lazarus

バイナンスが発表した10月29日のセキュリティ事件の初期調査報告によると、攻撃は偽の採用から始まりました。報告によれば、9月にバイナンスのソフトウェアエンジニアが正規の求職プラットフォームを通じてプロジェクトディレクターを装った人物に接触され、偽のHRのビデオ面接と偽のCEOの二次面接を経て、仕事用のコンピュータに作業コードベースをダウンロードするよう要求されました。その中にはゼロデイのトロイの木馬が含まれており、端末の防護を回避しました。攻撃者はその後、侵入されたデバイスと内部のAIツールを利用して、さらに2名のウォレットエンジニアのコンピュータを制御し、デプロイメントの証明書を盗み、最終的に10月29日に悪意のあるスクリプトを実行して約630億ドルを移動させました。バイナンスは約285億ドルを凍結または遮断したと述べており、影響を受けた資産の98%を補填しました。この手法は2022年3月のAxie InfinityのサイドチェーンRoninクロスチェーンブリッジの盗難事件とほぼ完全に一致しています。当時、北朝鮮のハッカー組織LazarusはLinkedIn上で高給の職を通じて開発者Sky Mavisの上級エンジニアに接触し、複数回の面接を経てトロイの木馬を含むオファーファイルを送信し、検証ノードの秘密鍵を制御して約6.25億ドルを盗みました。バイナンスの報告書によれば、今年に入ってから北朝鮮に関連する疑わしいサイバー攻撃を57件検出し、遮断しており、その手法には偽の面接、人気の開発ツールを装ったマルウェア、改ざんされたソフトウェアパッケージやブラウザプラグインなどが含まれています。

朝中社によると、北朝鮮側はBinanceの盗難に関する声明を否定する中で、昨年アメリカが暗号通貨取引所Bybitで発生したハッキング事件の責任を北朝鮮に結びつけたことにも言及した。朝中社は、アメリカが国際世論を誤導し、世界各地で発生しているネット詐欺行為がすべて北朝鮮によるものであるという偽の印象を作り出していると述べ、これは北朝鮮に対する深刻な政治的挑発であるとした。北朝鮮は、ネット問題を政治化し、他国の内政に干渉する手段として利用しようとするあらゆる試みに断固反対し、これは北朝鮮民主主義人民共和国政府の一貫した政策立場であると述べた。朝中社はまた、国際社会が昨年アメリカの現政府が発足早々に違法に盗まれた暗号通貨資産を押収し、国家戦略備蓄として活用することを発表した事実を再考する必要があると述べた。朝中社は、盗まれた巨額の暗号通貨資金が回収された場合、誰の手に渡るのかを想像してみると、今回のハッキング事件の背後にある手がかりが見つかるかもしれないと指摘した。2025年2月21日、Bybitは大規模な盗難事件に遭い、総額約15億ドルに達した。アメリカのFBIおよび複数のオンチェーン分析機関は、その後、この事件を北朝鮮のLazarusグループ（TraderTraitor）に帰属させた。

チェーン分析師 Darkfost の統計によると、今回のバイナンス攻撃事件の発生に伴い、北朝鮮のハッカー組織ラザルスグループが盗んだ資金の総額は118.7億ドルに達しました。2025年のデータによれば、この金額は北朝鮮のGDPの45%と国民総所得の35%に相当し、その規模の驚異的なことを示しています。ただし、何度かのマネーロンダリングの過程で、一部の資金はすでに失われています。最近のバイナンス攻撃事件は、この北朝鮮ハッカー組織が最も利益を上げた事件です。

暗号 KOL Kuai Dong（2016 年に業界入り）によると、オンチェーン追跡者 ZachXBT は、今回の攻撃でバイナンスから 58.75 億ドルを盗んだのは、北朝鮮人民軍総参謀部情報局に属する Lazarus Group であると推測しています。Kuai Dong はまた、この組織の過去の関連盗難結果を挙げています。日本の DMM 取引所から約 3 億ドル、インドの WazirX 取引所から約 2.3 億ドル、Bybit から約 15 億ドル、オンチェーンプロトコル Kelp DAO から約 2.92 億ドル、そして Bitget から約 3.8 億ドルです。彼はさらに、バイナンスはそのうち約半分の資産を回収したが、ビットコインやイーサリアムなどの回収は難易度が高いと述べ、ハッカーの最終目標は資産を北朝鮮に流入させることであるとしています。ZachXBT は関連する議論の中で、この件は北朝鮮の Lazarus Group に関係している可能性が高いと返信しました。公開情報によると、10 月 30 日前後にバイナンスの関連ホットウォレットで大規模な資産流出が発生し、クロスチェーンでの統計は約 55 億から 62 億ドルに達しています。赵长鹏は、確かにハッキングされたように見えると述べ、実際の純損失は若干 10 億ドルを超える可能性があるが、全額を補償するつもりであると述べました。

"オンチェーン探偵" ZachXBT は、顧客に偽装して、北朝鮮背景のハッカー組織 Lazarus Group によるマネーロンダリングに関与している犯罪グループに浸透し、2025 年の Bybit 攻撃事件に関連する資金を凍結する手助けをしたと発表しました。ZachXBT は、2025 年 2 月に Bybit が 15 億ドルの攻撃を受けた後、Telegram と Discord の公開グループで 15 以上のアカウントが盗まれた資金に関連する取引の処理を求めているのを発見したと述べています。その後、彼は "Jimmy Green" という別名を使用している Telegram ユーザーの一人に連絡を取り、複数の取引を通じて信頼を築きました。彼の開示によれば、2025 年 3 月 6 日に、彼はあるイーサリアムアドレスに 349.7 万ドルの USDC を送金し、相手との USDC と TRON チェーンの USDT 交換取引を行いました。そのアドレスのガス資金は Bybit 攻撃資金に遡ることができ、Bybit 攻撃のブラックリストアドレスとして公開されています。ZachXBT は、その後の交流の中で、相手が自分のチームが Bybit の盗まれた資金の処理に関与していたことを明かし、資金が Solana などのチェーン上で移動することを事前に知らせてきたと述べています。取引の時間、金額、オンチェーンデータを照合することで、彼は 1,200 万ドル以上の Bybit 攻撃資金に関与するウォレットクラスターを発見しました。資金の流れには BTC→ETH→SOL→TRON などの複数のネットワークが含まれ、その中で約 44.2 万 USDT が Tether によって凍結されており、そのグループは Uniswap の流動性プールや低流動性トークンなどを通じてマネーロンダリングを試みていました。さらに、相手は他の顧客の約 300 万ドルの詐欺収益資金の処理を手助けしたことも明かし、ZachXBT は関連資金の流れが制裁を受けた Huione Guarantee に関連するウォレットに向かっていることを追跡しました。ZachXBT は、この調査で彼が最初に 349.7 万ドルの資金を投入し、各取引の約 5% の損失リスクを負ったことを明らかにし、最終的に得られた情報は関連する調査機関や法執行機関に迅速に提供されたと述べています。2022 年以来、彼は北朝鮮関連の事件に関する資金の凍結を 7,500 万ドル以上支援しています。

派盾の監視によると、NEAR Intents の攻撃者は盗まれた資金を Kucoin に移し、BTC にブリッジしています。攻撃者のアドレスは、北朝鮮の LazarusGroup としてマークされたアドレス（0x098B7...E2f96）と相互作用しています。

チェーン上の探偵 Specter の監視によると、資金の流れを追跡することで、北朝鮮のハッカー集団 Lazarus Group が Bitget の盗難事件の背後にいる可能性があることがわかりました。この事件は、今年の 7 月に発生した AFX 攻撃と関連があり、後者は約 2400 万ドルの損失を引き起こし、Lazarus Group に関連する TraderTraitor に帰属しています。Bitget で盗まれた XRP はクロスチェーンを経て、関連する資金の流れが AFX 攻撃で盗まれた資金に直接関連付けられます。

Lookonchain の監視によると、ハッカー組織 Lazarus Group は過去 2 時間で平均価格 2499 ドルで 911 枚の ETH（228 万ドル）を売却しました。

Lookonchain の監視によると、Lazarus Group のハッカーが 244.148 ビットコインを移転し、価値は 1942 万ドルです。

加密通貨取引所 Bybit は、アメリカ合衆国コロンビア特別区連邦地方裁判所に民事訴訟を提起し、北朝鮮、北朝鮮偵察総局およびハッカー組織 Lazarus Group を訴えています。この事件は、2025 年 2 月に約 15 億ドルが盗まれた事件に関連しています。Bybit は、裁判官が初期の禁止命令を承認し、事件の審理中に特定された盗まれた資産の移転または処分を禁止したと述べており、実体問題に関して Bybit が勝訴する可能性が高いと考えています。訴訟は、関連資金を保有または移転する未知の個人および団体を John Doe 被告として列挙しています。Bybit は、約 4840 万ドルが回収され、約 3050 万ドルが 28 以上の取引所および保管機関で凍結されていることを明らかにしており、両者は合計で盗まれた金額の約 5% を占めています。攻撃者は 2025 年 2 月に Bybit のコールドウォレットから約 50 万 ETH を移転し、その大部分の資金はその後 Thorchain を介してビットコインに交換され、ミキシングサービスを通じて移転されました。Bybit は、この事件が刑事調査と並行して進行していると述べています。

暗号通貨取引所 Bybit は、朝鮮民主主義人民共和国、その情報機関である偵察総局（RGB）、および国家制裁を受けたハッカー組織 Lazarus Group に対して、15 億ドルのハッキング事件に関する民事訴訟を提起しました。アメリカ連邦裁判所は、訴訟期間中にこの事件に関連する特定された資産を移転または消失させることを禁止する仮差止命令を発令しました。

Lookonchain の監視によると、Lazarus Group のハッカーが1時間前に121.5 BTC（774万ドル）を移転しました。

Cryptopolitan の報道によると、ネットワークセキュリティアナリストは RemotePE と呼ばれる新しいファイルレスリモートアクセス型トロイの木馬 (RAT) を発見しました。北朝鮮に関連すると考えられているサイバー犯罪組織 Lazarus Group がこのトロイの木馬を利用して銀行や暗号通貨会社を攻撃しています。このトロイの木馬は完全にメモリ内で実行され、従来のウイルス対策やフォレンジックツールでは検出が困難です。攻撃者は Telegram を通じて取引会社の従業員を装い、偽の Calendly や Picktime のリンクを使用してソーシャルエンジニアリング攻撃を行います。マルウェアは DPAPILoader、RemotePELoader、RemotePE の三段階でチェーンロードされ、全プロセスはファイルシステムに触れず、プロセスの掘り空け、逆解析チェック、暗号化された C2 通信を利用して検出を回避します。このマルウェアは 2025 年 9 月に初めて発見されました。2026 年の最初の 4 ヶ月間で、Lazarus 組織は約 5.77 億ドルの暗号資産を盗み出し、これは世界の暗号盗難総額の 76% に相当します。2017 年以来、この組織が累計で盗んだ金額は 60 億ドルに達しています。

OpenSourceMalwareの研究によると、北朝鮮のハッカー集団Lazarusは「感染性面接」や「TaskJacker」などの開発者を狙った悪意のある活動に新しい手法を採用し、第二段階のローダーをGit Hooksのpre-commitスクリプトに隠しています。「感染性面接」は、この組織が偽の暗号通貨/DeFi分野の採用プロセスを通じて、開発者を悪意のあるコードリポジトリをクローンさせる一連の攻撃活動であり、最終的に暗号資産や資格情報を盗みます。研究者は、面接プロセスの一環としてコードリポジトリをクローンするよう求められた開発者に対し、このようなリスクに警戒するように勧めており、個人のブラウザ設定、SSHキー、暗号ウォレットをマウントしないように、隔離された環境で実行することを推奨しています。

CoinDeskによると、CertiKの監視によれば、Lazarusグループは金融テクノロジーおよび暗号通貨業界の幹部を対象に「Mach-O Man」と呼ばれる攻撃を展開しています。この操作はClickFixのソーシャルエンジニアリング技術を利用し、虚偽のオンライン会議招待を送信することで、被害者にMac端末で修復指令を貼り付けさせ、会社および財務システムへのアクセス権を取得します。CertiKの研究者ナタリー・ニューソンは、Lazarusグループが過去2週間でDriftとKelpDAOを通じて5億ドル以上を盗んだと述べています。Mach-O ManはLazarusグループの傘下にあるChollima部門によって開発されたモジュラーmacOSマルウェアツールキットで、使用後に自動的に削除され、検出を回避します。さらに、攻撃者はDeFiプロジェクトのドメイン名をハイジャックし、虚偽のCloudflareメッセージに置き換える方法でこの攻撃を実施しています。

AhnLab が発表した『2025年ネットワーク脅威トレンドと2026年セキュリティ展望』レポートによると、北朝鮮背景のハッカー組織 Lazarus が過去12ヶ月で最も多く言及されており、主に「標的型フィッシング」を利用して攻撃を実施し、講演会の招待や面接のリクエストなどのメールに偽装してターゲットを誘導しています。レポートでは、Lazarus が今年2月21日の Bybit のハッキング事件（損失14億ドル）や最近の韓国取引所 Upbit の3000万ドルの脆弱性攻撃など、複数の重大な攻撃の主要な容疑者と見なされていると述べています。AhnLab は、セキュリティを向上させるために、企業は定期的なセキュリティ監査、迅速なパッチ更新、従業員教育の強化を含む多層防御システムを構築する必要があると述べています。同社はまた、個人ユーザーに対して多要素認証の使用、未知のリンクや添付ファイルの慎重な取り扱い、個人情報の過度な露出の回避、公式チャネルからのみコンテンツをダウンロードすることを推奨しています。AhnLab は、AI アプリケーションの普及に伴い、攻撃者が識別が難しいフィッシングメール、偽装ページ、ディープフェイクコンテンツを生成しやすくなるため、今後関連する脅威がさらに複雑化する可能性があると指摘しています。（Cointelegraph）

Upbitで約445億ウォン（約3600万ドル）の暗号資産が盗まれた件についてCryptoQuantのCEO、Ki Young Juは本日、Upbitが公表した攻撃方法は「ほぼ普通のハッカーには実行不可能」と指摘しました。Upbitは以前、攻撃者がユーザーのウォレットアドレスのパターンを分析することで「秘密鍵を推測」した可能性があると述べました。Ki Young Juは、この種の攻撃技術の難易度が非常に高いと明言し、もし事実であれば「北朝鮮のLazarusを除いて、他のハッカー組織がこれを実行できるとは疑っています」と述べました。

韓国の仮想資産取引所 Upbit がハッカー攻撃を受け、445億ウォンの仮想資産が盗まれたと、韓国聯合ニュースが報じています。現在、北朝鮮の情報総局傘下のハッカー組織 Lazarus Group がこの事件の背後にいると強く疑われています。現地時間、韓国聯合ニュースは情報通信技術（ICT）業界および韓国政府の関連部門から、北朝鮮の情報総局に属するハッカー組織 Lazarus Group が大きな犯行の疑いがあるため、当局が Upbit に対して現場検査を行っていることを確認しました。このハッカー組織は、2019年に Upbit から580億ウォン相当のイーサリアムを盗んだ事件に関与したとされています。政府関係者は「今回の攻撃はサーバーを狙ったものではなく、管理者アカウントを盗まれたか、管理者になりすまして資金移動が行われた可能性が高い」と述べています。また、「現在把握している状況から判断すると、6年前のハッカーもこの方法で攻撃を実施したため、今回も同様の手口であると推測される」とも語っています。

ChainCatcher のメッセージ、EurekaTrading の創設者 Kuan Sun がツイートでフィッシング攻撃によって 1,300 万ドルを失いかけたことを振り返る：2025 年 9 月 2 日、彼のウォレットに約 1,300 万ドルの資産が Lazarus ハッカーグループに盗まれそうになり、セキュリティチームが緊急対応し、最終的に資金を回収した。発端は一見正常な Zoom 会議の招待で、実際には巧妙に仕掛けられたフィッシングトラップだった。ハッカーは「半熟人」の関係、ディープフェイク動画、偽の Rabby プラグインを利用して、被害者の Venus ポジションに特化した攻撃を行った。偽のプラグインを信じて withdraw を実行したことで、資産が連帯責任で移動されるリスクにさらされた。PeckShield、SlowMist、Venus および複数のセキュリティチームが迅速に対応し、プロトコルを一時停止しリスクを調査し、最終的に資金の盗難を防いだ。ハードウェアウォレットは万能ではなく、プラグインやフロントエンドがハイジャックされるリスクは依然として存在する；Zoom リンク、アップグレードポップアップ、半熟人の関係はすべて攻撃の入り口となる可能性がある。

ChainCatcher のメッセージによると、The Telegraph の報道では、英国に登録された暗号通貨プラットフォーム Lykke がハッカーによって約 1700 万ポンド（約 2280 万ドル）のビットコインとイーサリアムを盗まれ、運営を停止し、今年 3 月に清算を余儀なくされたとのことです。英国財務省傘下の OFSI の報告によれば、ハッカーは北朝鮮の Lazarus 組織に属しており、資金は軍事および核プロジェクトに使用されているとのことです。Lykke の創設者リチャード・オルセンは破産を宣告され、事件は現在も調査中です。