北朝鮮の28億ドル規模の仮想通貨窃取システム、専門洗浄業者に依存 ―RUSI調査

北朝鮮のハッカーたちは、盗んだ暗号資産をプロの仲介業者に引き渡すケースを増やしています。仲介業者はこれを他の犯罪収益と混ぜ合わせたうえで、一般通貨に変換します。英王立防衛安全保障研究所（RUSI）の新たな報告書によると、2024年1月から2025年9月までの間に北朝鮮は少なくとも28億ドル相当のデジタル資産を窃取したとされています。

ブロックチェーンから伝統的金融システムへの資金の流れを追跡

報告書の著者らは、資金がブロックチェーンから伝統的な金融システムへと移動する経路を追跡しました。北朝鮮の脅威グループは、取引所、対面・相対（OTC）取引の売り手、ダミー口座、そして既存の犯罪ネットワークを利用して盗んだ資産を移動させています。仲介業者は盗まれた暗号資産を割引価格で購入し、自ら資金洗浄を行ったうえで一般通貨に変換します。その結果、資金を北朝鮮まで遡って追跡することは次第に困難になっています。

Bybitハッキング事件:15億ドルが完全に洗浄

その典型的な例が、2025年2月に発生した仮想通貨取引所Bybitへの侵害事件です。この事件では約15億ドルが盗まれました。攻撃者は資金を移動させるため、中国人を中心とする洗浄業者やトレーダーからなるネットワーク全体を動員しました。報告書の分析によると、2025年9月までにBybitから盗まれた資金はすべて一般通貨または現金に変換済みだったとされています。Bybit自身もこの事件の詳細な経緯を公表しています。

Huioneグループ:資金洗浄の重要な結節点

この連鎖におけるもう一つの重要な結節点が、カンボジアのHuioneグループです。2024年、Huioneに関連する1つのウォレットが、日本の取引所DMMへのハッキング事件に由来する約3,500万ドル相当の暗号資産を受け取っていたことが判明しています。Huione Payの顧客は、暗号資産を入金し、それを一般通貨として引き出すことができました。2025年、米財務省の金融犯罪取締ネットワーク（FinCEN）はHuioneグループを、北朝鮮のサイバー活動による収益を洗浄するための重要な拠点であると認定し、その後同グループの米金融システムへのアクセスを完全に遮断しました。

「名義貸し」と盗まれた身元情報の大規模な悪用

報告書の著者らはまた、攻撃者が口座登録に際して名義貸し（ストローパーソン）を広範に利用している実態も指摘しています。攻撃者は他人の身分証明書や認証情報を購入しており、その多くはフィリピン、インドネシア、中国の住民から調達されています。より高額な手口では、身分証明書の実際の所有者との連絡関係を維持し、取引プラットフォームが不審に思って再認証を求めてきた場合には、その本人が確認手続きに応じられるようにしています。

大規模窃取事件後、ほぼ瞬時に行われる資金分散

大規模な窃取事件の発生後、資金はほぼ瞬時に分散されることがあります。研究者らは、規制対象外のプラットフォームを含む多数のアドレスへ自動的に資産を分散させる、あらかじめ設定されたウォレット構造の存在を指摘しています。こうした状況を踏まえ、金融機関には、不審なアドレス情報を共同で共有すること、仲介業者をより厳格に精査すること、そして銀行送金記録に暗号資産プラットフォームの識別情報を含めることが求められています。報告書の著者らは、銀行データとオンチェーン活動を紐付けない限り、こうした資金洗浄の連鎖を検知することは今後ますます困難になっていくと主張しています。