北朝鮮系の資金洗浄組織、Binanceハッキング資金43万ドルを自作ミームコインで移動

NEAR上に使い捨てトークンを6種発行

北朝鮮系とみられる資金洗浄組織が、64億ドル規模のBinanceハッキングに関連する約43万ドルの送金を隠蔽するため、使い捨てのトークンを6種発行したことが分かった。オンチェーン分析企業Ellipticが11月9日に公表した報告書で、共同創業者チーフサイエンティストのTom Robinson氏が手掛けたものだ。発行されたのはFUK、OLCCL、MEILI、MMLI、DABI、SINUの6トークンで、作成期間は11月5日から11月7日まで。1つのミームコインの作成に約25 NEAR(約90ドル)を支払っている。

資金は分散型取引所の流動性プールを経由して流された。組織は各トークンをNEARとペアにした専用プールを用意し、盗まれた約11.7万NEARをこれらのプールに通した。手順は二段階だ。まず一方のウォレット群が盗んだ仮想通貨でトークンを購入し、次にもう一方のウォレット群が同じトークンをプールに売り戻して実際の資産を受け取る。両者の間にプールが介在するため、どのウォレットも資金を直接送金せず、受け取り側の口座はハッキングの収益ではなく利益確定したトレーダーの取引のように見える。

取引のほぼすべてが組織に紐づくウォレットによるもので、外部の買い手が占める割合はあるトークンの出来高の1%未満にとどまった。6トークンの取引は11月8日までにすべて停止している。1トークンには「Elon 2028 President」の文字とともにElon Musk氏の画像が使われたが、EllipticはMusk氏とこれらのトークンの関係を示す材料はないとしている。名前の付け方自体は下品なジョークや犬を連想する接尾語など、一般的なミームコインの慣例に沿ったものだった。

この手法は新しいものではない。Ellipticは2025年のBybitハッキング後に同じ手口を確認しており、安価に作ったトークンを用が済めば捨てるため、捜査の遅延を狙ったものだと説明する。同社の見立てでは、オンチェーン上の追跡は依然として可能で、コンプライアンス部門には流動性プールから届いた資金を安易に「クリーン」と扱わないよう注意を促している。

7,000 ETHがTornado Cashへ流入

ミームコイン経由の送金は、全体から見れば小さな一片にすぎない。Ellipticが11月9日13時15分(UTC)に更新した資金洗浄の追跡データによれば、盗まれた資金は16のブロックチェーン上の2万を超えるウォレットに広がり、少なくとも36のサービスに接触、取引件数は約6.5万件に達する。11月8日以降、窃取関連のウォレットは約7,000 ETH(約1,500万ドル)をTornado Cashに入金した。一部の入金は、すでにコインジョイン取引を経由したビットコインがイーサリアムに再変換された後のものだという。

他の盗難資産を変換した結果、新たに作成されたアドレスには約3,000 BTC(約2億2,500万ドル)が蓄積しており、ビットコインとイーサリアムの主要な残高はまだ動いていない。窃取関連アドレスに残る資金は約30億ドル、凍結されているのは28.5億ドルで、現金化されたとみられる額はごくわずかだ。FBIは10月31日、10月29日の窃取を北朝鮮のTraderTraitorグループの犯行と断定し、THORChainの運営者を含む各サービスに対して関連取引の遮断を求めた。ハッカー側もまた、中央発行者がいないため凍結できないビットコインへの変換にTHORChainを利用している。

Binance自身が11月3日に公表した侵害の説明によれば、攻撃は数か月に及ぶ潜入の末に行われた。犯人は偽の採用面接と改ざんされた開発者向けソフトウェアを出発点にした。9月の採用過程で、エンジニアが課題のリポジトリを業務用PCにダウンロードすると、悪意あるコードが正規の開発ツールに成り代わり、エンドポイントセキュリティには検知されなかった。10月20日、攻撃者はこのマシンと社内のAIツールを使ってウォレット担当エンジニア2名のPCに到達し、盗み出したコンテナデプロイ用の認証情報によってウォレット署名操作への足場を得た。Blockaidの技術調査では、1回のトランザクション内で50件のEIP-7702認可が提出され、稼働中ウォレットの連続するカウンター値がカバーされていたことが確認されている。Binanceは被害を63.4億ドルとし、全額を上回る規模を損失補填として積み増したと説明する。回収はガバナンスの手も待つ必要があり、Arbitrum上で凍結された8,425.997 ETHと7,456万ARBはDAOの承認がなければ再び動けず、この手続きには7週間以上かかるという見込みだ。

過去の北朝鮮系窃取後のオンチェーン記録が示してきた通り、撹乱は追跡を遅らせるが断ち切るものではないことが、今回の洗浄設計でも裏付けられた。プールの作成からTornado Cashへの入金まで、ミームコイン経路のすべての跳躍は公開台帳上に残り、追跡データは残る約30億ドルを特定可能なアドレスに紐づけている。Binanceの事後検証によれば、根本原因は秘密鍵の漏洩ではなく汚染された開発ツールによるエンドポイント侵害だったため、対応の焦点は鍵の更新ではなく運用セキュリティの強化に移る。28.5億ドルの凍結とArbitrum残高のDAO採決待ちという状況の下、回収は捜査と同じだけガバナンスの進行次第と言える。