150億ドルの暗号通貨盗難事件の背後：チェーン上のバットマンが北朝鮮ハッカーのマネーロンダリングネットワークを暴く

原文タイトル：1.5Bドルの暗号を盗むのは簡単、現金化が罠

原文著者：Andjela Radmilac

原文翻訳：Saoirse，Foresight News

2025年2月、北朝鮮のハッカーがBybitから約15億ドルの暗号通貨を盗みました。このハッキング事件は多くの報道と分析を受けましたが、事件のその後や盗まれた資金の行方にはほとんど注目が集まりませんでした。

この巨額の不正資金を移動させるために、ハッカーは盗まれた資産を扱うことに同意する人間関係のネットワークに頼らなければなりませんでした。そして、この関係の連鎖は、十分な資金を投入すれば浸透可能です。

偽名のブロックチェーン調査員ZachXBTはこの方法を採用しました。彼は349700枚のUSDCを用意し、ある中国語のマネーロンダリングネットワークの顧客を装い、各取引で5%の損失を受け入れることにしました。彼は最終的に重要な手がかりを得て、1200万ドル以上のBybitの盗難事件に関連する資金を追跡しました。彼自身の表現によれば、これらの情報はTetherが442000枚のUSDTを凍結するのにも役立ちました。

彼の調査はマネーロンダリングネットワークを明らかにしました。彼の判断によれば、このネットワークは北朝鮮のLazarus Groupによる暗号盗難事件からの10億ドル以上の資金を洗浄しており、今回のBybit攻撃による資金も含まれています。

この調査は、アメリカ当局が過去2年間にわたり取り締まりを行ってきた大規模な違法金融サービスのブラックマーケットを指し示しています。

同年9月、アメリカ財務省はXinbi Guarantee（新币担保）に制裁を実施しました。アメリカ側は、2022年以降、この取引プラットフォームが自身のシステムを通じて240億ドル以上のデジタル資産と法定通貨の取引を処理しており、北朝鮮のハッカーがこのプラットフォームのサービスを利用している違法主体の一つであると述べました。

財務省はまた、Huione Group（汇旺集团）が制裁を受けた後、犯罪者がXinbi Guaranteeを利用して違法活動を続けたことを指摘しました。これは、単に取引プラットフォームを閉鎖するだけでは、背後にある人脈関係や犯罪の需要を根絶することができないことを示しています。

信じがたいことに、取引所を侵入し、資金を盗むことは、全体の犯罪連鎖の中では比較的簡単な段階に過ぎません。本当の難点は、盗まれた暗号通貨を法定通貨や他の実際の購買力を持つ資産に交換することです。

現金化を完了するために、ハッカーはさまざまな支払いサービスやグレーな人脈を利用しなければならず、これが調査員や規制当局に介入の突破口を残します。

349700枚のUSDCを投入した「潜入顧客」

2025年2月26日、FBIはBybitの盗難事件が北朝鮮のハッカーによるものであると認定し、作戦名をTraderTraitorとし、警告を発しました：盗まれた資産はビットコインや他の暗号通貨に変換され、数千のブロックチェーンアドレスに分散されていると。

ハッカーの身元はすぐに特定されましたが、盗まれた資金を扱う仲介機関を見つけるには、依然として多くの調査作業が必要です。

ZachXBTは、TelegramやDiscordの公開グループ内で、Bybitの盗難資金に関連する取引業務を引き受ける15以上のアカウントを発見したと述べています。これは、少なくとも一部のマネーロンダリングの段階で、仲介者が公に業務を募集し、取引を仲介していることを意味します。

彼はその中のいくつかのアカウントに連絡を取り、最終的にTelegramのニックネームがJimmy Greenの連絡先と接続しました。相手は暗号通貨のクロスチェーン移転を手伝うことができると主張しました。

ZachXBTは、2025年3月6日に新しいイーサリアムアドレスに349700枚のUSDCを転送し、その連絡先を通じてイーサリアムチェーンのUSDCをトロンチェーンのUSDTに交換したと述べています。彼はリアルな顧客の身分を形成するために、不利な交換条件を受け入れました。

この349700枚のUSDCは取引の元本であり、調査による純損失ではありません。彼は、通常のチェーン上の分析では得られない情報を得るために、各取引で5%の損失を負うことをいとわないと述べています。

この種の取引自体にもリスクが潜んでいます：仲介者が直接資金を持ち逃げする可能性があります。

ハッカーが頼る仲介者もまた、裏切りや資金の横領を行う可能性があります。強制力のある商業的保障が存在しないため、業界内の評判や個人的な関係がこの協力を維持する核心となります。

そして、これがZachXBTに浸透の機会を提供しました：サービス提供者にとって、繰り返し取引を行う顧客はより高い価値を持つのです。

この潜入関係を利用して、彼は得られた情報が財布のアドレスに限られないことを確認しました。仲介者は取引を実行する前に、彼と資金移動の計画を相談します。ZachXBTは、私的なコミュニケーションの内容を公のブロックチェーン上に残された取引記録と照合することができました。

ある時、仲介者は取引が発生する前に、資金をソラナチェーンに移動することについて彼と相談しました。その他の交換記録や財布の関連情報は、彼がBybitの盗難事件に関連する資産を特定するのに役立ったと信じられています。

これは調査の重要な転換点です：チェーン上のデータは取引行為を記録することしかできず、取引の背後にいる行為者やその真の動機を確認することはできません。取引の両者間の私的なコミュニケーション記録こそが、資金の管理者を特定し、資金の用途を明確にする核心的な証拠です。

ZachXBTの調査結果はFBIの公式記録と完全には一致しませんが、これは近年非常に重要な調査行動です。それは、単にブロックチェーンデータだけでは完了できない作業が、人間関係や商業的往来を通じて証拠として実現できることを証明しています。同様の方法は、他の暗号盗難事件の調査にも応用できると期待されています。

追跡した1200万ドル≠成功した1200万ドルの回収

ZachXBTは、Jimmy Greenとの接続を通じて、複数の公的チェーンに分散し、総規模が1200万ドルを超えるBybit関連資金の集団を特定したと述べています。

彼はまた、その後Tetherが北朝鮮のハッカー事件に関連する442000枚のUSDTを凍結したことを明らかにしました。これは、盗まれた資金が依然としてUSDTやUSDCなどの発行者によって管理されているトークンに留まっている場合、迅速に盗まれた資産を特定することが損失を回復するために重要であることを示しています。

2つのデータセットを区別する必要があります：1200万ドルを追跡したからといって、その資金がすべて凍結されたわけではありません；442000枚のUSDTが凍結されたからといって、それらのトークンがすでに押収され、Bybitに返還されたわけではありません。

442000枚のUSDTという数字、およびその凍結と今回の調査の関連は、すべてZachXBTの個人的な表現から来ています；TetherもBybitの盗難事件に対してより大規模な凍結操作を発表したことがあります。

盗まれた暗号通貨を発見し、仲介者を見つけ、盗まれた資金に対する法的または技術的な管理権を取得するまでには、大きな隔たりがあります。

公的チェーン自体は資産の再移転を防ぐことができません。一度資金が調査に協力しない、または司法管轄外のサービスプラットフォームを経由すると、状況はさらに厄介になります。

中央集権的に発行されたステーブルコインは、規制当局に介入の手段を提供します：発行者は管理権を持ち、特定のアドレスへの送金を制限できます。ネイティブのビットコインには発行者が提供する凍結メカニズムは存在しません；しかし、当局が合法的な権限を取得すれば、依然として保管機関が保管するビットコインを押収したり、対応する秘密鍵を掌握したりすることができます。

これは、調査が正確な追跡を必要とするだけでなく、発見された資金残高が技術的能力と執行権限を持つ機関の管轄内にある必要があることを意味します。

Bybitが資産回収作業を行っている間、裁判所の禁令と金融仲介の協力により、盗難が発生した後でも資産の流動を制限することができますが、全額を回収できる保証はありません。

問題は、盗まれた暗号通貨が異なる財布、公的チェーン、保管者、取引相手の間で絶えず分割・流通することです。資金が新しいプラットフォームを経るたびに、追跡者はしばしば新たに証拠を収集し、新しい法的手続きを開始しなければなりません。

これが、調査員が資金の流れを把握できる一方で、次の送金を阻止したり、盗まれた資金を取り戻したりできない理由です。

規模が40億ドルの暗号マネーロンダリング業務

外部の仲介者を利用して不正資金を洗浄することは、Bybitの盗難事件に特有の現象ではありません。アメリカの法執行記録によれば、当局は長年にわたりさまざまなグレーな業務を追跡してきました ------ これらの業務は、盗まれた暗号通貨を犯罪者が実際に使用できる資産に変換することを専門としています。

2020年3月、アメリカ司法省は2名の中国国籍の田寅寅と李家栋を起訴し、彼らが洗浄した暗号通貨の総価値が1億ドルを超えるとし、その資金の大部分が取引所のハッキング攻撃から来ていると指摘しました。

これらの告発は、たとえハッキング侵入を直接実施していなくても、仲介者が全体の犯罪連鎖の中で依然として核心的な役割を果たしていることを示しています。

財務省の制裁公告はまた、田寅寅が約140万ドルのビットコインをAppleのiTunesプリペイドギフトカードに交換したことを明らかにしました。これにより、マネーロンダリングの連鎖の末端が必ずしも複雑な国際金融サービスであるわけではなく、普通の小売のプリペイドカードも利用されることがわかります。

同様の現金化の需要は、犯罪者と決済、交換、支払いサービスプロバイダーとの取引プラットフォームで、より大規模に運営されています。

2025年5月、アメリカ財務省金融犯罪執行ネットワーク（FinCEN）は、カンボジアに本社を置くHuione Group（汇旺集团）を重点的なマネーロンダリング金融機関として指定しました。調査によれば、2021年8月から2025年1月までの間に、このグループが洗浄した違法所得は少なくとも40億ドルに達しています。

その中でFinCENは、少なくとも3700万ドルの暗号通貨が北朝鮮のネットワーク盗難から来ており、残りの不正資金はさまざまな投資詐欺やネット詐欺から来ていることを確認しました。

40億ドルは上記のすべての犯罪行為の関与総額であり；3700万ドルは、当機関が確認した北朝鮮関連の不正資金の最低評価です。

FinCENの評価報告は、このグループのマネーロンダリングおよび顧客身元確認メカニズムに深刻な欠陥があることを指摘しています。身元確認の欠如により、グループの下部機関は北朝鮮のハッカー攻撃から得た不正資金を間接的に受け取ることができました。

この調査の意義は、単一の取引に限られません。もし仲介者が持続的に支払い経路を提供できるなら、それは複数の犯罪組織が共用する犯罪インフラとなり、各犯罪組織は自ら不正資金の現金化の経路を構築する必要がなくなります。

資金がこの種のプラットフォームに大量に集まると、それらは制裁、資産押収、銀行との協力の断絶、その他の法執行行動の打撃目標となります。

Huione Groupの取引プラットフォームは膨大な取引と違法業務を引き受けました。たとえTelegramがそのネットワークの一部のチャネルを禁止しても、プラットフォームの運営者は依然として業務の運営を維持しようとしています。

プラットフォームの総取引量とFinCENが統計確認した違法所得は、統計の基準が異なり、プラットフォームを通過するすべての資金を直接証明された犯罪資金として認定することはできません。

犯罪プラットフォームは閉鎖できるが、犯罪顧客は依然として存在する

難題は、たとえ違法取引プラットフォームのインフラが破壊されても、この種の業務を生み出す犯罪の需要は消えないということです。犯罪者が他の代替サービスプロバイダーに連絡できる限り、需要は残ります。

2026年6月、アメリカ司法省はHuione Groupの子会社が使用していたクラウドサーバーのバックエンドを押収することを発表しました。これらのサーバーは、詐欺、ネット犯罪、その他の違法活動の収益を移転するために使用されていたとされています。

この行動は、アメリカ側がこのグループに対して以前に制限措置を実施した後に展開され、違法資金の移転と資産の隠蔽を支える技術的施設をターゲットにしています。

しかし、インフラを破壊することは、自動的に犯罪顧客と受注仲介者との関係を断ち切ることにはなりません。

9月9日、財務省の制裁公告はこの制限を明確に示しました：当局はXinbi Guaranteeに制裁を課しました。これは、犯罪組織と金融サービス、技術、その他のリソースを提供できる商人を仲介する違法取引市場です。

財務省は、2022年頃からXinbiが扱ったデジタル資産と法定通貨の取引総額が240億ドルを超えると述べ、主に東南アジア市場を対象にしているとしています。

このような巨大な規模は、このプラットフォームを犯罪組織の金融基盤に対する取り締まり行動の重点対象にしています。

財務省はまた、FinCENがHuioneを取り締まった後、ネットワーク犯罪者がXinbiに業務を移行し、自身の運営を維持していることを指摘しました。この新しいプラットフォームは、同じ顧客にほぼ完全に同じサービスを提供しています。

規制当局は、市場化されたグレーエコシステムを描写しています：元のチャネルが法執行によって信頼できなくなると、参加者は次のサービスプロバイダーを探し始めます。

Huioneに対する取り締まり行動の期間中、Telegramは数千のHuione Guarantee関連チャンネルを削除し、関連商人は他の代替取引プラットフォームに移動しました。

そのため、取り締まり行動の効果は、閉鎖されたウェブサイト、アカウント、サーバーの数だけで測ることはできません。犯罪顧客が依然として違法金融サービスの需要を持っている限り、運営中のサービスプロバイダーを見つけ出し、資金の流れを再構築しようとします。

もちろん、取り締まり行動は依然として犯罪コストを引き上げます。例えば、資産が凍結され、決済が失敗し、馴染みのある取引相手が消えることです。しかし、犯罪行為が利益を生む限り、資金を移動させる経済的動機は常に存在します。

法執行機関が直面するジレンマは、代替サービスプロバイダー全体の犯罪コストを引き上げ、その業務の安定性を低下させることです。

Tetherの凍結操作が暗号洗浄ネットワークを他の支払い手段に転換させる

Xinbi Guaranteeに対する法執行行動は、金融制限が犯罪活動を混乱させる可能性があることを示していますが、同時に犯罪グループが支払いチャネルを変更することを強いることにもなります。

Tetherは一連の凍結操作を実施し、少なくとも22のXinbi関連ウォレットにおいて合計4500万ドル以上のUSDTを凍結しました。

その後、この取引プラットフォームはユーザーに対し、USDDの使用に移行することを通知しました。このステーブルコインはUSDTとは異なり、発行者にはアドレス凍結権限がありません。

これは重要な転換です：関与する資金が発行者の管理下にある限り、トークンの凍結機能は調査者にとって非常に価値があります。規制を回避したい犯罪顧客は、異なる管理メカニズムを持つ資産を選ぶ傾向があります。

この事例は、支払いシステムの一部が制限されると、取引が他のチャネルに流れることを示しています。調査者は資産の行方を追跡するだけでなく、チャネルを提供するサービスプロバイダーを追及する必要があります。

9月の取り締まり行動では、当局もXinbiの関連インフラを取り締まり、5200万ドル以上の暗号通貨を押収しました。同時に、資産の引き出し速度が加速し、競合取引プラットフォームは洗浄業者の入居を制限し始めたとされています。

上記の事件は、ZachXBTが言及した北朝鮮のハッカーに関連する442,000枚のUSDTの凍結とは別の独立した事件です。公開された報道では、両者が同じアドレス、人物、または資金に関与していることを確認できません。

しかし、両方のケースは一つの点を証明しています：犯罪グループは金融仲介に高度に依存しています。元の盗難が完了しても、仲介サービスは依然として規制に介入の窓口を残します。

もしトークンの発行者が資産凍結能力を持っている場合、リスクは識別可能なアドレス内の資金残高に集中します。もし一つのプラットフォームが複数の犯罪グループにサービスを提供している場合、その弱点にはインフラ、商人の人脈、決済の手配が含まれます。

どちらの経路も、資金の移動と使用のコストとリスクを高めることができます。

取引を仲介する中間者は、より代替が難しい

ZachXBTの調査が突破口を得られた理由は、顧客関係を築くために有料の潜入捜査官を通じて取引を手配する担当者の情報を掘り出すことができたからです。

長期間にわたり盗まれた暗号通貨を扱ってきた犯罪仲介者は、業界内での評判を蓄積し、固定の取引パートナーを選別し、どのサービスが取引を完了でき、資金を押収しないかを把握します。

このような人脈関係は、犯罪運営が時間の経過とともにより効率的になることを可能にします。特に顧客が大口送金を必要とし、身元を暴露したくなく、取引相手が資金を持ち逃げすることを心配している場合です。

しかし、老舗のサービスプロバイダーが取り締まられると、この協力関係は迅速に再構築することが難しくなります。代替サービスプロバイダーは通常、料金が高く、疑わしい資金を拒否し、または業務の安定性が不足しています。

この依存関係は、調査に新たな情報源を提供します。サービスプロバイダーは、今後の取引計画、他の参加者、及び注文を完了するために必要な支払いインフラを明らかにする可能性があります。

調査者は依然として、オンチェーンの記録と他の証拠を組み合わせて情報を検証する必要があります。あるアドレスが盗難に関連する資金を受け取ったからといって、受取人が知っているわけではなく、または主観的に犯罪に関与しているわけではありません。

しかし、プライベートチャットの記録とその後のブロックチェーンの資金の流れを照合することで、情報の不確実性を減少させることができ、単に取引の流れを追跡するだけでは達成できないことです。

より多くの法執行の事例は、違法金融サービスの魅力を弱めるためには、定期的にウェブサイトを閉鎖するだけでは不十分であることを示しています。このようなビジネスを生み出す顧客群と利益動機は、ウェブサイトのサーバーが存続するよりも長く存在します。

しかし、資産を押収し、金融チャネルを断ち、サービスプロバイダーを起訴し、決済管理者を特定することは、犯罪行為のコストと利益を変えることができます。ただし、異なるサービスプロバイダーは、それぞれ異なるリスクの臨界点を持っています。

これも説明しています：暗号通貨の盗まれた総額は、犯罪者が成功裏に現金化し、浪費できる資金と等しくはありません；また、この資金が特定の軍事または国家支出に使用されたと直接的に認定することもできません。

元の盗難額、仲介アドレスの流通額、実際の購買力に成功裏に交換された額、及び法執行機関が最終的に回収した額は、相互に独立した4つの統計基準であり、それぞれ証明する必要があります。

北朝鮮のハッカーにとって、侵入行動が成功したとしても、洗浄サービスに依存することは後続のリスクをもたらします。盗まれた資産を手に入れたからといって、誰かが受け取り、交換し、最終的に消費することを保証するわけではありません。

ZachXBTの潜入行動は、この現金化の需要が顧客関係を調査の突破口に変えることができることを示しています。アメリカがHuioneとXinbiに対して行った取り締まり行動も、犯罪顧客が絶えず陣地を変えても、グレーサービスプロバイダー自体が法執行のターゲットになり得ることを証明しています。

犯罪行為の核心的な弱点は、暗号通貨を盗むことと、実際に暗号通貨を使用することが全く異なるということです。後者は依然として商業的な協力関係に依存しており、すべての参加者には保全すべき資産、評判、経済的利益があります。

北朝鮮のハッカーが不正資金を使えるお金に変えるためには、再び信頼を築く必要がある人間関係のネットワークに踏み込まなければなりません；そしてサービスを提供する中間者も、資金損失のリスクを負わなければなりません。