マネロン
3000万ドル相当の資金差押え：北朝鮮ハッカーの盗難資金に対する暗号資産コミュニティの取り組み
暗号資産関連の犯罪で今最も問題の一つとなっているのは、DeFiプロトコルや特にクロスチェーンブリッジからの資金流出であり、近年被害が急激に増加しています。被害額ベースで、DeFiプロトコルから窃取された資金の多くは北朝鮮系のアクターによるもので、特にハッキングの精鋭部隊であるLazarus Groupが関与しているとみられます。Chainalysisでは、2022年の現時点までに、北朝鮮系グループがDeFiプロトコルから摂取した暗号資産の総額は約10億ドル相当になると推定しています。 しかし、本日2022年9月8日、私はAxie Infinity主催のイベントAxieCoinに参加し、良いニュースをお伝えする機会がありました。法執行機関と暗号資産業界の諸団体の協力により、北朝鮮系ハッカーによって盗まれた3000万ドル相当の暗号資産を差し押さえることに成功しました。これは北朝鮮グループによる盗難資金を差し押さえた初めてのケースですが、今後もこのような成功事例が出てくることでしょう。 これは、2022年3月に発生した、Ronin Network (play-to-earnゲームAxie Infinityのサイドチェーン)からの6億ドル相当の暗号資産の盗難事件における、我々の調査の成果です。Chainalysis Crypto Incident Response Teamが、高度な追跡技術によって盗まれた資金の流出先を突き止め、法執行機関や業界のプレイヤーとの連携により、この資産差押えに寄与することができました。 今回の差押えは、(流出時点と差押時点の価格差も考慮すると)Axie Infinityからの盗難資金の約10%ですが、犯罪者が不法に得た暗号資産を現金化するのが一層困難になっていることを示した一例と言えるでしょう。適切なブロックチェーン分析ツールの活用により、一流の調査員やコンプライアンス専門家達が最も洗練されたハッカーやマネロン関与者を食い止められることが証明できました。まだまだやるべきことはあるにせよ、これは暗号資産のエコシステムをより安全にするための我々の努力の一つのマイルストーンとなりました。 さて、この資金差押えはどのようにして行われたのでしょうか。以下にお伝えできることを示します。 Ronin Bridge事件の発生経緯と盗難資金の動き Lazarus Groupによる攻撃の発端は、Ronin Networkのクロスチェーンブリッジのトランザクションバリデータが管理する9つの秘密鍵のうち5つへのアクセスを得たことです。バリデータの過半数の秘密鍵を利用することで、2件の送金トランザクションが成立し、173,600…
ハッカー達がDeFiプラットフォームからこれまで以上の暗号資産を窃盗
本ブログは、「2022年暗号資産関連犯罪レポート」 の調査結果に基づいて記述されたものです。 こちらからサインアップしてレポートをダウンロード頂けます。 2021年は、デジタル犯罪者にとって大きな成果が達成された年となり、32億ドル相当の暗号資産が盗み出されました。しかし2022年は、さらなる規模の盗難が進行しつつあります。 ハッカー達は、今年最初の3ヶ月間だけで、取引所、プラットフォーム、民間企業から13億ドルを盗み出しています。そして、その被害の対象はDeFiに大きく偏っています。 2022年最初の３ヶ月に盗まれた全暗号資産の97%が、DeFiプロトコルからのもので、これは2021年の72%、2020年の30%から、さらに拡大しています。 攻撃手段として脆弱性攻撃が増える一方、セキュリティ侵害も依然として発生 過去、暗号資産のハッキングの多くは、ハッカーが被害者の秘密鍵にアクセスするというセキュリティ侵害によって生じたものでした。これは、暗号資産におけるピッキングと言ってもよいでしょう。Ronin Networkから6億1,500万ドル相当の暗号資産が盗み出された、2022年3月に発生した侵害行為は、この手口が依然として有効であることを証明しています。 Chainalysisのデータもこの事実を示しています。2020年から2022年の第1四半期の間に、セキュリティ侵害によって、総暗号資産価値の35%が盗難にあっているのです。 備考：「不明」のラベルは、ハッキングのタイプに関する情報が未公開であることを意味します。「その他」のラベルは、ハッキングのタイプは分かっているが、Chainalysisが定義するカテゴリーに該当しないものを指します。 しかし、特にDeFiプロトコルの場合には、通常、盗難の最大の原因はコードの誤りによるものです。Roninに対する攻撃を別にすれば、盗難にあった資産価値の大半が、暗号資産の価格操作を行う脆弱性攻撃やフラッシュローン攻撃によるものとなります。 脆弱性攻撃が発生する理由は様々です。その1つとして、分散化と透明性というDeFiの理念において、オープンソースによる開発がDeFiアプリケーションを支える重要な要素となっている点を挙げることができます。これは、ある意味で極めて重要です。DeFiプロトコルは人間の介在なしに資金を移動させるため、プロトコルが信頼を得るためには、ユーザーがコードを監査できるようになっている必要があるのです。しかし、それは同時に、スクリプトを事前に十分解析して脆弱性を発見し、悪用することができるサイバー犯罪者にとってもメリットとなるのです。 例えば、昨年発生したBadgerDAOに対するハッキングのケースでは、ハッカーが攻撃の数ヶ月前にコードの脆弱性や、ロンダリングの手順をテストしていました。 一方、フラッシュローン攻撃は、DeFiプラットフォームが不安定な価格オラクルに依存していることが原因で発生しているケースが見られます。 オラクルはプラットフォーム上の全ての暗号資産の正確な価格データを維持する役割を担っていますが、これは決して容易ではありません。オラクルが安全であっても、処理が遅ければアービトラージ（裁定取引）に対して脆弱となり、逆に高速でも安全でなければ、価格操作に対して脆弱となります。後者の場合はフラッシュローン攻撃につながり、実際に2021年にはDeFiプラットフォームで3億6,400万ドルという膨大な金額が引き出されました。例えばCream Financeに対するハッキングでは、CreamがyUSDの「pricePerShare」変数を計算する際の脆弱性を突くフラッシュローンによって、攻撃者がyUSDの価格を正価の2倍に膨らませて株を売ることで、わずか一晩で1億3,000万ドルを稼ぎ出すことに成功しています。 このような不正確な価格オラクルと悪用可能なコードという2つのリスクは、いずれについてもセキュリティ対策が必要であることを強く示唆しています。しかし幸いなことに、これらに対しては解決策があります。Chainlinkのような分散型価格オラクルの場合には、プラットフォームを価格操作攻撃から保護し、価格設定の正確性を確保することができます。スマートコントラクトのセキュリティを確保するためには、よくあるハッキングの対象となりやすい再入可能性や未処理の例外、そして取引順序の依存関係などがあるコードを監査してプログラムの強化を図ります。 しかし、コード監査は万能ではありません。30%近くの脆弱性攻撃は、前年に監査を実施したプラットフォームで発生しており、驚くべきことにその73%がフラッシュローン攻撃でした。これは、コード監査に潜在する2つの欠点を浮き彫りにしています。 スマートコントラクトの脆弱性にパッチを適用するケースもありますが、全てではありません。 プラットフォームの価格オラクルが改ざんされない保証はどこにもありません。…
法執行機関によるダークネットマーケットの閉鎖に続き、OFACがHydraおよびロシアの取引所Garantexにも制裁措置
本日は、暗号資産犯罪との戦いにおける非常に重要な日となりました。米国の複数の法執行機関とドイツの連邦警察の協力によって、ロシアを拠点とした、収益で世界最大のダークネットマーケットと言われる「Hydra Market」が閉鎖に追い込まれました。 さらに同日、米国司法省はHydraの主要なオペレータの1人を告訴し、また米国財務省外国資産管理局 (OFAC) はHydraを制裁対象として、100を超える暗号資産のアドレスをSDNリストに追加しました。同時にOFACは、以前Chainalysisがマネーロンダリングにおける役割を調査した、ロシアの暗号資産取引所であるGarantexについても制裁対象としました。 OFACが指定した全てのアドレスは、Chainalysis製品にて織別が付けられ、KYTをご利用のお客様には、設定に応じて「制裁対象」のアラート (sanctions alert) が表示されるようになります。 以下で、HydraおよびGarantexの違法行為を分析し、またOFACがリストに掲載した制裁対象アドレスを共有します。 Hydraとは？ Hydraはロシア語圏だけを対象としているにも関わらず、ここ数年にわたり、突出して規模の大きいダークネットマーケットとなっています。 2021年、Hydraは全世界のダークネットマーケットの収益の75%に相当する、17億ドル相当の暗号資産を受け取っています。 Hydraはまた、その洗練された運営方法でも有名です。例えば、Uberに似た仕組みによって匿名の運び屋を手配して麻薬取引行ったり、買い手が人里離れた森に現金を埋め、売り手が後からそれを掘り出すといった、非接触型の手法で麻薬取引を行っています。Hydraは、ダークネットマーケットにおける取引の機密性やセキュリティを熟知しています。 Hydraやそのベンダーは、厳密なコントロールと管理が行われているインフラストラクチャーに備えられた複数の事前承認済みサービスを使って、ベンダーやサイバー犯罪者が暗号資産をロシアルーブルに換金できる、マネーロンダリングサービスを提供しています。 Hydraでマネーロンダリングサービスを提供するベンダーの例 実際に2020年、Hydraは他のダークネットマーケットや、盗難資金を保持したウォレット、ランサムウェアのオペレータ、詐欺などから、6億4,500万ドルに相当する暗号資産を受け取っています。 暗号資産を使った制裁回避に関する最近の懸念を考えれば、Hydraの閉鎖と制裁措置は正に最適なタイミングでの対応と言えます。このプラットフォームが提供するマネーロンダリングサービスが、制裁対象となっているロシアの企業や個人に便宜を供与している可能性があるからです。これらの対応に加え、米国の司法省は、ロシア在住のDmitry Olegovich Pavlovを、麻薬の流通とマネーロンダリングを目的にHydraの運営に関わった容疑で告訴しました。2015年以来、Pavlovは自身の会社であるPromservices…
北朝鮮のハッカー集団が保有する ロンダリング未済資産の総額が過去最高を記録
※本レポートは、今後発表予定の「The Chainalysis 2022 Crypto Crime Report」の一部要約の和訳です。 北朝鮮のサイバー犯罪者にとって、2021年は過去最高の成果を記録した年となりました。暗号資産プラットフォームに対して少なくとも7回の攻撃が行われ、約4億ドル相当のデジタル資産が引き出されました。これらの攻撃では、投資会社や中央集権型取引所（CEX：Centralized Exchange）が主な標的となり、フィッシングや脆弱性攻撃、マルウェア、高度なソーシャルエンジニアリングを使って、インターネットに接続されたホットウォレットの資金を北朝鮮の管理下にあるアドレスに流出させました。一旦、北朝鮮が資金を保管できるようになると、隠蔽や換金に向け慎重にロンダリング操作が開始されます。 多くのセキュリティ・リサーチャーは、このような複雑な戦術やテクニックが使われている状況を踏まえ、北朝鮮のサイバー攻撃者を持続的標的型攻撃（APT：Advanced Persistent Threat）の使い手と見なしています。これは、米国および国連が朝鮮人民軍総参謀部偵察局（Reconnaissance General Bureau）と認知する北朝鮮の最上位の諜報機関が率いる、APT38または「Lazarus Group」として知られる組織で、顕著に見られる攻撃手法となります。本レポートでは、これらの攻撃者を北朝鮮に関係したハッカーと言及していますが、実際にはこうした攻撃の多くがLazarus Groupの手によるものと考えられます。 当初、Lazarus Groupは、ソニー・ピクチャーズへの攻撃やランサムウェア「WannaCry」で悪名を馳せましたが、その後は非常に収益性の高い戦略として暗号資産犯罪に特化するようになっています。2018年以降、Lazarusは毎年のように2億ドルを超える多額の暗号資産を窃取し、ロンダリングを行ってきました。こうしたハッキングの成功例としては、KuCoinやその他の暗号資産取引所に対するものがあり、それぞれの被害金額は2億5,000万ドル以上に上っています。国連安保理は、これらのハッキングによって得られた収益が、北朝鮮の大量破壊兵器や弾道ミサイルの開発に使用されているとしています。 北朝鮮のハッキング活動は、2021年に再び活性化しました。2020年から2021年にかけて、北朝鮮に関連するハッキング数は4件から7件に跳ね上がり、それに伴う流出価値も40%上昇しました。 興味深いのは、北朝鮮によって窃取された暗号資産内でビットコインの占める割合が、ドルベースで言えば1/4未満に過ぎなかった点です。2021年に窃取された資金の内、ビットコインはわずか20%で、22%がERC-20トークンまたはアルトコインのいずれかでした。そしてEtherが初めて大半を占め、窃取された資金の58%となりました。 窃取対象の暗号資産が多様化することで、北朝鮮の暗号資産ロンダリング操作も必然的に複雑化しています。現在、北朝鮮の典型的なロンダリング操作は次のような手順になっています。…