概要
- バイナンスは、60億ドル規模のハッキング の被害の背景には、「北朝鮮 」という偽の採用詐欺があったことを明らかにした。攻撃者は 、でっち上げの求人情報と一連の偽の面接を利用してバイナンスの従業員を標的にし、一見するとごく普通の採用プロセスを、史上最大規模の暗号資産 盗難への入り口ポイント に変えてしまった。
- 小規模な攻撃が、「北朝鮮 」のハッカーたちが手口を洗練させる一助となった可能性がある。 Chainalysis によると、 過去18か月間に発生した1,430万ドル以上の被害は、同様の「北朝鮮 」に関連する偽の面接詐欺によるものとされている。我々の分析によれば、こうした初期の「ハッキング 」により、北朝鮮の攻撃者たちは、より価値の高い標的に対して手口を展開する前に、小規模な標的を相手にその手法を洗練させることができたと考えられる。
- この攻撃は、「北朝鮮」が構築する広範な違法雇用エコシステムの一環である。偽の 面接詐欺は、北朝鮮の収益性の高いエコシステムの一部に過ぎず、このエコシステムには、IT分野における詐欺的な雇用スキームや暗号資産 マネーロンダリングも含まれている。「Chainalysis 」は、こうした進化し続ける手口と、その基盤となる暗号資産 インフラを追跡している。
北朝鮮の犯行グループによるバイナンスからの64億ドルの盗難事件は、北朝鮮のハッキング チームにとってはあまりにもありふれた手口、すなわち雇用詐欺から始まった。
Chainalysis 捜査当局は長年にわたりこの戦略を採用してきた。その手口は多岐にわたる。バイナンス（Binance）事案 や北朝鮮 の事例では、犯行グループが標的を偽の求人に応募させるよう誘導し、そのコンピュータにマルウェアを感染させた。しかし、他の事例では、攻撃者自身が応募者となり、政権のために資金を調達するために偽りの身分で活動したり、企業のシステムにマルウェアを感染させたり、あるいはその両方を行ったりしている。
各インスタンスは、オンチェーン という痕跡を残す可能性があります。過去18か月間、Chainalysis は、 北朝鮮 に関連する同様の偽のインタビューやマルウェアによる詐欺により、1,430万ドル以上の損失が発生したと報告しています 。これらの詐欺は、個人の暗号資産 保有者やプライベートウォレットから、組織、プロトコル、DAOに至るまで、幅広い対象を標的にしてきました。Binanceは、この一連の事件における最新の被害者となっています。
「個人レベルで、財布の被害につながった他の数十件の就職面接関連のハッキング を特定しました」と、当社のシニアインテリジェンスアナリスト、トム・マクルース氏は述べた。ハッキングこれらの初期の事件における被害額は数万から数百万に及んだが、より重要な意味は、攻撃者たちがそこから何を学んだかという点にあるかもしれない。
一連のハッキング 、北朝鮮 において、犯人たちは「手口を洗練させ、進化させていた」とマクルース氏は説明した。彼らは手口を磨き上げ、ますます価値の高い被害者を標的にするために必要な能力を身につけていった可能性がある。「そうして、史上最大の強盗事件が引き起こされることになるのだ。」
こうした文脈で考えると、バイナンスへの攻撃は、数ヶ月、あるいは数年にもわたる準備と練習の集大成である可能性がある。
偽の面接が、バイナンスへの扉を開いた経緯
火曜日、バイナンスは、北朝鮮による同取引所への多段階攻撃に関する初期調査結果を公表した。
この攻撃は9月、あるエンジニアが就職面接の招待を受けたことから始まった。バイナンスは、攻撃者が数週間にわたりバイナンスの従業員との信頼関係を築いていた経緯を明らかにした。攻撃者はまず、正規の求人プラットフォームを通じて、その従業員に求人情報を提示して接触を図った。 架空の企業との2回の面接を経て、そのバイナンス社員は、悪意のあるコードが含まれた面接課題をダウンロードするよう求められた。これにより、攻撃者は最初の足掛かりを得た。そこから、彼らはマルウェアをデプロイされた し、社内のAIツールへのアクセス権を悪用して、バイナンスのシステム内部へとさらに深く侵入していった。
ハッキング の規模は前例のないものでしたが、この侵入手法自体は目新しいものではありませんでした。Chainalysis のグローバルサービス担当シニアマネージャーであるアレック・ゼブリック氏が今週述べたように、北朝鮮 の攻撃者は、彼が「伝染性インタビュー」と呼ぶ手法を繰り返し用いて、特権アクセス権を持つ従業員を標的にし、その認証情報や権限を悪用して組織の内部システムに侵入してきました。このため、機密性の高いインフラへのアクセス権を持つ従業員は、こうした攻撃において特に価値の高い標的となっています。
北朝鮮 マルウェアは標的となるシステムに潜り込む
バイナンスへの攻撃は、偽のインタビューが大手組織への侵入経路となり得ることを示していますポイント 。パートナー企業との連携を通じて、攻撃者がこの手口をどのように洗練させてきたかを私たちは確認してきました。
悪意のあるインタビューを受けた後、クラウドストレージからウォレットの秘密鍵（鍵 ）が盗まれた被害事例が複数確認されています。一部の被害者からは、シードフレーズが感染したデバイスに一度もダウンロードされたことがないとの報告もあり、攻撃者のアクセス範囲はローカルファイルにとどまらず、侵害されたクラウドの認証情報やブラウザのセッションなどを通じて行われた可能性が示唆されています。
これは、北朝鮮 マルウェアが感染したシステム内で仮想通貨のシードフレーズやパスワード管理ツールの関連データを検索するという、マイクロソフトの報告とも一致しています。攻撃者が作戦の初期段階で収集した認証情報により、感染したデバイスをはるかに超えた範囲にある関連アカウントへのアクセスが可能になります。バイナンスへの攻撃においても、この同じ基本的な手口（偽の面接を利用して初期の足掛かりを得る）により、攻撃者は最終的に取引所のインフラストラクチャのより奥深くへと侵入することができました。
『北朝鮮』誌が明らかにした、巨額の利益を生み出す違法雇用エコシステムの内実
バイナンスへの攻撃は、北朝鮮が築き上げた、極めて収益性の高い違法な雇用エコシステムのほんの一例に過ぎない。
「北朝鮮 」は、他の偽の採用詐欺やIT関連の不正な求人などを含む、さまざまなソーシャルエンジニアリングの手法を用いて企業に潜入しています。
Chainalysis 北朝鮮 の攻撃者がこれらの手法をどのように進化させ、展開しているかについて、他にもいくつかの傾向を追跡してきました。新たな脅威の一つとして、マルウェアの指令を隠蔽するためにパブリックブロックチェーンを利用する方法があり、我々はこれを「 デッドドロップ（BDD）」と呼んでいます。我々のブロックチェーン 調査によると、過去1年間で、 を活用したこうしたサイバー攻撃が5倍に急増しており、この急増は国家主体の攻撃者による活動や、オープンウェイトAIモデルの潜在的な利用によって引き起こされています。ブロックチェーン
我々の調査によると、北朝鮮の攻撃主体は2025年初頭から、「Etherhiding」などと呼ばれるこれらの戦術を用い始め、偽の就職面接詐欺によって侵害された被害者のコンピュータと、マルウェアのコマンド＆コントロール（C2）インフラとの接続を維持していたことが判明した。彼らがこのような手法を採用したのは、ブロックチェーン 経由のトランザクションの方が、彼らが乗っ取ることができる集中型や法執行機関 対応のホスティングサービスに依存するよりも、C2インフラを運用する上で耐障害性が高いためである。
オンチェーン の分析によって明らかになった北朝鮮 の手法の一つは、C2通信を2つのブロックチェーン（TRONとAptos）に分散させることで冗長性を高め、感染したデバイスを3つ目のブロックチェーンであるBSCへと誘導するものです。 攻撃者は、TRONとAptos上に、BSC上のトランザクションへポイント するポインタを埋め込みます。感染した端末がTRONへのクエリから必要な情報を得られない場合、バックアップとしてAptosに切り替えます。いずれの場合でも、最終的に必要な場所であるBSCに到達し、そこでペイロードが保存されています。
最近では、北朝鮮 は「ヌルレシーバー」と呼ばれる戦術を採用しています。これは、実際には誰にも制御されておらず、仮想通貨資産を管理するようには設計されていない、特別に作成されたアドレス に、同じC2通信命令を埋め込むというものです。このアドレス 自体は、感染したマシンによって読み取られる命令へとデコードすることができます。
北朝鮮…のIT従事者が、企業に不正に潜入する
北朝鮮の雇用詐欺の手口のもう一方には、大規模なIT労働者 計画がある。この計画では、北朝鮮の工作員が正規の求職者を装って世界中の企業に就職し、給与を得て機密システムへのアクセス権を獲得する可能性があり、その一方で国家のために収益 を生み出している。
国連の推計によると、北朝鮮のIT労働者 エコシステムは、同政権に年間6億ドル以上の収益 をもたらしている。この「影の労働力」は、暗号資産 と直接関わることも多い。多くの場合、IT従事者たちは暗号資産 の企業に潜り込もうとしている。しかし、彼らは暗号資産 を利用して不正な収益をマネーロンダリングしている。先月、我々は、北朝鮮 が運営するIT労働者 スキームに関与したとして米国から制裁を受けた、ロシアおよび北朝鮮 国籍の者たちによるネットワークについて概説した。
Chainalysis 「暗号資産 」（アドレス ）が、「北朝鮮 」（IT労働者 ）を標的とした制裁対象に指定された状況を綿密に追跡するとともに、この脅威に関するオープンソース情報も追跡しています。
北朝鮮 のIT従事者たちは、通常、デプロイされた の海外に拠点を置き、VPNや盗まれた身分証明書などのさまざまな偽装手法を用いて、世界中の企業に就職しています。採用されると、こうした労働者はしばしばステーブルコイン での支払いを要求します。
我々は、オンチェーン におけるこうした活動を明らかにしました。その一例として、事案 では、ウォレットに給与の支払いとみられる定期的な入金が行われていました。
給与が支払われると、北朝鮮 のIT従事者たちは、送信 を通じて、暗号資産 を、前述のロシア人や北朝鮮 などの仲介業者に送金する。
『Chainalysis 』が資金の流れを追跡する方法
バイナンスの「事案 」は、北朝鮮がどのように多角的なサイバー犯罪の手口を開発、試験、改良し続けているかを明らかにしている。
これらの攻撃者は、採用プラットフォームやハッキング といった企業のインフラを悪用し、正規の企業に潜入して、得られた収益を仮想通貨を使って移動させることも可能です。攻撃の手口が進化するにつれ、組織は従来のサイバーセキュリティ対策にとどまらず、こうした活動を可能にする金融インフラにも目を向ける必要があります。
Chainalysis 北朝鮮 の関係者らが、仮想通貨を用いて を生成し、資金を移動・集約し、不正な収益をマネーロンダリングする方法を綿密に監視している。収益
ブロックチェーン その取り組みにおいて、インテリジェンスは極めて重要です。「従来の 」のサイバーセキュリティ対策や脅威インテリジェンスと組み合わせることで、「ブロックチェーン 」の分析は、組織や捜査当局が「盗難資金 」を特定・凍結し、「北朝鮮」の拡大する金融ネットワークを把握し、制裁調査や執行に役立つ調達・支払いのパターンを明らかにするのに役立ちます。
Binanceに関する調査は現在も継続中であり、今後数日間は盗難資金 の動向が引き続き注目されるものと予想されます。Chainalysis は、盗難資金 の追跡、無力化する のさらなる資金洗浄の防止、および低減 の追加損失の防止に取り組む中で、Binanceおよび業界全体を支援することに尽力しています。
よくある質問
北朝鮮のハッカーたちは、どのようにしてバイナンスから64億ドルを盗み出したのか？
この攻撃は、バイナンスの従業員を標的とした偽の求人情報をきっかけに始まった。架空の企業との複数回の面接を通じて信頼関係を築いた後、攻撃者は送付 従業員に悪意のあるコーディング課題を送りつけ、そのコンピュータを感染させ、バイナンスのシステムへの最初の足掛かりを確保した。その後、デプロイされた マルウェアを仕込み、社内のAIツールへのアクセス権を悪用して、取引所のインフラストラクチャのより奥深くへと侵入した。
北朝鮮 の偽の面接詐欺とは何ですか？
北朝鮮 偽の面接詐欺は、不正な採用プロセスを悪用して、ハッキング 求職者のコンピュータに侵入し、機密システムや仮想通貨ウォレットへのアクセス権を奪おうとするものです。攻撃者は採用担当者や人事担当者を装い、一見正当な面接を行うふりをし、悪意のあるコーディング課題やその他のダウンロードを通じてマルウェアを仕込みます。Chainalysis は、こうした手口を「伝染性のある面接（contagious interviews）」と呼んでいます。
北朝鮮のハッカーたちは、他の暗号資産 攻撃でも偽のインタビューを利用したのだろうか？
はい。過去18か月間にわたり、Chainalysis は、北朝鮮 に関連する同様の偽のインタビューやマルウェアを用いた詐欺手口による被害額を1,430万ドル以上と推定しています。標的となったのは、暗号資産 の個人保有者、プライベートウォレット、組織、プロトコル、DAOなどです。これらの初期の攻撃は、北朝鮮 の攻撃者がより大規模な標的を狙う前に、手口を洗練させる一助となった可能性があります。
北朝鮮 のハッカーたちは、偽の就職面接をどのように利用して組織に潜入しているのでしょうか？
偽のインタビューにより、攻撃者は従業員のデバイス、認証情報、および権限にアクセスできるようになる可能性があります。機密性の高いインフラへの特権アクセス権を持つ従業員は、特に価値の高い標的となります。なぜなら、彼らのアカウントが侵害されると、組織の内部システムへの「パス （バックドア）」となるからです。
北朝鮮 の違法なIT労働者 スキームとは何ですか？
北朝鮮の工作員たちは、正当な求職者を装い、盗んだ身元情報やその他の偽装手法を多用して、世界中の企業でリモートワークの職を確保している。彼らは給与を得て、その収入が政権の収益 となり、企業の機密システムへのアクセス権を得る可能性もある。国連の推計によると、この仕組みにより北朝鮮は年間6億ドル以上の収入を得ている。
北朝鮮はサイバー犯罪活動において、仮想通貨をどのように利用しているのか？
北朝鮮-関連する関係者たちは、違法な活動による収益を受け取るため、またサイバー攻撃で得た資金を移動・洗浄するために、仮想通貨を利用している。IT従事者は、ステーブルコイン で給与を受け取り、その後送信 の資金を仲介業者に送金する場合がある。また、ハッカーたちはパブリックブロックチェーンを悪用して、マルウェアの指令を隠蔽したり、コマンド＆コントロール（C&C）インフラを維持したりしている。
Chainalysis は、北朝鮮 に関連するサイバー犯罪の追跡にどのように役立っているのでしょうか？
Chainalysis ブロックチェーン の活動を分析し、 と関連する関係者が、どのように不正資金を受け取り、移動させ、集約し、洗浄しているかを特定します。この情報は、捜査当局や組織が盗まれた暗号資産を追跡し、仲介ネットワークを特定し、制裁調査を支援し、可能な場合は資金の凍結に取り組む上で役立ちます。北朝鮮
本ウェブサイトには、Chainalysis, Inc. およびその関連会社（以下、総称して「Chainalysis」）の管理下にない第三者のサイトへのリンクが含まれています。当該情報へのアクセスは、Chainalysis が当該サイトまたはその運営者との提携、支持、承認、または推奨を行っていることを意味するものではなく、Chainalysis は、当該サイトで提供される製品、サービス、その他のコンテンツについて一切の責任を負いません。
本資料は情報提供のみを目的としており、法律、税務、財務、または投資に関する助言を提供するものではありません。受領者は、こうした決定を行う前に、各自のアドバイザーに相談してください。Chainalysis は、受領者が本資料を利用したことに起因する、つながり におけるいかなる決定、その他の作為または不作為についても、一切の責任を負いません。
Chainalysis 当社は、本報告書に記載された情報の正確性、完全性、適時性、適合性、または有効性を保証するものではなく、当該資料のいかなる部分における誤り、欠落、またはその他の不正確さに起因するいかなる請求についても責任を負いません。
