ビナンスから63億ドルを奪う前、北朝鮮系ハッカーは数十回の攻撃を通じてどのように偽装求職スクリプトを磨き上げてきたのか？

著者：Chainalysis

翻訳：TechFlow

TechFlow解説：暗号資産の歴史において単一事件として最大の損失を記録したセキュリティインシデントである、バイナンス64億ドル窃盗事件は、単一のスマートコントラクト脆弱性や高危システムゼロデイ脆弱性によるものではなく、北朝鮮国家レベルのハッキング組織が「ソーシャルエンジニアリングによる人員侵攻」を長年磨き上げてきた集大成の一撃である。早期には職場向けSNSで網羅的なフィッシングリンクを送信するなど、中核プロトコルの開発者を標的とした「高報酬オファーと連続面接」といったカスタム手口まで、北朝鮮ハック組織は形式的な人材採用プロセスを武器化し、社内ネットワーク直結のトロイの木馬へと転換してきた。

バイナンス事件では、攻撃者は正規ヘッドハンターを装って多輪の模擬技術選考を実施し、悪意のあるコードテスト問題によって被害者の端末に初期立足点を確立した後、ローカルのアクティブ認証情報と内部コラボレーションツールを利用して、中核業務クラスターへの致命的な横方向移動（ホリゾンタル・ムーブ）を完了させた。このシステム侵食は従来の静的ネットワーク境界防御の無力化を告げるものであり、暗号資産企業とセキュリティチームは端末行動監査、レッドチームによる継続的シミュレーション演習、そしてオンチェーンでのリアルタイム資金動向監視を最優先事項とする必要がある。

実行概要

バイナンスが北朝鮮の偽採用詐欺を60億ドル窃盗事件の黒幕と発表：攻撃者は架空の仕事機会と一連の偽面接を用いてバイナンス社員を特定し、通常の採用プロセスを暗号資産史上最大規模の窃盗事件への突破口へと変えた。

小規模な攻撃が北朝鮮ハック組織の攻撃シナリオ継続進化を支援：過去18か月以内にChainalysisは、類似の北朝鮮関連偽面接詐欺により1,430万ドル超の損失が発生していることを確認した。分析によれば、これらの早期浸透により北朝鮮攻撃者は小規模な標的で手をかけ繰り返し手法を練り上げ、その後より高価値の目標へ適用することが可能となった。

今回の攻撃は北朝鮮の大規模不正就活生態系における氷山の一角に過ぎない：偽面接シナリオは北朝鮮の高収益サイバー犯罪生態系の一部に過ぎず、該生態系には名義貸与ITアウトソーシング求人およびオンチェーンマネーロンダリングネットワークも含まれる。Chainalysisは此类手法の進化と底層暗号化インフラを追跡し続けている。

北朝鮮ハック組織がバイナンスから最大64億ドルの資金を盗み出した事件は、すでに習得済みである經典戦術「求職詐欺」から始まった。

Chainalysis調査員は長年この戦略を密接に追跡してきた。この戦術形態は多様であり、バイナンス事件では北朝鮮ハック組織が被害従業員を偽職に応募させることでPCにマルウェアを仕込んだ。他のケースでは攻撃者が自ら就職者と成りすまし、いずれも国家的な政権に収入をもたらすか、企業内系に侵入するか、あるいはその両方を実行した。

毎回のセキュリティインシデントはオンチェーンに足跡を残す。過去18か月でChainalysisは1,430万ドル超の資金損失が同様の北朝鮮関連偽面接およびマルウェア詐欺に起因することを特定した。これらの攻撃対象は個人暗号資産保有者、独立プライベートウォレット、機関、暗号プロトコル、DAOまで広範囲に及ぶ。バイナンスはこの連鎖的標的型攻撃における最新被害者に過ぎない。

「個人レベルで数十件の求職面接が誘因となりウォレットが盗難されたケースを識別してきた」とChainalysis高度知能分析アナリストTom McLouthは指摘する。初期イベントの損失額が数万ドルから数百万ドルであったとしても、より重要なのはこれらの練習が攻撃者に実戦経験を積ませたことである。

McLouthはさらに、「反復する浸透攻撃を通じて北朝鮮ハッキング組織はその攻撃方法論を絶えず改善・進化させており、戦術パスを磨き、より高価値目標を狩猟するための実戦能力を段階的に構築している。これが史上最大規模の強盗事件が最終的に形作られた理由だ」と説明する。

この業界背景から判断して、バイナンスの窃盗事件は孤立した偶発事象ではなく、攻撃者が数ヶ月乃至数年にわたり綿密に準備し実戦で磨き上げた集中爆発である。

偽面接がいかにしてバイナンスの門を叩いたか

火曜日、バイナンスは北朝鮮ハック組織による取引所への複数段階攻撃に関する暫定的な調査結果を発表した。

攻撃行動は9月に始動した。バイナンスのエンジニアが求職面接の招待を受け取った。バイナンスは攻撃者が同従業員と信頼関係を築くのに数週間を要した過程を明らかにした：まず正規採用プラットフォーム上で架空の募集職種を提示して直接コンタクトを図った。

虚構企業が主催した2輪の面接を経て、同バイナンス従業員は悪意のあるコードを含む面接用コーディングテスト問題をダウンロードするよう求められ、攻撃者はこれにより初期立足点を獲得した。その後、ハッカーはマルウェアを展開し、被害端末内のAIツールアクセス権限を利用して、バイナンスの中核社内ネットワーク奥深くへの横断的浸透を遂げた。

今回のシステム侵食規模は歴史的にも前例がないが、突破手段自体は新しいものではなかった。Chainalysisグローバルサービス最高責任者Alec Zebrickは今週行ったインタビューで議論した通り、北朝鮮攻撃者は特権アクセスを持つ従業員を狙うための「传染性病面接（Contagious Interviews）」と称される戦術を繰り返しく使用してきた。

ハッカーは標的従業員のID認証情報とシステム権限を窃取して企業内ネットワーク環境に侵入し、これによりセンシティブな中核インフラにアクセス可能なエンジニアや主要ポスト担当者が、此类攻撃の非常に魅力的な高価値標的となっている。

バイナンス窃盗事件は、偽面接がいかにして大規模機関のセキュリティ防御ラインを崩壊させる入口となるかを明確に示している。業界パートナーとの共同追跡溯源を通じて、我々は攻撃者がこの戦略をどのように段階的に成熟させていったかを目撃した。

悪意ある面接事件の後、私たちは複数の被害者の暗号資産ウォレット秘密鍵がクラウドストレージスペースから直接盗まれるケースを観察した。一部のケースでは、被害者は明確に自分のニーモニックが感染したローカルデバイスには一度もダウンロードされたと明言している。

この現象は、攻撃者の制御権限がすでにローカルファイルシステムを超えており、おそらく侵害されたクラウド認証情報またはブラウザセッションを通じて権限拡張と権限蔓延を実現した可能性を示している。

この鑑識証拠はMicrosoftのセキュリティ研究レポートと完全に一致する：北朝鮮マルウェアは感染システム内で地毯式に暗号資産ニーモニックとパスワードマネージャー残留データを検索する。

攻撃者が行動初期に収集した認証情報は、多くの関連アカウントを開ける鍵へと急速に変換され、その波及範囲は当初ウイルス感染を受けた単一デバイスを遥かに超える。バイナンス攻撃では、まさにこの同じ底層シナリオ、すなわち偽就活面接による初期立足点の確保が、最終的にハッカーが取引所の核心業務アーキテクチャへ一直線に進軍することを促進した。

北朝鮮マルウェアはいかにして標的システムへ潜伏配備されたか

バイナンス窃盗事件は、北朝鮮が高収益を上げる不正な就活生態系における一つの縮図に過ぎない。

北朝鮮ハック組織は各種ソーシャルエンジニアリング戦術を広範に活用しており、他にも異なる形態の偽採用詐欺だけでなく、名義貸与IT就業者を用いて正規企業を浸透させる等多角的視点が含まれる。

Chainalysisは北朝鮮ハック組織がこのような技術を展開・配置するために使用する他のいくつかの新規手法の進化を追跡し続けている。台頭しつつある新たな脅威の一つは、攻撃者が公的空間にマルウェアコマンドを隠匿するもので、我々はこの戦術を「ブロックチェーン・デッドドロップ（Blockchain Dead Drops、略称BDD）」と呼んでいる。

当社の专题研究レポートによると、過去1年でブロックチェーンを活用した隠蔽通信のネットワーク攻撃は5倍急増し、この急速な成長は主に国家安全級ハッキング組織によって推進され、同時にオープンソース重み付きAI大モデルの催化と支援を受けた可能性がある。

分析により、北朝鮮ハッキング組織は2025年初頭には既に「エーテルハイディング（Etherhiding）」と総称される技術手段を採用し始め、偽面接攻撃で侵害された被害PCとマルウェアコマンド＆コントロール（C2）インフラの間に永続リンクを確立することを狙っていたことが明らかになった。

ハッカーがオンチェーン取引を選んだのは、公的チェーン台帳が改ざん不可能性と検閲抵抗性を持つためであり、法執行部門により法的に差し押さえ・没収されやすい伝統的中継サーバーと比較して、ブロックチェーンはC2中継ネットワークを展開するよりレジリエントな避難港だからである。

Chainalysisオンチェーン分析チームは、北朝鮮ハック組織の高耐災技術を開示した：C2通信リンクをTRONとAptosの二つの異なった公的チェーンに分散させ、冗長性（Redundancy）を増加させて、感染端末が最終的に第3のチェーンBSCへジャンプするように誘導するものである。

攻撃者はTRONとAptos上に特定のポインターをライトし、両者の目標はどちらもBSC上の特定の取引を指している。被害マシンがTRONノードの照会に失敗した場合、自動的にAptosへバックアップ冗長チャネルへ切り替わる。どの経路を経由しても、被害端末は最終的に悪意あるペイロード（Payload）が格納されたBSC上の標的地址を正確に見つけ出す。

最近、北朝鮮ハック組織は「ヌルレシーバー（Null Receiver）」と呼ばれる新たな隠蔽戦術も展開した。ハッカーは本来C2通信に用いられるコマンドデータを、注意深く構成されたオンチェーン焼却アドレスに直接エンコード埋め込む。

該アドレスには実体による実際の制御が存在せず、暗号資産を保存するためのものでもない。しかし、マルウェア感染端末が該アドレス文字列を取得すると、それを逆エディットして実行コマンドへと直接デコードでき、悄然とコマンド中継と制御を完了させる。

図：北朝鮮ハック組織がTRONとBSCの焼き捨てアドレスを利用し、エンコード済みコマンドと暗号化ペイロードを格納するオンチェーンC2通信アーキテクチャ

北朝鮮の高収益不正就活生態系を解明

北朝鮮の就活詐欺軍需庫のもう一方の側には、広く展開された大規模IT労働者計画がある。此类詐欺では、北朝鮮技術者が合法の求職者を装い、世界中の各大企業に潜入・潜伏する。

彼らはこれにより高額な賃金を稼ぎ、潜行してセンシティブシステムに侵入する機会を探しながら、継続的に国家政権に豊厚な外貨収入を供給する。

国連公式見積もりによれば、北朝鮮IT労働生態系は同政権に対し年間 6億ドル以上という巨額の収入を生み出している。この龐大な地下シャドウ労働力グループは暗号資産生態系と直接的かつ多岐にわたる結びつきを持っている。

多くのケースでは、これらのIT従業員はWeb3および暗号化機関へ潜入を企てる。同時に、違法資金流向を隠蔽するために暗号資産によるマネーロンダリングを広範に利用している。先月、我々は詳細に公開した、米国財務省の制裁を受けたロシア及び北朝鮮市民のマネーロンダリングネットワークであり、該ネットワークは北朝鮮が操作するITアウトソーシング体制に対して資金流轉・洗浄の通路を提供するものである。

図：被害企業が北朝鮮IT従業員に賃金を支払い、空殻会社とロシア中間人間を通過して回収・現金化するマネーロンダリングチェーン

Chainalysisは北朝鮮IT就労詐欺制裁リストに含まれる全ての暗号化アドレスエンティティを密接に追跡し、当該脅威生態系に対するオープンソースネットワークインテリジェンスを深く統合している。

北朝鮮IT技術者は通常海外基地に配属され、VPNでネットワーク位置を混淆させ、盗まれた偽造ID認証情報を使用して、世界中の企業でリモート職位に応募する。一旦採用されると、これらの従業員は通常雇用主に対しステーブルコインによる賃金支払いを要求する。

我々はすでに暴露した、此种高度特徴的なオンチェーン活動について、特定のケースではオンチェーン監視プローブが、ウォレットが月単位で定額の賃金を定期的に受領する典型的特徴を検知した。

図：北朝鮮IT従業員オンチェーンウォレットが月ごとに規則正しく約5,000ドルの賃金を受領するオンチェーン取引明細記録

賃金が着金後、北朝鮮IT人員は暗号資産を速やかに階層的にマネーロンダリング中間人に振り込む。例えば前述の制裁リスト入り済みのロシア・北朝鮮市民マネーロンダリングネットワークなど。

Chainalysisはオンチェーン資金の流れを追跡する方法

バイナンスの重大セキュリティインシデントは、北朝鮮ハック組織が多面的に協調するサイバー犯罪軍需庫を継続進化・テスト・改良してきたかを包括的に示した。

同一ハックグループは採用プラットフォームを用いてソーシャルエンジニアリング突破を行い企業中核インフラを陥落させる一方で、影の従業員を送り込み正規企業に偽装潜伏し、さらに暗号資産を巧みに用いてオンチェーンで盗品を隠蔽移転する技能も有している。

攻撃手段が絶えず精緻化するにつれ、企業とセキュリティ機関は従来のネットワークセキュリティ境界防御に留まるべきではなく、これらの国際犯罪運用を支える底層金融流れとオンチェーンインフラを重点監視視線に組み入れる必要がある。

Chainalysisは24時間体制で北朝鮮ハック組織が暗号生態系を利用した収益創出、盗品の回収・移転、非法所得洗浄の利用状況を厳密に監視している。

ブロックチェーンデータインテリジェンスは此类反制闘争において中核役割を果たす。オンチェーン分析が伝統的ネットワークセキュリティ防御策および脅威インテリジェンスと深く結合された場合、セキュリティチームと法執行機関は盗難資金を正確に識別し緊急凍結できる。

此种総合判断能力は、蔓延する北朝鮮オンチェーン金融ネットワークの全体像を描画するのに役立つだけでなく、購買・支払い資金チェーンを検出し、国際制裁調査および合同法執行に対し強力なオンチェーン法医学的証拠を提供する。

バイナンス窃盗事件の追跡調査は現在も徹底推進中で、我々は盗難資産が今後数日間で引き続きオンチェーン分割・移転を引き起こすと見ている。Chainalysisはバイナンスおよび暗号産業全体と連携し共同追跡を行い、後のマネーロンダリングチャネルを遮断し、潜在的二次被害を抑制・軽減するために全力を尽くす。

よくある質問（FAQ）

北朝鮮ハック組織はいかにしてバイナンスから最高64億ドルの資金を窃取したのか？

攻撃行動はバイナンス従業員を対象とした偽の求人情報から始まった。攻撃者は虚構企業が手配した複数輪の面接で該従業員の信頼を獲得し、その後悪意のあるコードを含むプログラミング課題テスト問題を送信した。

該従業員がテストコードをダウンロードして実行すると、PCはウイルスに感染し、ハッカーにバイナンスシステムへの初期立足点を与えた。攻撃者はその後マルウェアを展開し、被害端末の内部AIツールアクセス権限を利用して、段階的に取引所の核心業務インフラへ深く浸透した。

北朝鮮偽面接攻撃詐欺とは何か？

北朝鮮偽面接詐欺とは、ハッカーが偽の採用フローを利用して求職者の個人PCを陥落させ、企業のセンシティブシステムアクセス権限を得るか暗号資産ウォレットを窃取するソーシャルエンジニアリング手法のことである。

攻撃者は通常業界ヘッドハンターまたは採用責任者を装い、正規で厳格なように見える求職面接を組織し、悪意あるプログラミングテスト問題や他のダウンロード添付ファイルを通じてトロイの木馬ペイロードを配信する。Chainalysisは此类行動を総称して「传染性病面接（Contagious Interviews）」と呼んでいる。

北朝鮮ハック組織は以前他の暗号資産攻撃においても偽面接手法を使用していたか？

はい。過去18か月でChainalysisは、1,430万ドル超の資金損失が同様の北朝鮮偽面接およびマルウェア詐欺と直接関連していることを確認した。

被害対象は個人暗号資産保有者、独立プライベートウォレット、機関エンティティ、暗号プロトコル、そして分散型自律組織（DAO）に及ぶ。これらの初期攻撃により、北朝鮮ハック組織はより高価値目標を狩る前に、ソーシャルエンジニアリング実戦シナリオを十分に検証・整備することができた。

偽求職面接は北朝鮮ハック組織がいかにして企業組織へ浸透することを助けたか？

偽面接により、攻撃者は標的従業員の個人端末デバイス、ログイン認証情報、および社内ネットワークアクセス権限を直接入手できる。重要インフラに対して高権限を持つ特权従業員はハッカーにとって極めて価値の高い標的であり、これらのアカウントとデバイスを陥落させることで攻撃者に企業内部システムへ直結する横方向の跳躍板が開かれるからだ。

北朝鮮不正IT就労者詐欺とは何か？

これは北朝鮮技術者が合法の求職者を装い、通常盗まれた偽造身分証明書と各種ネットワーク混淆手段を借りて、世界各国の企業でリモート職位に応募し獲得することを指す。

彼らはこれにより高額な賃金を稼ぎ国家政権の金庫を潤すと同時に、企業のセンシティブシステムへの内部管理権を獲る機会を窺っている。国連の見積もりによれば、このグレー生態系は毎年北朝鮮に6億ドル超の資金を生み出している。

北朝鮮は自らのサイバー犯罪活動においていかに暗号資産を利用するのか？

北朝鮮に関連するハックグループは、暗号資産を用いて違法就労賃金の受け取りと、ネットワーク攻撃で窃取した巨額の盗品の移転・洗浄の両方を行っている。アウトソーシング就労者は通常ステーブルコインによる賃金決済を要求し、その後それをマネーロンダリング中間人の口座へ振り込む。

さらにハッカーは巧みに公的チェーンネットワークを利用してマルウェアのコマンドを隠匿し、これにより高耐災性・封鎖抵抗性のコマンド＆コントロール（C2）中継インフラを構築している。

Chainalysisは北朝鮮関連サイバー犯罪の追跡をどのように支援するのか？

Chainalysisは24時間体制でオンチェーン資金軌跡の深度分析を行い、北朝鮮ハックおよび影の実体が非法資金の受取、移転、回収、洗浄の方法経路を正確に識別する。

このようなブロックチェーンデータインテリジェンスは、セキュリティ調査員および業界機関が盗難資産の行方を追跡し、マネーロンダリング中間人ネットワークを特定し、制裁コンプライアンス調査に証拠支えを提供することを支援し、重要な節において生態系パートナーと協力し全力を尽くして盗難資産を凍結する。