FBIと警察庁、WaterPlumハッカーがBitcoin(BTC)など暗号資産ウォレットから1,071万ドル流出させたと発表

3万台の端末と7,000以上のウォレットが侵害

北朝鮮に連なるハッキング集団「WaterPlum」が、暗号資産ユーザーから少なくとも1,071万ドル相当のデジタル資産を引き出していたことが、日本の警察庁(NPA)と米連邦捜査局(FBI)が金曜日に共同で発表した注意喚起で確認された。両機関の発表によると、WaterPlumは「Contagious Interview(接触型面接攻撃)」という名称でも追跡されており、100カ国を超える国・地域で3万台以上のコンピュータに感染 malware を仕込み、7,000以上の暗号資産ウォレットからデータを不正取得。2025年12月から2026年7月までの間、資金は一つのウォレット群に集約されていたという。注意喚起が描く攻撃の構図は、ソフトウェア開発者を直接狙った採用詐欺だ。攻撃者はAIや暗号資産、アルトコイン系スタートアップのヘッドハンターを装い、SNSや求人サイト、フリーランス向けマッチングプラットフォームを通じてターゲットに接触する。応募者は技術面接やコーディング試験へと誘導され、「ビデオ通話がうまくつながらない」あるいは「課題ファイル」を口実に、コード共有サイトからファイルをダウンロードさせられる。このファイルには情報窃取型マルウェア(インフォスティーラー)が仕込まれており、ブラウザの保存パスワード、スクリーンショット、キーストロークを静かに吸い上げる。決定的なのは、デジタル資産を保管するウォレットを支配する秘密鍵を抽出する点だ。

日米当局、北朝鮮系ハッカーによる3万台超の端末と7,000超のウォレットへの被害を発表

https://x.com/solidintel_x/status/2100940797222801825?ref_src=twsrc%5Etfw

共同注意喚起は「WaterPlumの攻撃者は、魅力的な求人を口実に、世界中のソフトウェア開発者やIT専門職を標的として潜在的雇用主になりすます」と明記している。攻撃者はAIブームの信用を借用している。AI分野では、Worldcoin(WLD)のような注目トークン案件をめぐり、開発者への継続的なアウトリーチが採用活動の一部として日常化しており、偽の採用接触は水面上で違和感を持たれにくい。それ以前の調査では、研究者が集団のサーバー内部に22カ月間潜入し、57カ国の犠牲者1,640人を地図化していたが、この足跡は金曜日の公式集計のごく一部にすぎず、公式の数字はその約18倍に達する。注意喚起は1,071万ドルを資産別に内訳していないが、Bitcoin(BTC)など流動性の高いコインで流出した資金は、最終目的地に到達する前にミキサーやクロスチェーンスワップを経て資金洗浄されるのが通例だ。

警視庁史上初のラップトップファーム摘発

日本国内で初めて確認された「ラップトップファーム」の解体が、今回の注意喚起に実動面の重みを加えている。調べによると、国内の協力者が自宅にラップトップPCを保管し、海外にいる北朝鮮IT労働者が遠隔で端末を操作。日本の住民になりすましてフリーランスの契約を獲得していた。このIT労働者らは数億円規模の暗号資産を海外へ移送しており、同一のIPアドレス群がこのファームとWaterPlumのインフラを結び付けた。警察庁とFBIの評価では、WaterPlumのサイバー攻撃者と一部の北朝鮮IT労働者は、朝鮮労働党中央委員会の傘下にある軍需工業部の313総局の下で活動している。つまり、本キャンペーンは国家の制裁対象となる収益装置の内部に位置付けられている。アナリストは従来から、北朝鮮による暗号資産窃取やプルーフ・オブ・ワークマイニング活動を武器調達資金と結び付けて指摘してきたが、金曜日の注意喚起はこの指揮系統を公式に裏付けた形だ。

この採用詐欺は日本の暗号資産取引所セクターにも及んでいる。2025年5月、北朝鮮工作員の疑いのある人物が、盗んだ履歴書を使って国内主要取引所bitFlyerのエンジニア職に応募した。面接官が捉えた不審点は複数ある。引っ越しを拒否し、報酬の暗号資産での支払いを要求し、答えを別の画面から読み上げている様子が見えたという。採用はされなかった。それ以前のキャンペーンでは、ディープフェイクを使った採用面接で上級職員への接近が図られており、同種のソーシャルエンジニアリングの手口は小口投資家向けの誘導にも現れる。不労所得を謳う勧誘から、ユーザーをPi Networkへ引き寄せたモバイルマイニングの物語まで、そのバリエーションは幅広い。当局は現在、開発チームに対し、採用担当者が提出したコードは必ずサンドボックス——本番ファイルやウォレットソフトから隔離された閉鎖的な検証環境——で実行するよう勧告している。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

脆弱なのはプロトコルではなく端末

注意喚起とラップトップファーム摘発を並べて読むと、一本の生産ラインが見えてくる。国家が運営するパイプラインが、偽の求人をウォレットの秘密鍵に変換し、その秘密鍵を制裁下にある体制にとっての現金へと変換するのだ。COINOTAGが提出書類を読み解いた限り、根本原因はプロトコルの欠陥ではなく端末の侵害にある——インフォスティーラーが開発者のマシンから秘密鍵を吸い出す点だ。したがって対策は手続き的なものになる。採用経由で届いたあらゆる成果物をサンドボックスで検証すること、署名用の秘密鍵を日常業務用のシステムから切り離すこと、そして未依頼のコーディング試験は敵性コードとして扱うこと。1,071万ドルの流出と7,000超のウォレット露出が確認された今、開発者コミュニティの脅威モデルは「採用担当者こそが攻撃である」ことを前提に更新される必要がある。