Ethereum(ETH)ウォレット脅威が北朝鮮ハックデータで判明、被害組織1,640件に

Ethereum (ETH)が最も直接的な脅威にさらされている。米ラスベガスで開催されたBlack Hatカンファレンスにおいて、ギリシャ出身のセキュリティ研究者でセキュリティ企業Kumioの最高技術責任者(CTO)であるVangelis Stykas氏が、北朝鮮のコマンド・アンド・コントロール(C2)サーバー内部に22カ月にわたり潜入し、57カ国にわたる1,640の被害組織を特定したと報告した。この数字は攻撃者自身の記録から抽出されたものであり、外部推計ではない点が特筆される。Stykas氏によると、収集したデータは約5テラバイトに達し、開発者用キー、非公開のソースコード、SlackやDiscord上の内部メッセージが含まれていた。同氏はこのうち700〜800の組織が深刻な侵害を受けたと評価している。具体的には、ルートサーバーアクセス、AWSの管理権限、または暗号資産ウォレットの秘密鍵が攻撃者の手に渡ったケースだ。このレベルのアクセスが実現すれば、Bitcoinから取引所やファンド、開発者が保有する幅広いアルトコインまで、侵害された鍵に紐づくあらゆる資産が危険にさらされる。今回の開示は、人間のたった一度のミスがなぜ大規模な窃取につながり得るかも示している。攻撃者が特権デバイスを掌握すれば、ブロックチェーン層自体は安全でも、カストディ層が崩壊するのだ。Ethereumの場合、スマートコントラクトの承認、署名鍵、インフラアカウントが基盤プロトコルを変更することなく悪用され得るため、リスクはさらに増幅される。今週発表された調査結果は、単発の侵入ではなく持続的な情報収集活動を描写しており、押収データの精査が進めば追加の被害者が判明する可能性がある。データセットには攻撃グループのツールや通信記録も含まれ、初期侵入から持続的支配に至るまでの手口を防衛側に示す貴重な資料となっている。Stykas氏は、通知を受けたにもかかわらず多くの組織が対応しなかったと警告し、個別の修復だけでなく共有脅威インテリジェンスへの依存が不可欠だと述べた。署名鍵やクラウド認証情報を保有するチームにとって、これは現在進行形のインシデント対応事項である。

第二の焦点は攻撃手法そのものだ。ソフトウェアの脆弱性ではなく、偽の求人オファーが侵入の入口となっている。開発者には高待遇のシニアポジションが提示され、持ち帰りのコーディングテストの提出を求められる。このテストファイルにマルウェアが仕込まれていた。Palo Alto Networksの研究者はこのパターンを2023年11月に「Contagious Interview」と命名し、Microsoftはその後、GitHub、GitLab、Bitbucketに配置された悪意あるパッケージについて報告している。開発者がVisual Studio Code内でこれらを開き、信頼プロンプトを承認すると、エディタが攻撃者のコードを実行する仕組みだ。生成されたバックドアはAPIトークン、クラウドのログイン情報、署名鍵、ウォレットファイル、パスワードマネージャーのデータを探索する。Ethereum (ETH)にとってこの脅威は特に深刻である。侵害された開発者アカウントや署名環境は、目に見えるプロトコル上のエクスプロイトなしにトランザクションや承認を実行できるからだ。リスクはあらゆるカストディモデルに及び、標準的な取引所アカウント、 AIクリプトウォレット 、アルゴリズム型ステーブルコインに接続されたインフラも例外ではない。ある契約業者の感染したラップトップ1台から最大30社の認証情報が漏洩する可能性があり、単一のエンドポイントが複数の侵入口になり得る。Boston Children's Hospitalは元契約業者の個人デバイスを介して関連付けられたが、同病院は認証情報を数時間以内に無効化し、システムへの侵入は確認されなかったと説明している。暗号資産分野では、CoinbaseとUniswap Labsが警告を受けて対応した組織に含まれる。Consensysは、約1カ月にわたりMetaMaskのコードベースに従事していた北朝鮮出身の潜入開発者を発見した。財務規模が事態の緊急性を裏付けている。北朝鮮に関連するチームは2025年に20億2,000万ドル相当の暗号資産を窃取したとされ、前年比51%の増加にあたる。4月に発生したDrift Protocolの2億8,500万ドルの損失は、北朝鮮の仲介者を介した物理的な対面接触と関連付けられている。さらに、わずか2件のインシデントが2026年の損失全体の76%を占め、これは全ケースのわずか3%に過ぎない。同国の累計窃取額は2017年以降60億ドルを超えている。脅威インテリジェンスデータは、GOLDEN CHOLLIMAが採用の手口を用いてフィンテック企業のクラウド環境に到達していたことを示しており、採用管理が今やセキュリティの境界線となっている。

COINOTAGの分析は、両方の開示を一つのテーマに集約する。最も脆弱な層はブロックチェーンそのものではなく、人間のカストディである。オンチェーン上の窃取記録、Drift Protocolの2億8,500万ドルの流出は台帳上で確認可能であり、インシデント後の各社の声明はソーシャルエンジニアリングによるアクセス取得を指し示している。一方、企業の開示は認証情報の取り消し、内部者スクリーニング、Crypto ISACを通じた脅威インテリジェンスの共有による対応を示している。Ethereum (ETH)、Bitcoin、または関連するアルトコインの保有者にとっての実践的な教訓は、署名環境の厳格な分離と、採用に関連するコードの検証である。主要な証拠はプロトコルの障害を示していない。示しているのは、侵害された人間とデバイスだ。市場が過去最高値から遠い局面にあっても、運用上のセキュリティこそが決定的なリスク管理であり続ける。