北朝鮮系ハッカーSquidSquad、BNBスマートチェーンの機関投資家から284万ドルを流出させる

10月8日、機関投資家が標的に

BNBスマートチェーン上の機関系暗号資産ホルダーから約284万ドルが引き出される事件が10月8日(木)に発生し、10月21日(水)に公開されたトレーシング調査で、北朝鮮系ハッカーグループ「SquidSquad」の犯行とされた。アトリビューション(攻撃者帰属)を行ったのはオンチェーン調査者のZachXBTである。その調査は、窃取資金が複数の中間ウォレットを経て、中国の店頭(OTC)ディーラーに関連するアドレスに到達するまでの洗浄経路を再構築したものだ。こうしたディーラーは、規制された暗号資産取引所のコンプライアンス圏の外で営業している。ZachXBTは、送金に使われたウォレットと、過去に北朝鮮の攻撃者に帰属していたアドレスとの間に資金的な接点を特定しており、この裏付けがSquidSquadの帰属判断の根拠になっている。ただし、今回の結論はあくまでオンチェーン上の帰属分析であり、過去の北朝鮮(DPRK)系活動とのウォレットレベルの重なりに依拠したものだ。内部情報に基づく断定ではない。被害を受けた機関の名称は非公表で、資産がどう侵害されたかも明らかにされていない。ホルダーが当局へ被害届を出したかどうかを示す公的記録もない。最初の侵入経路について公開情報は説明に及んでおらず、署名鍵の漏洩なのか、従業員の端末なのか、外部連携の脆弱性なのかは現時点で不明だ。プラットフォームやカストディ事業者側からの独立した確認も出ていない。オンチェーンの動きを見ると、攻撃者は侵害後およそ2週間にわたり資金を管理し続け、本格的な送金が確認されたのは10月20日(火)になってからだった。それまで盗まれた資産はネットワーク上にほとんど痕跡を残していなかった。なお、今回の侵害は単一の機関ホルダーのカストディ層での事故であり、BNBの価格やネットワーク自体の稼働には何の影響も示唆されていない。

Tornado Cash経由で1,111.2 ETHを送金

10月20日の送金は、これまでで最も動きが大きい区間だった。攻撃者はまず1,111.2 ETHをTornado Cashに入金した。Tornado Cashは送信ウォレットと受信ウォレットのつながりを切り離すプライバシー特化型プロトコルで、ここから3つの別々のEthereumアドレスへ引き出しが行われた。その後、資金はUSDT0経由でTronへ移った。USDT0はTetherのドル連動型ステーブルコインの横断版で、ユーザーが通常セットアップするクロスチェーンブリッジを介さずに、対応チェーン間を直接移動できる仕組みだ。送金はTEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBUとTVxzjnx3GPDTciiuaqXPaUbU5f5yi3Vouxの2つのTronアドレスに集約され、いずれも過去に北朝鮮系の作戦と結び付けられたアドレスと取引の重なりを示している。集約から数分のうちに、資金は中間ウォレットを通過し、中国のOTCディーラーに帰属するアドレスへ到達した。この速度は凍結を先回りしてかわす意図と読める。Tetherは対応ネットワーク上のアドレスのUSDT残高を制限できるからだ。調査結果は、OTCディーラーが法定通貨への換金(いわゆる暗号資産の換金)を完了させたかどうか、また盗まれた資産の一部がすでに凍結されているかどうかを確定させていない。2026年版の北朝鮮暗号資産脅威評価は、SquidSquadが暗号資産の創業者、経営層、富裕投資家への攻撃を展開してきたとしている。グループはTelegramやLinkedInでベンチャーキャピタリストや投資家、取引相手を装い、悪意ある文書やソフトウェアを配布する手法を取る。研究者はRustBucket、SwiftBucket、NimDoorの各マルウェアファミリーとの関連を挙げ、盗まれた資金の移動に使われたサービスとしてTornado Cashも列挙している。本件の背景には、ZachXBTが10月5日(月)に公表した調査もある。2025年のBybit事件(15億ドル相当の窃取)に関連する取引を追跡するため、彼は顧客を装って34万9,700ドルを費やしたと説明し、その過程で10億ドル超を処理したとされる中国籍の組織が浮き彫りになり、Tetherはそこで判明したウォレットに連動する442,000 USDTを凍結した。また、Mandiantが北朝鮮グループUNC6862の犯行とした4月のDrift Protocolハッキング(2億8,500万ドル)に関連するウォレットも、同じ10月20日に25,700 ETH(6,156万ドル相当)をTornado Cashへ移している。ただし、両事件の連携は確認されていない。2024年のRadiant Capital事件(約5,000万ドル)も同様のミキサー経路をたどり、CertiKの集計では2025年10月時点で関連ウォレットから2,834 ETH(約1,080万ドル)がミキサーを通過したとされる。Radiant自体は2026年6月に事実上縮小した。BNBスマートチェーンへの圧力は本件以前から続いており、当編集部もネットワーク上のCysicブリッジ停止を別途報じている。

集約からOTCまで数分の攻防

この事案で見るべき点は、ヘッドラインの金額以上に2つある。1つはタイミングだ。Tronでの集約からOTCディーラーまでの間は「日」ではなく「分」で区切られており、Tetherが発効しうる凍結命令に勝つことを狙ったテンポである。もう1つは出口経路だ。経路の各ホップはブロックチェーンノードを運用すれば誰でも確認できる。それでも末尾のカウンターパーティーは公開調査の外側にあり、資金回収の見通しが細くなるのはまさにその地点だ。BNBの市場面は、BNBのテクニカル分析や第37回四半期オートバーンのような供給イベントなど、別の要因が独自に働く領域であり、本件とは切り離して見る必要がある。最新の公表情報の範囲では、284万ドルが換金されたのか、凍結されたのか、回収可能なのかはいずれも報告されていない。