署名システムの標的化で北朝鮮ハッカーが暗号資産$7.61Bを窃取

ブロックチェーンインテリジェンス企業BitOKによると、2026年1月から10月の間に、北朝鮮の工作員は38件の個別のインシデントを通じて、約$7.61 billionのデジタル資産を不正に流出させた。ソフトウェアの脆弱性を悪用するのではなく、6件の最大の侵害は、引き出しを承認する責任を負う個人とインフラの支配権を掌握することを伴っていた。

資産凍結と没収により$2.86 billionが回収されたが、当局がアクセスできないままの額は$4.75 billionに上る。Binanceが全損害額のうち$6.41 billionを占め、個人や企業を狙った32件の小規模な盗難は合計$178.4 millionとなった。

コード監査が北朝鮮ハッカーを止められなかった理由

BitOKのレポートは、6件の最大のインシデントにおけるすべての引き出しが、正当な署名を持っているか、標準的な検証チェックを通過していたことを指摘している。Binanceでは、侵害はDevOpsエンジニアのラップトップと署名サービスに使用されるコンテナから発生した。

この発見は、10月に発生したハッキングの仕組みに関する初期の分析と合致する。他の事例では、攻撃者はSolanaベースの取引プラットフォームであるDriftのマルチシグ署名者、KelpDAOのブリッジの単一バリデーター、およびBitgetのウォレットシステムを侵害した。

各強奪の前に、攻撃者は少額を使って正確な手法をテストしていた。例えば、Binance攻撃のコントラクトは、盗難の4時間前に公開環境で動作していた。

活動の時間帯は標準的な就業日を示唆している。540件のトランザクションのサンプルでは、48%が平壌時間の午後4時から午後9時の間に行われた。

工作員は北朝鮮の祝日も休みを取り、そのような日にはトランザクションは記録されなかった。土曜、日曜、月曜を合わせた活動は、全トランザクションのわずか10%を占めた。

しかし、攻撃が開始されると、パターンは変化した。自動化されたスクリプトが引き継ぎ、資金の移動は24時間継続された。

スワップに数分、消失に数日

速度が何を凍結できるかを左右する。北朝鮮ハッカーは数分以内に、ステーブルコインをETHに変換するか、盗んだ担保を使ってETHを借り入れた。なぜなら、どの発行者もETHを凍結できないからである。

4月のrsETHブリッジ悪用の後、最初の52,440 ETHは8分強でレンディングプロトコルから流出した。これらの資金はその後2.5日から5日間非アクティブ状態を保った後、スクリプトによってクロスチェーンスワッププロトコルであるTHORChainを通じて移動された。

マネーロンダリングのコストは低いことが判明した。総額$55.8 millionの2,257件のBinance関連スワップ全体で、合計費用はわずか0.50%だった。

資産凍結が効果的だったのは、ステーブルコインがまだ移動されていない場合のみだった。Binanceでは、盗まれた資産の43%が凍結または没収されたが、他の主要な攻撃すべてを合わせた場合の6%と比較される。

たとえBinanceであっても、タイミングが問題を生んだ。Tetherが最初の凍結要求を受け取ったのは、Binanceからの引き出しから34分後だった。その時点で、345 million USDTはすでに元のアドレスから移動していた。

0.27 ETHの痕跡が5件の攻撃を結びつける

最も強力なリンクは、後始末のミスから生じた。5,047 ETHを、ステルスアドレスプライバシーツールであるUmbraとStargateブリッジを通じて移動させた後、オペレーターは残ったダストを1つのウォレットに集約した。

8月31日、150のアドレスがその収集ウォレットに3分36秒で空にされた。この掃討により、AFXと8月28日の盗難が関連づけられ、9月にはBitgetのアドレスも続いた。合計で、ウォレットが受け取ったのはわずか0.27 ETHだった。

共有された決済アドレスは現在、4月のKelpDAOから10月のBinanceに至るまで、北朝鮮ハッカーによる5件の攻撃を結びつけている。BitOKは、これは単一のマネーロンダリングオペレーターを示しているが、異なるチームがハッキングを実行した可能性もあると述べている。

「わずかな残高が、今年におけるオペレーターの最も明確な痕跡となった」とBitOKは述べた。

署名鍵が新たな攻撃対象領域に

Chainalysisはすでに10月にBitgetの盗難を北朝鮮に関連づけていた。BitOKのデータは今回、北朝鮮ハッカーがいかにして取引所とDeFiプロトコル全体で単一のプレイブック（攻撃手法）を繰り返しているかを明らかにしている。

脆弱性はスマートコントラクトから従業員、デバイス、署名サービスへと移行している。発行者による凍結は最初の数分間のみ有効であり、Binanceはその後、自己資金でユーザーの損失の大部分を補填している。