lazarus

"オンチェーン探偵" ZachXBT は、顧客に偽装して、北朝鮮背景のハッカー組織 Lazarus Group によるマネーロンダリングに関与している犯罪グループに浸透し、2025 年の Bybit 攻撃事件に関連する資金を凍結する手助けをしたと発表しました。ZachXBT は、2025 年 2 月に Bybit が 15 億ドルの攻撃を受けた後、Telegram と Discord の公開グループで 15 以上のアカウントが盗まれた資金に関連する取引の処理を求めているのを発見したと述べています。その後、彼は "Jimmy Green" という別名を使用している Telegram ユーザーの一人に連絡を取り、複数の取引を通じて信頼を築きました。彼の開示によれば、2025 年 3 月 6 日に、彼はあるイーサリアムアドレスに 349.7 万ドルの USDC を送金し、相手との USDC と TRON チェーンの USDT 交換取引を行いました。そのアドレスのガス資金は Bybit 攻撃資金に遡ることができ、Bybit 攻撃のブラックリストアドレスとして公開されています。ZachXBT は、その後の交流の中で、相手が自分のチームが Bybit の盗まれた資金の処理に関与していたことを明かし、資金が Solana などのチェーン上で移動することを事前に知らせてきたと述べています。取引の時間、金額、オンチェーンデータを照合することで、彼は 1,200 万ドル以上の Bybit 攻撃資金に関与するウォレットクラスターを発見しました。資金の流れには BTC→ETH→SOL→TRON などの複数のネットワークが含まれ、その中で約 44.2 万 USDT が Tether によって凍結されており、そのグループは Uniswap の流動性プールや低流動性トークンなどを通じてマネーロンダリングを試みていました。さらに、相手は他の顧客の約 300 万ドルの詐欺収益資金の処理を手助けしたことも明かし、ZachXBT は関連資金の流れが制裁を受けた Huione Guarantee に関連するウォレットに向かっていることを追跡しました。ZachXBT は、この調査で彼が最初に 349.7 万ドルの資金を投入し、各取引の約 5% の損失リスクを負ったことを明らかにし、最終的に得られた情報は関連する調査機関や法執行機関に迅速に提供されたと述べています。2022 年以来、彼は北朝鮮関連の事件に関する資金の凍結を 7,500 万ドル以上支援しています。

派盾の監視によると、NEAR Intents の攻撃者は盗まれた資金を Kucoin に移し、BTC にブリッジしています。攻撃者のアドレスは、北朝鮮の LazarusGroup としてマークされたアドレス（0x098B7...E2f96）と相互作用しています。

チェーン上の探偵 Specter の監視によると、資金の流れを追跡することで、北朝鮮のハッカー集団 Lazarus Group が Bitget の盗難事件の背後にいる可能性があることがわかりました。この事件は、今年の 7 月に発生した AFX 攻撃と関連があり、後者は約 2400 万ドルの損失を引き起こし、Lazarus Group に関連する TraderTraitor に帰属しています。Bitget で盗まれた XRP はクロスチェーンを経て、関連する資金の流れが AFX 攻撃で盗まれた資金に直接関連付けられます。

Lookonchain の監視によると、ハッカー組織 Lazarus Group は過去 2 時間で平均価格 2499 ドルで 911 枚の ETH（228 万ドル）を売却しました。

Lookonchain の監視によると、Lazarus Group のハッカーが 244.148 ビットコインを移転し、価値は 1942 万ドルです。

加密通貨取引所 Bybit は、アメリカ合衆国コロンビア特別区連邦地方裁判所に民事訴訟を提起し、北朝鮮、北朝鮮偵察総局およびハッカー組織 Lazarus Group を訴えています。この事件は、2025 年 2 月に約 15 億ドルが盗まれた事件に関連しています。Bybit は、裁判官が初期の禁止命令を承認し、事件の審理中に特定された盗まれた資産の移転または処分を禁止したと述べており、実体問題に関して Bybit が勝訴する可能性が高いと考えています。訴訟は、関連資金を保有または移転する未知の個人および団体を John Doe 被告として列挙しています。Bybit は、約 4840 万ドルが回収され、約 3050 万ドルが 28 以上の取引所および保管機関で凍結されていることを明らかにしており、両者は合計で盗まれた金額の約 5% を占めています。攻撃者は 2025 年 2 月に Bybit のコールドウォレットから約 50 万 ETH を移転し、その大部分の資金はその後 Thorchain を介してビットコインに交換され、ミキシングサービスを通じて移転されました。Bybit は、この事件が刑事調査と並行して進行していると述べています。

暗号通貨取引所 Bybit は、朝鮮民主主義人民共和国、その情報機関である偵察総局（RGB）、および国家制裁を受けたハッカー組織 Lazarus Group に対して、15 億ドルのハッキング事件に関する民事訴訟を提起しました。アメリカ連邦裁判所は、訴訟期間中にこの事件に関連する特定された資産を移転または消失させることを禁止する仮差止命令を発令しました。

Lookonchain の監視によると、Lazarus Group のハッカーが1時間前に121.5 BTC（774万ドル）を移転しました。

Cryptopolitan の報道によると、ネットワークセキュリティアナリストは RemotePE と呼ばれる新しいファイルレスリモートアクセス型トロイの木馬 (RAT) を発見しました。北朝鮮に関連すると考えられているサイバー犯罪組織 Lazarus Group がこのトロイの木馬を利用して銀行や暗号通貨会社を攻撃しています。このトロイの木馬は完全にメモリ内で実行され、従来のウイルス対策やフォレンジックツールでは検出が困難です。攻撃者は Telegram を通じて取引会社の従業員を装い、偽の Calendly や Picktime のリンクを使用してソーシャルエンジニアリング攻撃を行います。マルウェアは DPAPILoader、RemotePELoader、RemotePE の三段階でチェーンロードされ、全プロセスはファイルシステムに触れず、プロセスの掘り空け、逆解析チェック、暗号化された C2 通信を利用して検出を回避します。このマルウェアは 2025 年 9 月に初めて発見されました。2026 年の最初の 4 ヶ月間で、Lazarus 組織は約 5.77 億ドルの暗号資産を盗み出し、これは世界の暗号盗難総額の 76% に相当します。2017 年以来、この組織が累計で盗んだ金額は 60 億ドルに達しています。

OpenSourceMalwareの研究によると、北朝鮮のハッカー集団Lazarusは「感染性面接」や「TaskJacker」などの開発者を狙った悪意のある活動に新しい手法を採用し、第二段階のローダーをGit Hooksのpre-commitスクリプトに隠しています。「感染性面接」は、この組織が偽の暗号通貨/DeFi分野の採用プロセスを通じて、開発者を悪意のあるコードリポジトリをクローンさせる一連の攻撃活動であり、最終的に暗号資産や資格情報を盗みます。研究者は、面接プロセスの一環としてコードリポジトリをクローンするよう求められた開発者に対し、このようなリスクに警戒するように勧めており、個人のブラウザ設定、SSHキー、暗号ウォレットをマウントしないように、隔離された環境で実行することを推奨しています。

CoinDeskによると、CertiKの監視によれば、Lazarusグループは金融テクノロジーおよび暗号通貨業界の幹部を対象に「Mach-O Man」と呼ばれる攻撃を展開しています。この操作はClickFixのソーシャルエンジニアリング技術を利用し、虚偽のオンライン会議招待を送信することで、被害者にMac端末で修復指令を貼り付けさせ、会社および財務システムへのアクセス権を取得します。CertiKの研究者ナタリー・ニューソンは、Lazarusグループが過去2週間でDriftとKelpDAOを通じて5億ドル以上を盗んだと述べています。Mach-O ManはLazarusグループの傘下にあるChollima部門によって開発されたモジュラーmacOSマルウェアツールキットで、使用後に自動的に削除され、検出を回避します。さらに、攻撃者はDeFiプロジェクトのドメイン名をハイジャックし、虚偽のCloudflareメッセージに置き換える方法でこの攻撃を実施しています。

AhnLab が発表した『2025年ネットワーク脅威トレンドと2026年セキュリティ展望』レポートによると、北朝鮮背景のハッカー組織 Lazarus が過去12ヶ月で最も多く言及されており、主に「標的型フィッシング」を利用して攻撃を実施し、講演会の招待や面接のリクエストなどのメールに偽装してターゲットを誘導しています。レポートでは、Lazarus が今年2月21日の Bybit のハッキング事件（損失14億ドル）や最近の韓国取引所 Upbit の3000万ドルの脆弱性攻撃など、複数の重大な攻撃の主要な容疑者と見なされていると述べています。AhnLab は、セキュリティを向上させるために、企業は定期的なセキュリティ監査、迅速なパッチ更新、従業員教育の強化を含む多層防御システムを構築する必要があると述べています。同社はまた、個人ユーザーに対して多要素認証の使用、未知のリンクや添付ファイルの慎重な取り扱い、個人情報の過度な露出の回避、公式チャネルからのみコンテンツをダウンロードすることを推奨しています。AhnLab は、AI アプリケーションの普及に伴い、攻撃者が識別が難しいフィッシングメール、偽装ページ、ディープフェイクコンテンツを生成しやすくなるため、今後関連する脅威がさらに複雑化する可能性があると指摘しています。（Cointelegraph）

Upbitで約445億ウォン（約3600万ドル）の暗号資産が盗まれた件についてCryptoQuantのCEO、Ki Young Juは本日、Upbitが公表した攻撃方法は「ほぼ普通のハッカーには実行不可能」と指摘しました。Upbitは以前、攻撃者がユーザーのウォレットアドレスのパターンを分析することで「秘密鍵を推測」した可能性があると述べました。Ki Young Juは、この種の攻撃技術の難易度が非常に高いと明言し、もし事実であれば「北朝鮮のLazarusを除いて、他のハッカー組織がこれを実行できるとは疑っています」と述べました。

韓国の仮想資産取引所 Upbit がハッカー攻撃を受け、445億ウォンの仮想資産が盗まれたと、韓国聯合ニュースが報じています。現在、北朝鮮の情報総局傘下のハッカー組織 Lazarus Group がこの事件の背後にいると強く疑われています。現地時間、韓国聯合ニュースは情報通信技術（ICT）業界および韓国政府の関連部門から、北朝鮮の情報総局に属するハッカー組織 Lazarus Group が大きな犯行の疑いがあるため、当局が Upbit に対して現場検査を行っていることを確認しました。このハッカー組織は、2019年に Upbit から580億ウォン相当のイーサリアムを盗んだ事件に関与したとされています。政府関係者は「今回の攻撃はサーバーを狙ったものではなく、管理者アカウントを盗まれたか、管理者になりすまして資金移動が行われた可能性が高い」と述べています。また、「現在把握している状況から判断すると、6年前のハッカーもこの方法で攻撃を実施したため、今回も同様の手口であると推測される」とも語っています。

ChainCatcher のメッセージ、EurekaTrading の創設者 Kuan Sun がツイートでフィッシング攻撃によって 1,300 万ドルを失いかけたことを振り返る：2025 年 9 月 2 日、彼のウォレットに約 1,300 万ドルの資産が Lazarus ハッカーグループに盗まれそうになり、セキュリティチームが緊急対応し、最終的に資金を回収した。発端は一見正常な Zoom 会議の招待で、実際には巧妙に仕掛けられたフィッシングトラップだった。ハッカーは「半熟人」の関係、ディープフェイク動画、偽の Rabby プラグインを利用して、被害者の Venus ポジションに特化した攻撃を行った。偽のプラグインを信じて withdraw を実行したことで、資産が連帯責任で移動されるリスクにさらされた。PeckShield、SlowMist、Venus および複数のセキュリティチームが迅速に対応し、プロトコルを一時停止しリスクを調査し、最終的に資金の盗難を防いだ。ハードウェアウォレットは万能ではなく、プラグインやフロントエンドがハイジャックされるリスクは依然として存在する；Zoom リンク、アップグレードポップアップ、半熟人の関係はすべて攻撃の入り口となる可能性がある。

ChainCatcher のメッセージによると、The Telegraph の報道では、英国に登録された暗号通貨プラットフォーム Lykke がハッカーによって約 1700 万ポンド（約 2280 万ドル）のビットコインとイーサリアムを盗まれ、運営を停止し、今年 3 月に清算を余儀なくされたとのことです。英国財務省傘下の OFSI の報告によれば、ハッカーは北朝鮮の Lazarus 組織に属しており、資金は軍事および核プロジェクトに使用されているとのことです。Lykke の創設者リチャード・オルセンは破産を宣告され、事件は現在も調査中です。

ChainCatcher のメッセージによると、オンチェーン探偵の ZachXBT が監視したところ、あるユーザーが 5 月 16 日に北朝鮮のハッカー組織 Lazarus Group に攻撃された疑いがあり、約 320 万ドルの資産を失ったとのことです。盗まれた資産は市場で売却され、盗取された資金はその後 Solana から Ethereum にクロスチェーンされました。6 月 25 日に 400 枚の ETH が Tornado Cash に入金され、6 月 27 日にも 400 枚の ETH が Tornado Cash に入金されました。

ChainCatcher のメッセージ、SlowMist セキュリティチームの最新情報によると、北朝鮮の Lazarus ハッカーグループが OtterCookie という新しいスパイウェアを使用して、暗号通貨および金融業界の専門家に対して標的型攻撃を行っている。手法には、高給の職位面接/投資家との商談を偽造すること、ディープフェイク (Deepfake) ビデオを使用して採用者を装うこと、悪意のあるソフトウェアを「プログラミングテスト」や「システム更新パッケージ」と偽装することが含まれる。盗まれる対象には、ブラウザに保存されたログイン資格情報、macOS キーチェーン内のパスワードとデジタル証明書、暗号ウォレットの情報および秘密鍵が含まれる。SlowMist は、提供された職位/投資の誘いに対して警戒を怠らず、リモート面接には多重検証を行い、出所不明の実行可能ファイルを決して実行せず、特に「技術テスト」や「更新パッチ」と称されるものには注意を払い、エンドポイント保護 (EDR) を強化し、ウイルス対策ソフトを導入し、定期的に異常プロセスをチェックすることを推奨している。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、BitMEX は北朝鮮の Lazarus Group ハッカーによるネットワーク攻撃を阻止しました。これらのハッカーは LinkedIn 上の偽の NFT コラボレーションオファーを通じて、同社の従業員を標的にしました。BitMEX は、ハッカーの戦略はそれほど複雑ではないと述べています。報告によると、Lazarus Group は LinkedIn 上で BitMEX の従業員に接触し、NFT パートナーシップを提案しましたが、実際の目的はその従業員を誘導して GitHub リポジトリから悪意のあるコードを実行させることでした。従業員はコードベースを確認した後、疑わしいコードにマークを付け、BitMEX のセキュリティチームは迅速に調査を行い、難読化された JavaScript を特定し、Lazarus に関連するインフラストラクチャを追跡しました。

ChainCatcher のメッセージによると、Cointelegraph が報じたところでは、Manta Network の共同創設者 Kenny Li が高度に複雑なフィッシング攻撃を明らかにしました。攻撃者は Zoom のビデオ通話中に実際のチームメンバーの映像を使用し、悪意のあるソフトウェアをダウンロードさせようとしました。Li は、ビデオ通話中に相手のカメラがオンで顔の映像がリアルであったが、音声が聞こえず、システムが Zoom の更新とスクリプトファイルのダウンロードを促すメッセージを表示したため、警戒を強めたと述べています。彼は、この攻撃が北朝鮮国家に支援されたハッカー集団 Lazarus によって行われた可能性があると考えています。攻撃者は Telegram で身分証明を求められた後、すぐにすべてのメッセージを削除し、ブロックしました。