北朝鮮のハッカーは、2026年1月から10月の間に38件の事案で暗号資産約76億1000万ドルを盗んだと、ブロックチェーン分析会社BitOKが発表した。6件の重大な攻撃では、コードの脆弱性を突くのではなく、出金承認を行う人物やシステムを乗っ取ったとされる。
凍結や押収によって28億6000万ドル分が保全されたが、47億5000万ドルは回収不能となっている。全体のうちバイナンスが単独で64億1000万ドルを占め、個人や企業を狙った32件の小規模な盗難では合計1億7840万ドルとなった。
なぜコード監査では北朝鮮ハッカーを止められなかったか
BitOKのレポートによれば、6件の大型攻撃では全て出金に有効な署名が付与され、標準的なチェックを通過していた。バイナンスではDevOpsエンジニアのノートパソコンと署名サービス用コンテナが侵入口となったという。
これは10月に発生したバイナンスのハッキング手口とも一致する。他の事案では、ソラナ基盤の取引所であるDriftでは複数署名者、KelpDAOではブリッジ検証者1名、Bitgetではウォレットシステムが狙われた。
各犯行前には、少額で手口の試行がなされていた。たとえばバイナンスのアタック用コントラクトは、犯行4時間前に公開で動作していた。
作業スケジュールは事務仕事のように規則的だった。サンプル540件中、活動の48%が平壌時間の午後4時から午後9時に集中した。
北朝鮮の祝日には犯行も停止し、その日は活動が記録されなかった。土曜・日曜・月曜合計で全取引の10%にとどまった。
しかし一度攻撃開始となると、作業は一変。スクリプトが自動実行され、24時間体制で資金が移動した。
スワップは数分、消失までは数日
凍結可能性は対応の速さに左右された。北朝鮮ハッカーらは、安定型コインを数分でイーサ（ETH）へ交換するか、盗んだ担保でETHを借りた。イーサには発行者による凍結手段がないためである。
4月のrsETHブリッジ不正流出では、最初の5万2440ETHがわずか8分余りでレンディングプロトコルから出金された。その後、スクリプト起動まで資金は2.5～5日間待機し、クロスチェーンスワッププロトコルTHORChain経由で移された。
資金洗浄コストは低かった。バイナンス関連2,257件（総額5580万ドル）のスワップで発生した費用は全体の0.50%に過ぎなかった。
こうしたため、安定型コインが未移動の段階でしか凍結は有効に機能しなかった。バイナンスでは盗難資金の43%が凍結・押収できたが、他の大型事件全体では6%にとどまる。
それでもタイミングが鍵を握った。テザーへの初回凍結申請はバイナンス流出の34分後であり、その時点で3億4500万USDTが元アドレスから移された後だった。
0.27ETHの“ごみ”が5件の犯行を結ぶ
痕跡が最も明確だったのは“後始末”のミスだった。ステルスアドレス用プライバシーツールUmbraとStargateブリッジで5047ETHを送金後、残った微量のETHをひとつのウォレットへまとめていた。
8月31日には、150アドレスの資金が3分36秒以内にそのコレクターへ集中送金された。この動きがAFX事件と8月28日の窃盗をつなげ、9月にはBitget関連アドレスも加わった。合計で受け取ったのは0.27ETHに過ぎなかった。
こうした共通の清算アドレスにより、KelpDAO（4月）からバイナンス（10月）まで、北朝鮮ハッカーの5件の事件が連結された。BitOKは、異なる実行グループが関与している可能性がある一方、マネーロンダリング担当者は同一であると指摘した。
「ごくわずかな残高が、運営者の最大の手がかりとなった」とBitOK
新たな標的は署名鍵
チェイナリシスはすでにBitgetの被害を北朝鮮と関連付けていた。BitOKのデータによって、北朝鮮のハッカーが交換所やDeFiで同じ手法を繰り返している実態が明らかとなった。
従来の脆弱点はスマートコントラクトから、従業員・端末・署名サービスへと移っている。発行体による凍結は最初の数分間のみ有効であり、バイナンスは自身の準備金で大半のユーザー損失を補償してきた。
