ビットコイン(BTC)狙う北朝鮮系ハッカー、57カ国1,640社に侵入

暗号資産ニュース

ビットコイン(BTC)のカストディおよび暗号資産エコシステム全体が、再びセキュリティ上の厳しい検証にさらされている。22カ月にわたる調査の結果、北朝鮮と関連する攻撃者グループが偽の採用面接を装い、57カ国にわたる1,640社の企業に侵入していたことが明らかになった。サイバーセキュリティ企業Kumioの最高技術責任者(CTO)であるVangelis Stykas氏は、この攻撃キャンペーンの全容をBlack Hatで公表した。手口は、開発者やリモート勤務の技術系コントラクターに対して、もっともらしい求人オファーや技術テスト、サンプルプロジェクトを送りつけるというものだ。添付ファイルを開封・実行した時点でマルウェアが標的の環境内に最初の足がかりを築く。これは不特定多数のメールアドレスに向けた通常のフィッシングとは根本的に異なり、採用プロセスに対する信頼を悪用した高度なソーシャルエンジニアリング工作である。侵入後、攻撃者が狙ったのはデジタル資産チームにとって最も重要な認証情報だ。サーバーの管理者権限、Amazon Web Services(AWS)のアクセス権限、そしてビットコイン(BTC)やアルトコイン、AIクリプトウォレットを管理する秘密鍵である。調査では、約700〜800の組織が深刻な侵害を受け、侵入者がシステム内を自由に移動し、クラウドインフラを調査し、資金を動かす可能性があったとされる。ビットコイン(BTC)の場合、一度承認された取引は取り消しが不可能であるため、秘密鍵が漏洩すれば関連するコインは救済手段なく転送される。この非可逆性が、事後の復旧よりも予防的なカストディ管理を不可欠にしている。さらに調査では、コントラクターに対する過度な権限付与が繰り返し弱点となっていた点も指摘された。外部の開発者が業務に必要な範囲を超えたアクセス権を持っていたケースが多数確認され、感染した1つのアカウントが重要システムへの経路となる構造的リスクが浮き彫りになった。

Black Hatでの公表は、商用AIツールが経験の浅い攻撃者にとって参入障壁を下げているという第二の懸念も示した。Stykas氏によれば、攻撃者が誤って同氏自身のシステムにマルウェアを送り込んだことが契機となり、彼らのコマンド&コントロール(C2)サーバーや非公開のSlack・Discordチャネル、さらに約5テラバイトに及ぶ内部資料へのアクセスが可能になったという。この視点から判明したのは、攻撃グループが汎用のAIサービスを利用して悪意あるコードの作成、偽の採用サイトの整備、侵入サイクルの一部自動化を行っていた事実だ。これはAIトレーディングボットが市場判断を自動化する構造と類似している。悪意あるコード内に埋め込まれた英語のコメントや絵文字といった痕跡は、AIが生成したテキストであることを示唆していた。また、UNC2970として知られる脅威クラスターに関する別の脅威インテリジェンス調査では、Geminiを使って標的を調査し、防衛・技術分野の高報酬職種を特定していたことも報告されている。影響を受けた企業には暗号資産業界の著名な名前も含まれる。Coinbaseは、問題がコントラクター1名に関わるものであり、30日以内に調査・解約が完了し、顧客データの漏洩はなかったと声明を出した。Uniswap Labsも名指しされたほか、ボストン小児病院は元コントラクターの個人デバイスに関する問題であり、病院の中核システムには影響がなかったと説明している。フリーランスモデルが被害を増幅させた側面もある。複数のクライアントのために働く1人の開発者が、多くの組織にまたがる単一障害点となり得るのだ。実際、侵害されたマシンが意図せず最大30社へのアクセスを同時に提供していた個人も特定された。オンチェーン分析データによれば、4月に盗まれた暗号資産の価値のうち、北朝鮮関連の攻撃者によるものが約76%を占め、2件の大規模窃取で約5億7,700万ドルに達した。2017年以降、北朝鮮の暗号資産関連工作に帰属する累積窃取額は60億ドル超と推定される。これらの数値は、今回の事案が単一のリサーチアラートにとどまらず、ビットコイン(BTC)やアルトコイン、ステーブルコインの在庫を保有するすべてのチームに対する構造的な警告であることを示している。

COINOTAGの分析では、根本原因はビットコイン(BTC)や基盤ブロックチェーンの欠陥ではなく、アイデンティティとアクセス管理の失敗にある。現時点で入手可能な事後検証は、影響を受けた企業のインシデント声明とオンチェーン分析であり、プロトコルレベルの開示は存在しない。攻撃者のトランザクションハッシュや資金が流出したアドレスの内訳も今回の調査では公表されておらず、資金追跡の決定的な裏付けには限界がある。市場が過去最高値を追っていない局面であっても、カストディの衛生管理こそが決定的な変数であり続ける。対応策は明確だ。採用関連ファイルを信頼されない入力として扱い、最小権限の原則を徹底し、コントラクターのエンドポイントを生産環境から分離し、多要素認証を必須とし、鍵へのアクセスイベントを継続的に監査する。非可逆的な決済手段である以上、復旧ではなく予防こそが唯一の信頼できる防御である。