北朝鮮

韓国聯合ニュースによると、マイクロソフトの脅威インテリジェンスチームは、8つの北朝鮮ハッカー組織のAI応用レベルを分析しました。そのうち3つは「運用固化」段階に入り、これは4段階の中で最高レベルです。さらに4つの組織は「加速」段階にあり、1つは「拡張」段階にあります。1つの組織は8月から9月にかけて、韓国のユーザーを対象に100以上のカスタマイズされたPDFフィッシング文書を生成し、一部の文書は数分で数十件を一括で作成できました。韓国のセキュリティ企業Geniansによると、北朝鮮のハッカー組織Kimsukyは今年の8月にローカルの大規模言語モデルとRAG環境を構築し、AIコードエディタCursorの大量の使用記録を残しています。マイクロソフトの報告書では、これらの組織がインテリジェントAI浸透テストツールARTEXを使用している可能性があることも言及されています。マイクロソフトは同時に、これらの組織は完全な自律攻撃の段階には達しておらず、AIが攻撃の成功率やコストに与える実際の影響についても結論が出ていないと評価しています。アメリカのセキュリティ会社TRM Labsの分析によると、バイナンスの10のブロックチェーンウォレットから約63.6億ドルの資金が約20分で盗まれたとされ、この背後には北朝鮮の組織TraderTraitorがいると考えられています。この攻撃がAIを使用したかどうかはまだ確認されていません。

韓国聯合ニュースの報道によると、マイクロソフトの脅威インテリジェンスが29日に発表した報告書は、北朝鮮のハッカー組織が人工知能を利用して韓国のユーザーに対するサイバー攻撃を加速させていることを示しています。カスタマイズされたフィッシング文書、偽の求人、身分の偽装から、悪意のあるコードの開発やソフトウェアサプライチェーン攻撃にまで拡大しています。マイクロソフトは、8つの北朝鮮関連のハッカー組織のAIの採用レベルを評価しました。その中で3つは、四段階の中で最高の「運用定型」段階に達しており、AIを日常の攻撃プロセスに組み込んでいます。さらに4つは「加速」段階にあり、1つは「拡張」段階にあります。報告書によると、組織は今年の8月から9月にかけて、異なるターゲットに対して100以上のPDFフィッシング文書をカスタマイズして生成し、数分以内に数十件を大量に生産する事例が見られました。今年の6月8日から12日には、3社の偽装会社を利用して、AI、ブロックチェーン、サイバーセキュリティの専門家に対して偽の求人を発信するケースも発生しました。さらに、マイクロソフトは北朝鮮のハッカーがCursorなどのAIプログラミングツールを利用してコード生成、デバッグ、検出回避を支援している可能性があると分析しています。北朝鮮の情報総局傘下の「Onyx Sleet」（韓国側では安達利尔と呼ばれる）と「Pearl Sleet」は、10月下旬から実戦でオープンソースのAIペネトレーションテストフレームワークARTEXを使用しています。マイクロソフトは、上記の組織はAIを利用して攻撃の速度と効率を向上させているものの、完全に自律的な攻撃段階には達しておらず、企業に対して求職者の身分確認、フィッシング防止、悪意のあるコード検出を強化することを推奨しています。

暗号 KOL Kuai Dong（2016 年に業界入り）によると、オンチェーン追跡者 ZachXBT は、今回の攻撃でバイナンスから 58.75 億ドルを盗んだのは、北朝鮮人民軍総参謀部情報局に属する Lazarus Group であると推測しています。Kuai Dong はまた、この組織の過去の関連盗難結果を挙げています。日本の DMM 取引所から約 3 億ドル、インドの WazirX 取引所から約 2.3 億ドル、Bybit から約 15 億ドル、オンチェーンプロトコル Kelp DAO から約 2.92 億ドル、そして Bitget から約 3.8 億ドルです。彼はさらに、バイナンスはそのうち約半分の資産を回収したが、ビットコインやイーサリアムなどの回収は難易度が高いと述べ、ハッカーの最終目標は資産を北朝鮮に流入させることであるとしています。ZachXBT は関連する議論の中で、この件は北朝鮮の Lazarus Group に関係している可能性が高いと返信しました。公開情報によると、10 月 30 日前後にバイナンスの関連ホットウォレットで大規模な資産流出が発生し、クロスチェーンでの統計は約 55 億から 62 億ドルに達しています。赵长鹏は、確かにハッキングされたように見えると述べ、実際の純損失は若干 10 億ドルを超える可能性があるが、全額を補償するつもりであると述べました。

アメリカ財務省傘下の海外資産管理局（OFAC）は、10名の個人と1つの団体に制裁を発表しました。これらの対象は、北朝鮮のIT労働者がアメリカ企業を欺くことに関与しており、その収入は北朝鮮の大量破壊兵器および弾道ミサイルプロジェクトに使用されています。制裁を受けたロシア国籍のIlya Boykovは、2024年から北朝鮮のAlis社のために約350万ドルの暗号通貨を換金しています。ロシア国籍のVitold Obertasは、2025年1月から北朝鮮の官僚のために近く200万ドルの暗号通貨の換金を行っています。制裁を受けたのは、北朝鮮が管理し、ロシアに設立された団体FFTDCおよびその6名のIT労働者であり、これらの6名は2025年から75万ドル以上の収入を得ています。オーストラリアとEUも今月、同様の制裁措置を講じました。

バイナンスは、過去1週間でそのセキュリティチームが北朝鮮に関連する複数のサイバー攻撃を成功裏に特定し、阻止したと発表しました。これにより、同社のシステムが損傷を受けたり、資産が失われたりすることはありませんでした。バイナンスは、北朝鮮関連のハッカーグループが最近、「Contagious Interview」と呼ばれるソーシャルエンジニアリング攻撃を継続的に行っていることを指摘しました。この活動は、偽の採用面接、コードテスト、ソフトウェアインストールなどのシナリオを利用して、ターゲットに悪意のあるプログラムを実行させるよう誘導します。バイナンスは、ユーザーに対し、未承認のソフトウェアをインストールしたり、出所不明のコードを実行したりしないよう警告し、引き続きセキュリティ監視、脅威の特定、内部セキュリティ管理を強化していくと述べました。

Digital Asset の報道によると、安全プラットフォーム OpenSourceMalware は 10 月 21 日の番組で、北朝鮮関連のハッカー組織が Contagious Interview という手法を使用し、暗号業界の求人を餌に LinkedIn を通じて求職者に接触し、プライベートコードリポジトリへの訪問を招待し、開発タスクに必要なソフトウェアパッケージをインストールさせることを明らかにしました。攻撃者はリポジトリ内に .npmrc 設定ファイルを設定し、npm が公共レジストリではなく指定された外部ソフトウェアパッケージリポジトリから依存関係をダウンロードするようにし、インストールプロセス中に悪意のあるコードを実行する可能性があり、公開されたセキュリティスキャンで発見される確率を低下させることができます。OpenSourceMalware の共同創設者 Paul McCarty は、最近攻撃者がこのような手法を採用していることを観察していると述べました。具体的な被害者数、影響を受けた企業、またはデジタル資産の損失額はまだ公表されていません。

MTSの報道によると、北朝鮮のほぼすべての公式ウェブサイトが24時間以上接続できなくなっており、公式メディアや政府のポータルサイトも含まれています。

オンチェーン探偵のZachXBTは、ある機関が10月8日にBNBスマートチェーン（BSC）上で北朝鮮関連組織SquidSquadに約284万ドルを盗まれた疑いがあると発表しました。彼の追跡によると、攻撃者は10月20日に1,111.2枚のETHをTornado Cashに入金し、その後3つのアドレスに引き出し、USDTを通じて資金をイーサリアムからトロン（Tron）にクロスチェーンで移動させ、2つのアドレスに集めました。これらの集約アドレスは、以前に北朝鮮に帰属するとされるアドレスと資金の関連があります。資金はその後数分以内に中間アドレスを経由して中国の店頭取引業者（OTC）に流れ、ZachXBTはこの行動がテザーの潜在的な資金凍結を回避するためである可能性があると考えています。

アメリカ合衆国司法省は10月13日、北朝鮮のITスタッフが偽の身分でアメリカ企業に侵入する行動を打撃する中で、2人のアメリカ人を逮捕し、約187台のコンピュータ機器を押収したと発表しました。ペンシルベニア州出身のMichael James Bostelleとテキサス州のJuan Cecilio Pena Carrilloは、オハイオ州北地区連邦裁判所の起訴状に基づいて逮捕されました。検察は、この計画が70社以上のアメリカの雇用主に関与し、海外のITスタッフに約300万ドルの収入をもたらしたと指摘しています。2人は共謀による電気通信および郵便詐欺、共謀によるマネーロンダリング、共謀による身分盗用の罪で起訴され、Penaはさらに重罪の身分盗用でも起訴されています。機器の押収は「孤星囲捕作戦」に属し、テキサス州北地区の連邦執行機関が調整しました。9月21日から25日まで、FBIはテキサス州の40以上の疑わしい「ノートパソコンファーム」をホストしている住所を捜索し、ノートパソコンやリモートアクセス用のキーボード、ビデオ、マウス機器を押収しました。オハイオ州の起訴状によると、アメリカ国内の協力者は自宅で雇用主から配布されたノートパソコンを受け取り、リモートアクセスソフトウェアやハードウェアを通じて海外のスタッフが操作できるようにし、アメリカにいるかのように見せかけて会社のシステムにアクセスさせ、協力者は給与を受け取り、資金を海外に送金していました。起訴状では、暗号通貨が海外に資金を移転する手段の一つであることが言及されています。オハイオ州の住民Trey Michael Nolteは共謀者として名前が挙がっていますが、本件では起訴されていません。起訴状によると、彼は2024年7月8日の対話の中で、銀行口座と仮想通貨間の送金を管理するために電子スプレッドシートを使用していると説明し、その後、資金を被告のSun Sheng Mingに送金したとされています。

CoinBureau は、チェーン上の調査者 ZachXBT の言葉を引用し、疑わしい北朝鮮関連の攻撃者が Zcash を通じて Bitget から盗まれた資金を隠蔽していると述べています。約 2700 枚の ZEC、価値約 380 万ドルの資金が Zcash の Ironwood に転送され始めました。これらの盗まれた ZEC は隠蔽プールに転送されており、取引の詳細は隠すことができます。Bitget に関与する多様な資産、総額約 3.88 億ドルのセキュリティ事件の中で、約 18900 枚の ZEC、価値約 2830 万ドルが盗まれました。以前、Bitget の CEO Gracy Chen は、盗まれた資金を取り戻すことに「あまり楽観的ではない」と述べていました。

Insurance Journal の報道によると、ブロックチェーン分析会社 Elliptic は、50 件以上の北朝鮮に関連するセキュリティ事件を追跡しており、今年に入ってからの盗まれた資金は約 12 億ドルに達しています。一部の Bitget で盗まれた資金は、昨年の Bybit 取引所での 15 億ドルの盗難事件と関連するアドレスが重複しており、オンチェーンのマネーロンダリングパターンは初期的に、今回の Bitget 事件はハッカー組織 TraderTraitor によるものであることを示しています。

チェーン分析者Specterの監視によると、北朝鮮は複数のチェーン上で資金を洗浄しており、dYdX、Noble、Osmosisなどの基盤チェーンも含まれており、dYdX上で永続的な契約ポジションを開設しています。

GoPlus Security は X プラットフォームで、THORChain の資金流出は検証者が TSS 閾値署名を通じて自発的に署名する必要があり、ビットコインやイーサリアムとは異なると発表しました。Bitget から盗まれた資金の中には、約 101.5 BTC（約 850 万ドル）がすでに転送されており、さらに約 2763 万 XRP（約 4300 万ドル）が BTC に交換されているため、北朝鮮関連のアドレスを遮断するよう呼びかけています。

チェーン上の探偵 Specter の監視によると、資金の流れを追跡することで、北朝鮮のハッカー集団 Lazarus Group が Bitget の盗難事件の背後にいる可能性があることがわかりました。この事件は、今年の 7 月に発生した AFX 攻撃と関連があり、後者は約 2400 万ドルの損失を引き起こし、Lazarus Group に関連する TraderTraitor に帰属しています。Bitget で盗まれた XRP はクロスチェーンを経て、関連する資金の流れが AFX 攻撃で盗まれた資金に直接関連付けられます。

BitgetのCEO、Gracy Chenはプラットフォームのセキュリティ事件に関するライブQ&Aで、初期調査の結果、一部の関連IPアドレスがある北朝鮮のハッカー組織が使用しているVPNサービスと一致していることがわかり、攻撃のパターンも北朝鮮のハッカーの以前の行動に似ているため、この組織が約3.516億ドルに関わる攻撃に関与している可能性を排除できないと述べました。関連する帰属はまだ初期調査段階にあります。Gracy Chenは、Bitgetは現在、この事件が内部の人間によるものとは考えていないと述べました。攻撃者はプラットフォームのシステムに直接侵入し、資金を移転しましたが、ユーザーの出金リクエストを偽造することはなく、コールドウォレットやホットウォレットの秘密鍵を取得することもありませんでした。調査員は、具体的に影響を受けたシステムや攻撃者の侵入方法を確認しています。

朝鮮のハッカー組織 WaterPlum は、暗号通貨、AI、及び NFT 会社の採用担当者を装い、ソフトウェア開発者や IT 従事者に対して、プログラミングタスクやビデオ会議の修正ファイルに見せかけたマルウェアを配布しています。この組織は、100 以上の国で少なくとも 3 万台のデバイスを感染させ、2025 年 12 月から 2026 年 7 月にかけて 7000 以上の暗号通貨ウォレットから資金やアカウント情報を引き出し、少なくとも 1070 万ドルを盗みました。

フォーブスの報道によると、アメリカ連邦捜査局（FBI）と日本警察庁（NPA）を含む多国籍機関が共同で発表した警告によれば、北朝鮮に関連するハッカー組織WaterPlum（別名Contagious Interview）が2025年12月から2026年7月まで、AI、暗号通貨、またはNFT分野の企業に偽装して虚偽の職を提供し、世界中のIT開発者に対して攻撃を仕掛けています。攻撃者はソーシャルメディアや求人プラットフォームで求職者に接触し、技術面接やプログラミングテストを理由に悪意のあるファイルをダウンロードさせるよう誘導し、成功裏に3万台以上のデバイスを感染させ、100以上の国と地域に広がり、7000以上の暗号財布からデータを盗みました。関連する資金は少なくとも1071万ドルが攻撃者が制御する財布に流入しています。

日本警察庁はFBI、ASD/ACSC、BNDおよびBfVと共同で警報を発表しました。北朝鮮背景のネットワーク攻撃組織「WaterPlum」（別名 Contagious Interview）が求職者をターゲットにし、AI、暗号資産およびNFT企業を装って虚偽の求人情報を発信し、求職者にBeaverTail、InvisibleFerret、OtterCookieなどのマルウェアを含むNPMパッケージをダウンロードさせ、暗号資産ウォレット情報や機密データを盗み取っています。2026年7月までに、この組織は世界100カ国以上で3万台を超えるデバイスを感染させ、7000件以上の暗号資産ウォレット情報を盗み、彼らが管理するウォレットには少なくとも約17億円（約1071万ドル）の暗号資産が集まっています。日本警察庁は国内で初めて、地元の「支援者」によって設立された「ノートパソコンファーム」を発見し、北朝鮮のIT労働者がリモートで支援者の住居内のPCを操作して業務を受けており、関連する事件の金額は数億円に達しています。警察庁とFBIは、WaterPlumおよび一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局の統一指揮を受けており、得られた収益は直接北朝鮮の国家資金プールに流入していると評価しています。警察はIT技術者および企業発注者に対し、警戒を強化し、未確認の環境で第三者のコードを実行しないように注意を促しています。