と指摘しています。
ChainalysisはBinanceから盗まれた資金が9月に関与が指摘された約3億8,800万ドル相当のBitgetハックの収益と混ざっていたことを最も強力な証拠としています。平壌は関与を否定し、金正恩総書記の妹Kim Yo Jong氏はこれを「ばかげたレトリック」と一蹴しました。
McLouth氏はTraderTraitorの活動資源やツール、関与する第三者は多岐にわたり、活動の多くは北朝鮮国外で分散して行われていると述べました。DPRK関連のIT労働者は数十カ国に分散しており、分散化の傾向があるとのことです。
TraderTraitorの目的は資金奪取に留まらず、「奪った資金の洗浄と利用可能な形にすること」も含まれます。過去には店頭取引業者を介し暗号資産から法定通貨への交換が行われ、北朝鮮政府に利用されていました。これら業者は監督の緩い法域で活動する場合が多いとされます。
資金移動の記録は残るため、捜査機関は収益流れを追跡し送金や換金の阻止が可能なサービスを特定できるとMcLouth氏は述べています。「セキュリティ対策は資金移動後ではなく、窃盗前の侵入段階から徹底すべきだ」と強調しました。