北朝鮮

朝鮮のハッカー組織 WaterPlum は、暗号通貨、AI、及び NFT 会社の採用担当者を装い、ソフトウェア開発者や IT 従事者に対して、プログラミングタスクやビデオ会議の修正ファイルに見せかけたマルウェアを配布しています。この組織は、100 以上の国で少なくとも 3 万台のデバイスを感染させ、2025 年 12 月から 2026 年 7 月にかけて 7000 以上の暗号通貨ウォレットから資金やアカウント情報を引き出し、少なくとも 1070 万ドルを盗みました。

フォーブスの報道によると、アメリカ連邦捜査局（FBI）と日本警察庁（NPA）を含む多国籍機関が共同で発表した警告によれば、北朝鮮に関連するハッカー組織WaterPlum（別名Contagious Interview）が2025年12月から2026年7月まで、AI、暗号通貨、またはNFT分野の企業に偽装して虚偽の職を提供し、世界中のIT開発者に対して攻撃を仕掛けています。攻撃者はソーシャルメディアや求人プラットフォームで求職者に接触し、技術面接やプログラミングテストを理由に悪意のあるファイルをダウンロードさせるよう誘導し、成功裏に3万台以上のデバイスを感染させ、100以上の国と地域に広がり、7000以上の暗号財布からデータを盗みました。関連する資金は少なくとも1071万ドルが攻撃者が制御する財布に流入しています。

日本警察庁はFBI、ASD/ACSC、BNDおよびBfVと共同で警報を発表しました。北朝鮮背景のネットワーク攻撃組織「WaterPlum」（別名 Contagious Interview）が求職者をターゲットにし、AI、暗号資産およびNFT企業を装って虚偽の求人情報を発信し、求職者にBeaverTail、InvisibleFerret、OtterCookieなどのマルウェアを含むNPMパッケージをダウンロードさせ、暗号資産ウォレット情報や機密データを盗み取っています。2026年7月までに、この組織は世界100カ国以上で3万台を超えるデバイスを感染させ、7000件以上の暗号資産ウォレット情報を盗み、彼らが管理するウォレットには少なくとも約17億円（約1071万ドル）の暗号資産が集まっています。日本警察庁は国内で初めて、地元の「支援者」によって設立された「ノートパソコンファーム」を発見し、北朝鮮のIT労働者がリモートで支援者の住居内のPCを操作して業務を受けており、関連する事件の金額は数億円に達しています。警察庁とFBIは、WaterPlumおよび一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局の統一指揮を受けており、得られた収益は直接北朝鮮の国家資金プールに流入していると評価しています。警察はIT技術者および企業発注者に対し、警戒を強化し、未確認の環境で第三者のコードを実行しないように注意を促しています。

Cointelegraph の報道によると、Chainalysis の報告は、過去 12 ヶ月間に攻撃者が公共ブロックチェーン上に悪意のあるソフトウェアの指示やインフラ情報を保存する回数が 420% 増加したことを示しています。国家背景のハッカーは、四半期ごとに約 3 分の 2 の新たな活動を寄与しています。Chainalysis は、以前は特定されていなかった Tron、Aptos、および BNB Smart Chain の活動を北朝鮮背景の組織 UNC5342 に関連付けています。報告書は、Tron と Aptos の取引におけるコーディングポインタが感染したデバイスを同じ BSC 取引に導くことを示しており、その取引にはリモートアクセスとデータ窃取インフラに接続するための暗号化されたサーバーアドレスと設定データが含まれています。公共ブロックチェーン上の情報は、ドメイン名、サーバー、またはコードリポジトリが閉鎖された後でもアクセス可能であり、悪意のあるソフトウェア活動の持続性を高めています。2025 年には、北朝鮮のハッカーが EtherHiding という類似の技術を使用して、スマートコントラクトに盗難コインコードを埋め込んでいました。さらに、2025 年 7 月以降、悪意のあるブロックチェーンへの書き込み量が 440% 増加しました。その時、高容量のオープンソース中国 AI モデルが悪意のあるコードを生成する能力を持ち始めました。Chainalysis のネットワーク犯罪研究責任者である Eric Jardine は、明確な時間的関連を発見したと述べていますが、攻撃者がこれらのモデルを使用したことを証明することはできませんでした。Chainalysis は、イラン情報省に関連する可能性のある脅威行為者を特定し、ビットコインブロックチェーンにコーディングされたコマンドと制御ルーティングデータを書き込み、中本聡と歴史的に関連のある有名なアドレスに小額の支払いを送信しました。このアドレスは攻撃者とは無関係であり、感染したデバイスが更新指示を取得するための恒久的な公共の場所として機能します。

NBCの報道によると、北朝鮮はイラン、レバノンなどの第三国からの遠隔ITスタッフを利用して、アメリカ企業に浸透し、武器計画の資金を調達している。アメリカおよび複数の外国機関が7月に発表した警告では、北朝鮮のITスタッフが「契約を結ぼうとしており、給与を北朝鮮の関連機関に送金する意図がある」と指摘しており、同時に企業に内部的な脅威をもたらし、データ漏洩、暗号通貨の盗難、敏感情報の窃取に関与している。アメリカなどの政府が反制を強化する中、北朝鮮はますます多くの第三国のITスタッフを利用して求職面接を行い、仕事の契約を得た後、関連するポジションは通常北朝鮮の工作員が引き継ぐと報じられている。これらの外国のITスタッフはLinkedInでスカウトされ、一部は月に約500ドルの暗号通貨を受け取り、「面接アシスタント」としてパートタイムで働いている。Cointelegraphは5月にサイバーセキュリティ会社CrowdStrikeのデータを引用し、北朝鮮に関連する国家ハッカーおよび脅威行為者が2025年に引き起こした暗号通貨の損失が20億ドルを超え、前年比51%増加したと報じた。韓国中央銀行は、世界的な制裁に直面しながらも、北朝鮮の2025年のGDPが3.5%成長すると見込んでいる。

韓国聯合ニュースによると、アメリカのワシントンD.C.の連邦裁判所は、北朝鮮の海外IT労働者によるマネーロンダリングに関連するウォレット資産を押収するよう命じました。これには158,123 USDCと54,574 USDTが含まれ、総額は約21.27万ドルです。アメリカ司法省は、合計774万ドルの北朝鮮関連の暗号資産の押収を求めています。

Arkham のブロックチェーンデータによると、北朝鮮国家支援のハッカー組織 Lazarus Group に関連するウォレットが、過去三週間で分散型永続契約取引プラットフォーム Hyperliquid 上で 3000 万ドル以上のビットコインを売却し、その資金をイーサリアムやソラナの購入に使用し、その後 Kraken、LBank、KuCoin などの中央集権取引所に移転した。Kraken は、業界をリードするコンプライアンスプログラムを維持し、制裁対象のウォレットに関連する資産を特定し阻止するためにオンチェーン活動を継続的に監視していると述べた。LBank と KuCoin は、関連するリスクは業界全体が直面する継続的な課題であり、公開されたオンチェーンデータが必ずしもプラットフォームレベルのコンプライアンス措置を反映しているわけではないと強調した。この事態が発生する中、トランプ政権は Hyperliquid を規制されたアメリカの金融システムに組み込むことを模索している。トランプは今月初めのホワイトハウスのイベントで、アメリカ商品先物取引委員会の委員長 Mike Selig が Hyperliquid をアメリカに完全にコンプライアンスを持って導入するための道筋を策定していると述べた。ブルームバーグの報道によれば、Kraken の親会社 Payward は Hyperliquid Labs とアメリカのトレーダーに永続契約を提供するための詳細な交渉を行っている。Hyperliquid は分散型永続契約分野の主導プラットフォームであり、ユーザーは従来のブローカーアカウントや KYC チェックなしで暗号ウォレットを直接接続して取引できる。DefiLlama のデータによると、その累積永続契約取引量は 5 兆ドルを超え、現在の未決済契約は約 133 億ドルである。

Cryptopolitan の報道によると、攻撃者はサプライチェーン攻撃を通じて、広く使用されている Rust コードパッケージの悪意のあるバージョンを 3 つ公開しました。その中で、arrayref というライブラリは約 4 分の 3 の Rust 開発環境で使用されています。悪意のある更新は、ユーザーがプロジェクトをコンパイルする際に自動的にログイン情報を盗むバックドアを隠しており、影響を受けたバージョンをコンパイルしたユーザーは、コンピュータやキーが露出している可能性があります。Wiz の研究者は、arrayref 攻撃のコマンドと制御のパスが、北朝鮮のハッカー組織 Sapphire Sleet および UNC1069 が使用している Mastra 行動と重なっていることを指摘しています。IP アドレスは同じセキュリティ証明書を共有し、同じホスティング業者 Hostwinds を使用しています。攻撃者は、人気のある proc-macro2 を模倣したスペルミスの proc-macro1 依存関係を追加しただけで、元のコードを変更せず、テストとビルドを通過させました。攻撃は公開から 86 分後に削除されましたが、大量にダウンロードされていました。影響を受けたパッケージは Solana および Ethereum ツールで広く使用されています。Rust チームは、メンテナが悪意のない行動をしていると考えており、そのデバイスや資格情報が侵害された可能性があります。

Cointelegraph の報道によると、サイバーセキュリティ会社 BCA LTD の創設者 Mauro Eldritch と Telefónica Tech のネットワーク脅威インテリジェンスアナリスト Heiner García が共同で偽の暗号スタートアップ「Ballena Azul」を設立し、疑わしい北朝鮮の IT 労働者を制御された仮想デスクトップ環境で最大五週間働かせ、その行動を全て監視することに成功した。調査によると、関連する労働者が使用していた外部サーバーは、以前に InvisibleFerret、BeaverTail、OtterCookie などのマルウェアを配布していた北朝鮮のネットワーク作戦インフラと関連があることが示されている。また、労働者は ChatGPT を利用したプログラミングや Google Gemini による偽の身分証明書の作成に大きく依存していた。研究者は、北朝鮮の IT 労働者がアメリカの身分を偽造してリモートワークを得て、その報酬が最終的に平壌政権の大量破壊兵器プロジェクトに流れ込んでいると指摘しており、アメリカ財務省のデータによれば、このような計画は 2024 年に北朝鮮に約 8 億ドルの収入をもたらすとされている。

加密通貨取引所 Bybit は、アメリカ合衆国コロンビア特別区連邦地方裁判所に民事訴訟を提起し、北朝鮮、北朝鮮偵察総局およびハッカー組織 Lazarus Group を訴えています。この事件は、2025 年 2 月に約 15 億ドルが盗まれた事件に関連しています。Bybit は、裁判官が初期の禁止命令を承認し、事件の審理中に特定された盗まれた資産の移転または処分を禁止したと述べており、実体問題に関して Bybit が勝訴する可能性が高いと考えています。訴訟は、関連資金を保有または移転する未知の個人および団体を John Doe 被告として列挙しています。Bybit は、約 4840 万ドルが回収され、約 3050 万ドルが 28 以上の取引所および保管機関で凍結されていることを明らかにしており、両者は合計で盗まれた金額の約 5% を占めています。攻撃者は 2025 年 2 月に Bybit のコールドウォレットから約 50 万 ETH を移転し、その大部分の資金はその後 Thorchain を介してビットコインに交換され、ミキシングサービスを通じて移転されました。Bybit は、この事件が刑事調査と並行して進行していると述べています。

暗号通貨取引所 Bybit は、朝鮮民主主義人民共和国、その情報機関である偵察総局（RGB）、および国家制裁を受けたハッカー組織 Lazarus Group に対して、15 億ドルのハッキング事件に関する民事訴訟を提起しました。アメリカ連邦裁判所は、訴訟期間中にこの事件に関連する特定された資産を移転または消失させることを禁止する仮差止命令を発令しました。

Wired の報道によると、北朝鮮のハッカー組織のシステムに近く2年間潜伏していたセキュリティ研究者が警告を発し、個人の従業員や契約者に対する攻撃手段が非常に効果的で影響範囲が広いことを指摘し、世界中の多くの組織が侵入を受けていると述べています。ギリシャのサイバーセキュリティ研究者 Vangelis Stykas は、22ヶ月前に北朝鮮のシステムへのアクセス権を取得して以来、57カ国の1,640社が北朝鮮のハッカー活動の影響を受けていることを示す証拠を発見したと述べています。その中で約700から800の影響を受けた組織が「非常に破壊的な」侵入を受けています。

韓国メディア Daily NK の報道によると、北朝鮮当局は7月12日にエリートハッカー集団を逮捕しました。この集団は北朝鮮中央銀行と外貿銀行の内部ネットワークに侵入し、国家貿易資金を盗み、暗号通貨を通じてマネーロンダリングを行った疑いがあります。情報筋によれば、集団のリーダーは北朝鮮の情報総局傘下のサイバー戦部隊の退役軍人で、金策工業大学と平壌科技大学の天才IT卒業生をリクルートし、暗号通信と無線機器を利用して犯行を行っていました。彼らは盗まれた資金を小額に分割して海外の暗号財布に転送し、仲介者を通じて現金に換え、さらに国境地域でドルなどの資金に換えました。平壌の官僚は外国通貨の支払い承認に異常があり、海外IPのアクセス記録を発見した後、調査を開始し、最終的に安全な家を襲撃してマネーロンダリングを行っていた容疑者を逮捕し、数十万ドルの機器を押収しました。この事件は平壌のエリートや軍関係者の間に衝撃を引き起こし、情報総局や科学教育界の高官たちは巻き込まれることを懸念しています。北朝鮮は以前からLazarus Groupなどのハッカー組織を通じて数十億ドルの暗号資産を盗んだと長い間非難されてきましたが、今回の事件は国内の金融システムも内部攻撃の標的になったことを珍しく示しています。

Protos の報道によると、AI ショッピング代理開発者 ORO は、北朝鮮のハッカー攻撃による約 63 万ドルの損失を明らかにしました。攻撃者は侵入した Telegram アカウントを通じて ORO の従業員に偽の Microsoft Teams リンクを送り、悪意のある拡張機能をインストールさせ、約 1 ヶ月間データを盗み続けた後、7 月 13 日に 14.7 万枚の Alpha トークンを盗みました。ORO は、この攻撃が北朝鮮のハッカー組織 Sapphire Sleet から来たものであると強く確信しています。ORO は同時に、自社にセキュリティの不備があったことを認めています。Bittensor プロトコルがハードウェアウォレットのサポートが不十分であるため、会社は「一時的に」所有者の鍵をソフトウェアウォレットに設定し、ハードウェアウォレットを優先する内部原則に反して、鍵が侵入したコンピュータから盗まれる結果となりました。ORO は、取引所、法執行機関、Bittensor エコシステムのパートナーと協力して盗まれた資産を取り戻す努力をしており、サブネットは完全に正常に稼働しており、他のウォレット、ユーザーデータ、検証者の署名鍵には影響がないと強調しています。

Cointelegraph の報道によると、Consensys は今年の初めに「信頼できる第三者サービスプロバイダー」を通じてソフトウェア開発者を導入しましたが、調査の結果、その開発者が北朝鮮と関連していることが判明しました。この開発者は Tyler Knapp という偽名で Consensys システム内に約1ヶ月間アクセス権を持っていました。Consensys の最高法務責任者 Matt Corva は、この開発者は Consensys の従業員ではなく、コンサルタントとして協力していたと述べています。会社は脅威を発見した後、直ちにアクセス権を終了し、全面的な調査を開始しました。その結果、資産やデータが盗まれたことはなく、悪意のあるコードが展開されることもなく、ユーザーの安全は影響を受けていないことが確認されました。Consensys は、エンジニアリングおよび開発業務のアウトソーシングの実践を再評価することを表明しました。

七カ国グループのリーダーは、フランスのエヴィアン・レ・バンで開催されたG7サミットで声明を発表し、再び北朝鮮の暗号通貨の盗難とサイバー犯罪に対する共同対策を呼びかけました。国連の安全保障研究者は、北朝鮮の暗号通貨の盗難を同国の武器計画の資金調達と関連付けています。これまでに、北朝鮮のハッカーに関連すると思われる攻撃には、4月のDrift Protocolに対する2.85億ドルの攻撃や、6月のHumanity Protocolに対する3600万ドルの破壊が含まれています。Chainalysisのデータによると、北朝鮮のハッカーは2025年までに少なくとも20億ドルの暗号通貨を盗み、その歴史的な盗難総額は少なくとも67.5億ドルに達しています。

HumanityはQuantstampの独立調査報告を発表し、その中でHトークンのセキュリティ事件において攻撃者が北朝鮮のハッカーの特徴を持つツールと手法を使用し、フィッシングメールでBithumb取引所を装ってコミュニケーションを行い、プロジェクトの取締役に悪意のある添付ファイルをクリックさせ、そのデバイスにリモートコントロールのトロイの木馬を展開し、最終的に完全なデスクトップ制御権限とウォレットの秘密鍵を取得したことが明らかになりました。その後、イーサリアムとBNBチェーン上でオンチェーン攻撃を行い、イーサリアム側では秘密鍵を盗んで契約をアップグレードし、約1.4118億枚のHを移転し、BSC側ではProxyAdmin契約を乗っ取り、新たなトークンを鋳造しました。盗まれた資産はその後、UniswapとPancakeSwapで約8時間にわたり継続的に売却され、流動性と市場価格に明らかな影響を与えました。現在、イーサリアム側のHトークン契約は凍結されており、メインネットブリッジには影響がありませんが、BSCのデプロイは攻撃者に制御されており、依然として鋳造権限を持っています。チームは取引所およびセキュリティ関係者と協力して、今後の処置と復旧計画を進めており、ユーザーには偽の「補償/受け取り」リンクに注意するよう警告しています。また、今後の進展については公式チャンネルを通じて発表することを示しています。以前、Humanity Protocolは攻撃を受け、Humanity財団のメンバーの秘密鍵が漏洩し、3100万ドル以上の資金が盗まれました。

Cryptopolitan の報道によると、ネットワークセキュリティアナリストは RemotePE と呼ばれる新しいファイルレスリモートアクセス型トロイの木馬 (RAT) を発見しました。北朝鮮に関連すると考えられているサイバー犯罪組織 Lazarus Group がこのトロイの木馬を利用して銀行や暗号通貨会社を攻撃しています。このトロイの木馬は完全にメモリ内で実行され、従来のウイルス対策やフォレンジックツールでは検出が困難です。攻撃者は Telegram を通じて取引会社の従業員を装い、偽の Calendly や Picktime のリンクを使用してソーシャルエンジニアリング攻撃を行います。マルウェアは DPAPILoader、RemotePELoader、RemotePE の三段階でチェーンロードされ、全プロセスはファイルシステムに触れず、プロセスの掘り空け、逆解析チェック、暗号化された C2 通信を利用して検出を回避します。このマルウェアは 2025 年 9 月に初めて発見されました。2026 年の最初の 4 ヶ月間で、Lazarus 組織は約 5.77 億ドルの暗号資産を盗み出し、これは世界の暗号盗難総額の 76% に相当します。2017 年以来、この組織が累計で盗んだ金額は 60 億ドルに達しています。

Cointelegraph の報道によると、サイバーセキュリティ会社 CrowdStrike が発表した報告書は、2025 年に北朝鮮のハッカーと脅威行為者によって引き起こされる暗号資産の損失が 20 億ドルを超え、前年比 51% 増加すると示していますが、攻撃の回数は減少しています。CrowdStrike は、北朝鮮のハッカーが暗号通貨ユーザーに対する最大の脅威組織であり、盗まれた資金はほぼ確実にこの政権の軍事計画を資金提供するために使用されていると述べています。攻撃者は高価値のターゲットを優先的に狙い、主に Web3 プロジェクトと暗号通貨取引所を対象としています。なぜなら、盗まれた資金は匿名で現金化および移転しやすいからです。今年の 4 月、イーサリアム財団は 100 名の北朝鮮のハッカーを特定し、Drift Protocol が北朝鮮の技術者によって侵入され、2.8 億ドルの損失を引き起こしました。これらの脅威行為者は、第三者の仲介を通じて対面での関係を構築しています。

Web3 セキュリティ会社 CertiK は『Skynet 北朝鮮暗号脅威報告書』を発表しました。データによると、2016 年から現在まで、北朝鮮のハッカー組織は約 675 億ドルのデジタル資産を略奪してきました。2025 年だけで、その盗難事件による損失は 206 億ドルに達し、世界の暗号業界全体の年間総損失の約 60% を占めています（その中には 15 億ドルの Bybit 盗難事件が含まれています）。2026 年初頭まで、この脅威の傾向は続いており、損失の割合は約 55% です。報告書は、北朝鮮のハッカーの攻撃パターンが根本的に変化していることを強調しており、単なるコードの脆弱性の利用から、社会工学、深層サプライチェーン攻撃、そして「物理的浸透」を組み合わせた国家レベルの攻撃体系へと進化しています。最近の Drift プロトコル事件では、攻撃者は半年間オフラインの業界会議に潜伏し、実際の資金と人間関係を通じて信頼を築いた後に攻撃を実行しました。CertiK のセキュリティ専門家は、このレベルの体系的な攻撃に直面した場合、単純な技術的防御線はもはや弱体化していると警告しています。暗号機関は「ゼロトラスト」採用モデルを全面的に実施し、第三者のサプライチェーンを強化し、資金のサーキットブレーカーを設定し、専門のセキュリティ機関と連携してコード監査、24 時間リスク監視、オンチェーンのマネーロンダリング防止/KYT（取引を知る）資金追跡をカバーする全ライフサイクル防御体系を構築する必要があります。