朝鮮ハッカー、2025年に記録的な20億ドルの暗号通貨強奪、45日間のマネーロンダリング手法が明らかに

区块链分析会社Chainalysisの最新レポートは、北朝鮮に関連するハッカーが2025年に少なくとも20億ドルの暗号通貨を窃取し、歴史的記録を更新し、前年比で51％増加したことを明らかにしています。彼らの累計盗難額はすでに67.5億ドルに達しています。攻撃パターンは「少数精鋭」の特徴を示し、事件数は減少しているものの、1回あたりの攻撃規模は巨大であり、その76％はサービス層の攻撃によるもので、3月に発生したBybitの14億ドルの脆弱性事件が主要な推進力となっています。

レポートは、北朝鮮ハッカーの独特なマネーロンダリング経路を初めて体系的に描写しています。中国語サービス業者やミキサーに依存し、典型的な45日間の資金洗浄サイクルに従うことが示されています。これは、暗号通貨業界が国家支援の高度に組織化され資金力のある「スーパー脅威」に直面していることを示し、世界中の取引所やプロトコルの安全対策とコンプライアンス協力に前例のない課題をもたらしています。

盗難規模の新記録：広範囲から精密狩猟へ

2025年の暗号通貨窃盗分野には、不安を覚える転換点が現れました。世界的な盗難総額は34億ドルに達し、そのうち約3分の2は、北朝鮮政府と関連するハッカー組織に帰属しています。Chainalysisの権威あるレポートによると、これらのハッカーは2025年に少なくとも20.2億ドルを盗み出し、この数字は2024年比で51％増加し、2020年水準の約6.7倍に相当します。さらに重要なのは、この記録的な「戦績」が、攻撃事件の数が大幅に減少している背景で達成されたことであり、戦術が過去の頻繁な嫌がらせから、高価値ターゲットに対する「外科手術的」な正確な攻撃へと進化していることを示しています。

この「少数大規模」モデルは、データ上でも明確に表れています。レポートは、2025年に北朝鮮ハッカーが76％のサービス層侵入事件に関与しており、これは歴史上最高の割合だと指摘しています。ここでいう「サービス層」とは、中央集権型取引所（CEX）、ホスティング機関など、多くのユーザー資産を保有するプラットフォームを指します。最も代表的な事件は、2025年3月のBybitの14億ドル攻撃であり、単一事件だけで年間の北朝鮮ハッカーによる盗難総額の大部分を占めています。Chainalysisの国家安全保障情報責任者Andrew Fiermanは、「この進化は長期的なトレンドの継続です。北朝鮮ハッカーは長年にわたり高度な複雑性を示しており、2025年の行動は、戦術とターゲットの継続的な進化を示しています」と分析しています。これは、攻撃者がリスクとリターンの最大化を追求し、資源を一つの高リターンターゲットに集中させていることを意味します。

この変化は、暗号通貨エコシステムに構造的な脅威をもたらします。攻撃者がコアの重要なサービスプラットフォームを狙うと、その成功は巨額の財務損失だけでなく、市場の信頼を深刻に損ない、連鎖的な信頼危機や規制の見直しを引き起こします。個人のウォレットへの小規模窃盗とは異なり、こうした攻撃は業界の基盤インフラの根幹を揺るがすものです。

マネーロンダリングの工程化：45日間の資金「洗浄」ラインを解剖

窃盗に成功することは第一歩に過ぎず、「闇資金」を白紙化し最終的に現金化することこそ、ハッカーの行動の閉ループの核心です。Chainalysisのもう一つの重要な貢献は、北朝鮮ハッカー集団の高度に専門化・工程化されたマネーロンダリングモデルを明確に描き出した点であり、一般的なネット犯罪グループの洗浄行動と顕著に異なっています。

まず、資金移動戦略において、北朝鮮ハッカーは高度な反捜査意識を示しています。彼らは巨額の盗難資金を50万ドル未満の小口に分割し、チェーン上で移動させる傾向があり、60％超の送金がこの閾値以下に抑えられています。対照的に、国家背景のないハッカーは、数百万ドルから数千万ドル規模の大口送金を好む傾向があります。この「細分化」手法は、追跡の複雑さとコストを大きく増加させており、運用の安全性（OPSEC）の高度化の象徴です。

次に、サービス選択においても、彼らの嗜好は地政学的依存性と特定の制約を示しています。北朝鮮ハッカーは、中国語の保証サービス、ブローカー、OTC（店頭取引）ネットワークを大量に利用し、クロスチェーンブリッジやミキサー（例：Tornado Cash）に大きく依存して資金の流れを混乱させています。興味深いことに、DeFiの借入・貸出プロトコルや分散型取引所（DEX）にはほとんど関与しません。Chainalysisは、これらのパターンは、北朝鮮の行動体が異なる制約を受けており、アジア太平洋地域の特定の違法サービスネットワークと深く結びついていることを示唆していると指摘しています。これは、彼らがグローバルな主流金融システムから孤立している歴史的背景に由来すると考えられます。

朝鮮ハッカーの45日洗浄標準プロセス

フェーズ1：迅速な混乱（第0-5日）

• 目的：盗難資金と出所アドレスの直接的な関連を即座に断つ。
• 主要ツール：ミキサー、DeFiプロトコル（資産タイプの迅速な変換に使用）。
• 狙い：追跡の最初の障壁を作り、後続の操作に時間を稼ぐ。

フェーズ2：統合と拡散（第6-20日）

• 目的：資金をより広範なエコシステムに導入し、換金の準備を整える。
• 主要ツール：KYC要件の緩い中央集権取引所、クロスチェーンブリッジ、二次ミキサーサービス。
• 狙い：異なるチェーン、資産、サービスプラットフォーム間で移動し、経路をさらに曖昧にし、潜在的な出口ルートに接触。

フェーズ3：最終的な換金（第21-45日）

• 目的：暗号資産を法定通貨や追跡困難な他の形態に変換。
• 主要ツール：KYC不要の取引所、即時交換プラットフォーム、中国語OTCサービス、そして合法的な取引流と結びつけるために再び主流CEXに混入。
• 狙い：資金洗浄の最終段階を完了させ、盗難の経済的価値を実現。

戦術革新：AIの活用と“内部浸透”が新たな切り札に

これほど大規模な窃盗と効率的な洗浄を達成するには、従来の技術だけでは説明できません。Chainalysisのレポートと業界の手掛かりは、北朝鮮ハッカーが二つの側面で「戦術革命」を進めている可能性を示しています。

まずは人工知能（AI）の深度活用です。Andrew Fiermanはメディアに対し、北朝鮮がAIをハッカー活動の「超能力」として利用していると明言しています。特に洗浄段階でのAIの利用について、「北朝鮮は一貫性と流暢さをもって暗号資産の洗浄を促進している。これにはAIの使用が示唆される。洗浄の仕組みと規模は、ミキサー、DeFiプロトコル、クロスチェーンブリッジを組み合わせたワークフローを作り出している」と述べています。AIは、自動的にウォレットアドレスを生成・切り替え、取引経路を最適化し、監視モデルを回避し、さらには正常なユーザー行動を模倣して取引所に溶け込むことにより、反制の難易度を飛躍的に高めることが可能です。

次に、前例のない「人員浸透」攻撃ベクトルです。レポートは、北朝鮮ハッカーが取引所やホスティング機関、Web3企業の技術ポジションに操作員を潜入させ、特権アクセスを獲得しようとしていると指摘しています。今年7月、著名なオンチェーン調査員ZachXBTは、北朝鮮関連の人物が世界の暗号業界の345〜920のポジションに潜入している可能性を暴露しました。この「トロイの木馬」型攻撃は、最も堅固な外部セキュリティを内部から崩壊させ、大規模な資金移動の裏口を開くことにつながります。さらに、ハッカーは雇用主や業界関係者を装い、偽のビデオ会議を用いたフィッシングを行い、今年だけで3億ドル超を窃取しています。これらの手法の組み合わせにより、防御側はコードの脆弱性だけでなく、人間の弱点や信頼の弱点にも対処しなければならなくなっています。

2026年展望：業界協調による最終防衛チャレンジ

国家資源を持ち、進化を続け、後先を考えない相手に対し、暗号通貨業界は2026年に安全保障の最終試験を迎えます。Chainalysisは明確な警告を発しています。北朝鮮は、国家の優先事項を資金調達し、国際制裁を回避するために暗号盗難にますます依存しており、この脅威の行動論理と制約条件は、一般的なネット犯罪者とは根本的に異なると指摘しています。

今後の攻撃ベクトルはより多様化する可能性があります。BybitやUpbitのような大型の中央集権取引所は依然として高価値ターゲットですが、長期運用されているDeFiプロトコル（例：レポートで言及されたBalancerやYearnの事件）も攻撃者の視野に入る可能性があります。Fiermanは、「2026年に何が起こるかは予測できないが、北朝鮮は最大のリターンを追求するだろう。つまり、高額な資金を持つサービス機関は高水準のセキュリティを維持し、自分たちが次の脆弱性になることを防ぐ必要がある」と強調しています。

この課題に対処するためには、単一の組織だけの孤軍奮闘は不十分です。レポートは、迅速かつ全業界の協調的対応メカニズムの構築を呼びかけています。Fiermanは、「北朝鮮は迅速かつ効果的な洗浄戦略を実行している。したがって、迅速かつ全業界の対応が必要だ。法執行機関と民間部門、取引所からブロックチェーン分析会社まで、資金の流れが安定コインや即座に凍結可能な取引所に到達したときに、あらゆる機会を捉えて阻止する必要がある」と述べています。これには、リアルタイムの脅威情報共有、プラットフォーム間の疑わしいアドレスの共同封鎖、そして国際的な法執行機関との連携強化が含まれます。

一般投資家にとって、このレポートはリスク警告の強いメッセージです。大量資産を長期にわたり中央集権サービスに預けるリスクは、システム的に高まっています。ハードウェアウォレットによる自己管理、資産の分散保管、未確認の通信に対する高い警戒心を持つことが、より重要な安全習慣となるでしょう。2026年、暗号通貨の世界は国家レベルのハッカー組織との攻防戦をさらに激化させることになるでしょう。