北朝鮮ハッカー

韓国聯合ニュースの報道によると、マイクロソフトの脅威インテリジェンスが29日に発表した報告書は、北朝鮮のハッカー組織が人工知能を利用して韓国のユーザーに対するサイバー攻撃を加速させていることを示しています。カスタマイズされたフィッシング文書、偽の求人、身分の偽装から、悪意のあるコードの開発やソフトウェアサプライチェーン攻撃にまで拡大しています。マイクロソフトは、8つの北朝鮮関連のハッカー組織のAIの採用レベルを評価しました。その中で3つは、四段階の中で最高の「運用定型」段階に達しており、AIを日常の攻撃プロセスに組み込んでいます。さらに4つは「加速」段階にあり、1つは「拡張」段階にあります。報告書によると、組織は今年の8月から9月にかけて、異なるターゲットに対して100以上のPDFフィッシング文書をカスタマイズして生成し、数分以内に数十件を大量に生産する事例が見られました。今年の6月8日から12日には、3社の偽装会社を利用して、AI、ブロックチェーン、サイバーセキュリティの専門家に対して偽の求人を発信するケースも発生しました。さらに、マイクロソフトは北朝鮮のハッカーがCursorなどのAIプログラミングツールを利用してコード生成、デバッグ、検出回避を支援している可能性があると分析しています。北朝鮮の情報総局傘下の「Onyx Sleet」（韓国側では安達利尔と呼ばれる）と「Pearl Sleet」は、10月下旬から実戦でオープンソースのAIペネトレーションテストフレームワークARTEXを使用しています。マイクロソフトは、上記の組織はAIを利用して攻撃の速度と効率を向上させているものの、完全に自律的な攻撃段階には達しておらず、企業に対して求職者の身分確認、フィッシング防止、悪意のあるコード検出を強化することを推奨しています。

Arkham のブロックチェーンデータによると、北朝鮮国家支援のハッカー組織 Lazarus Group に関連するウォレットが、過去三週間で分散型永続契約取引プラットフォーム Hyperliquid 上で 3000 万ドル以上のビットコインを売却し、その資金をイーサリアムやソラナの購入に使用し、その後 Kraken、LBank、KuCoin などの中央集権取引所に移転した。Kraken は、業界をリードするコンプライアンスプログラムを維持し、制裁対象のウォレットに関連する資産を特定し阻止するためにオンチェーン活動を継続的に監視していると述べた。LBank と KuCoin は、関連するリスクは業界全体が直面する継続的な課題であり、公開されたオンチェーンデータが必ずしもプラットフォームレベルのコンプライアンス措置を反映しているわけではないと強調した。この事態が発生する中、トランプ政権は Hyperliquid を規制されたアメリカの金融システムに組み込むことを模索している。トランプは今月初めのホワイトハウスのイベントで、アメリカ商品先物取引委員会の委員長 Mike Selig が Hyperliquid をアメリカに完全にコンプライアンスを持って導入するための道筋を策定していると述べた。ブルームバーグの報道によれば、Kraken の親会社 Payward は Hyperliquid Labs とアメリカのトレーダーに永続契約を提供するための詳細な交渉を行っている。Hyperliquid は分散型永続契約分野の主導プラットフォームであり、ユーザーは従来のブローカーアカウントや KYC チェックなしで暗号ウォレットを直接接続して取引できる。DefiLlama のデータによると、その累積永続契約取引量は 5 兆ドルを超え、現在の未決済契約は約 133 億ドルである。

HumanityはQuantstampの独立調査報告を発表し、その中でHトークンのセキュリティ事件において攻撃者が北朝鮮のハッカーの特徴を持つツールと手法を使用し、フィッシングメールでBithumb取引所を装ってコミュニケーションを行い、プロジェクトの取締役に悪意のある添付ファイルをクリックさせ、そのデバイスにリモートコントロールのトロイの木馬を展開し、最終的に完全なデスクトップ制御権限とウォレットの秘密鍵を取得したことが明らかになりました。その後、イーサリアムとBNBチェーン上でオンチェーン攻撃を行い、イーサリアム側では秘密鍵を盗んで契約をアップグレードし、約1.4118億枚のHを移転し、BSC側ではProxyAdmin契約を乗っ取り、新たなトークンを鋳造しました。盗まれた資産はその後、UniswapとPancakeSwapで約8時間にわたり継続的に売却され、流動性と市場価格に明らかな影響を与えました。現在、イーサリアム側のHトークン契約は凍結されており、メインネットブリッジには影響がありませんが、BSCのデプロイは攻撃者に制御されており、依然として鋳造権限を持っています。チームは取引所およびセキュリティ関係者と協力して、今後の処置と復旧計画を進めており、ユーザーには偽の「補償/受け取り」リンクに注意するよう警告しています。また、今後の進展については公式チャンネルを通じて発表することを示しています。以前、Humanity Protocolは攻撃を受け、Humanity財団のメンバーの秘密鍵が漏洩し、3100万ドル以上の資金が盗まれました。

CoinDesk の報道によると、Drift Protocol は 4 月 1 日に約 2.95 億ドルのセキュリティ脆弱性に対するユーザー回復計画を発表しました。この攻撃は北朝鮮支援のハッカー組織に起因しています。回復計画の核心は、確認されたユーザーの損失を表すレシートトークンを発行することであり、各トークンは 1 ドルの確認された損失を表します。保有者は、時間の経過とともに蓄積される回復プールの価値に基づいて償還することができます。回復プールの初期資金は約 380 万ドルで、取引所の収入から最大 1.275 億ドル、Tether の支援およびパートナーから最大 2000 万ドルなどの方法で増加することが期待されており、約 2.954 億ドルの総損失をカバーするまで成長します。Drift は約 336 万ドルの USDC を凍結し、資産回収の 10% に対する公開報奨金を開始しました。Drift は第2四半期に「安全優先」の取引所で再上場する予定です。法的な回収作業はまだ進行中です。

据 The Block 报道，美国司法部（DOJ）宣布，已对超 1510 万美元被朝鲜黑客盗取的 USDT 启动没收程序，并成功让 5 名协助朝鲜 IT 人员渗透美国企业的相关人员认罪。司法部指出，这批被查获的加密资产与朝鲜军事黑客组织 APT38 相关，该组织在 2023 年先后攻击四家海外虚拟货币平台。FBI 于 2025 年 3 月查封相关资金，目前正在寻求法院批准没收并返还被害方。此外，美国司法部还宣布，四名美国公民及一名乌克兰籍人士已认罪，承认曾向朝鲜 IT 人员提供被盗身份信息并代为托管公司笔记本电脑，使其伪装成在美国本土工作。这些行为帮助朝鲜 IT 人员成功渗透 136 家美国企业，为朝鲜政府带来超 220 万美元收入，并导致至少 18 名美国公民的身份被盗。

ChainCatcher のメッセージ、オンチェーン探偵 ZachXBT が投稿した内容によると、特定のクロスチェーンブリッジが「使用量の記録更新」などのデータを発表するたびに、北朝鮮のハッカー組織がそのブリッジを通じてマネーロンダリングを行っている可能性があるとのことです。彼は最近のほとんどが Bybit から盗まれた資金に関連しており、複数回のオンチェーンジャンプを利用して資金の流れを混乱させ、アドレスの審査を回避することで、実際の使用データを誇張していると指摘しています。

ChainCatcher メッセージ、「チェーン上の探偵」ZachXBT が個人チャンネルで投稿し、ある未知の被害者が 2 月 28 日に Tron 上で北朝鮮のハッカー Lazarus Group に攻撃され、約 310 万ドルの損失を被ったことを明らかにしました。資金は Tron からイーサリアムに移動され、ETH は Tornado Cash に入金される前に 10 のアドレスに分配されました。

ChainCatcher のメッセージによると、SlowMist の余弦が X プラットフォームで発表したところによれば、Safe コントラクトには問題がなく、問題はコントラクト以外の部分にあり、フロントエンドが改ざんされて偽造され、欺瞞効果を達成しているとのことです。これは個別のケースではありません。北朝鮮のハッカーは昨年、いくつかの企業を攻撃しました。例えば：WazirX 230M USDT Safe マルチシグRadiant Capital 50M USDT Safe マルチシグDMM 305M USDT Gonco マルチシグこのような攻撃手法は工学的に成熟しています。他の企業も注意が必要で、マルチシグには Safe 以外にもこのような攻撃ポイントが存在する可能性があります。

ChainCatcher のメッセージ、Slow Mist の余弦が X プラットフォームで投稿しました："今のところ明確な証拠はありませんが、Safe マルチシグの手法や現在のマネーロンダリングの手法を見ると、北朝鮮のハッカーのようです。北朝鮮のハッカー、もし私があなたたちを誤解していたら、訂正してください。謝罪します..."

ChainCatcher のメッセージ、海外 KOL Tay が X で整理したデータによると、複数のマークされた北朝鮮のハッカーアドレスが最近 Hyperliquid で取引を行っており、現在の総損失は 70 万ドルを超えています。複数のコミュニティメンバーは、これらの取引活動が北朝鮮のハッカーが Hyperliquid を潜在的なターゲットとしており、取引を実行することでシステムの安定性をテストしていることを意味するのではないかと懸念しています。

ChainCatcher のメッセージによると、Cointelegraph の報道で、Radiant Capital は 12 月 6 日に更新された調査報告書で、サイバーセキュリティ会社 Mandiant が評価した結果、今回の攻撃は北朝鮮（DPRK）に関連する脅威行為者によるものであると高度に確信していると述べています。このプラットフォームによると、Radiant の開発者の一人が 9 月 11 日に、"信頼できる前の請負業者" からの圧縮ファイルを含む Telegram メッセージを受け取り、彼らが計画している新しい仕事についてフィードバックを求められました。調査の結果、このメッセージは前の請負業者を装った北朝鮮と結びついた脅威行為者からのものである疑いがあります。"この ZIP ファイルは、他の開発者にフィードバックを求める際に共有され、最終的にマルウェアを送信し、その後の侵入を容易にしました"。Radiant Capital は、この事件に関与した脅威行為者を "UNC4736" と呼び、北朝鮮の主要な情報機関である情報総局（RGB）に関連しているとされ、ハッカーグループ Lazarus Group の一派であると推測されています。以前の報道によると、クロスチェーン貸付プロトコル Radiant Capital はサイバー攻撃を受け、5000 万ドル以上の損失を被りました。

ChainCatcher のメッセージ、Zhu Su は X プラットフォームで「暗号短編の脚本を書いています。北朝鮮のハッカーは冬にフランスの Courchevel で DeFi プロジェクトを構築しました。最初の目標は一生懸命働くことでしたが、彼は目立たないコミュニティのメンバーに恋をしました（彼がそう思っているだけかもしれません）、それ以来、すべてが変わりました。」と述べています。

ChainCatcher のメッセージによると、ロイター通信は、国連の制裁監視員が北朝鮮による数十件のサイバー攻撃事件を調査していると報じています。これらの攻撃は、北朝鮮が武器計画をさらに発展させるために 300 億ドルを調達する手助けをしました。関連する報告書は今月後半または来月初めに公開される予定です。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、暗号取引所 CoinEx が以前のハッキング事件の進展を明らかにし、秘密鍵の漏洩によりハッカーが7000万ドル以上のトークンを盗んだと述べています。しかし、この取引所は、この金額は管理している総資産のごく一部に過ぎないと主張しており、影響を受けたユーザーには全ての資金損失の全額補償が行われるとのことです。CoinEx は、依然としてセキュリティの脆弱性の責任者の特定を調査中であり、一部のブロックチェーンセキュリティ会社は攻撃者が北朝鮮のハッカー Lazarus Group であると考えています。さらに、CoinEx はハッカーとのコミュニケーションチャネルを開放しており、「双方が合意する解決策を達成するために」取り組んでいます。

ChainCatcher のメッセージによると、アメリカ国家安全保障会議の年次報告書によれば、北朝鮮のハッカーが盗んだ仮想資産は6.3億ドルから10億ドル以上に上り、この数字は2021年に盗まれた金額の2倍です。このグループは報告書の中で「北朝鮮はますます複雑化するネットワーク技術を利用して、ネットワーク金融に関わるデジタルネットワークに侵入し、武器計画を含む潜在的に価値のある情報を盗んでいる」と指摘しています。暗号ハッカーは時折追跡可能ですが、それはハッカーが犯罪の痕跡を残すかどうかに依存します。しかし、報告書によれば、基本的な暗号通貨とブロックチェーンの特性が追跡をさらに困難にしています。報告書は「不正に取得された仮想資産は、ブロックチェーンの匿名性と暗号通貨取引所を通じて資産の経路を混乱させることによって保護されています」と付け加えています。報告書の最後には、メンバー国に対して、盗まれた暗号通貨資金の増加を抑制するためにFATFのガイドラインを遵守するよう奨励しています。（出典リンク）