北朝鮮、63億ドル規模のBinanceハッキングへの関与を否定

北朝鮮は、約63億ドル相当の暗号資産がBinanceから盗まれた事件への関与を否定しました。FBIは、この攻撃を「TraderTraitor」として追跡している北朝鮮のサイバー活動によるものと断定していました。

北朝鮮高官で金正恩（キム・ジョンウン）氏の妹である金与正（キム・ヨジョン）氏は、国営メディアが報じた11月3日付の声明で、この疑惑を退けました。ブロックチェーン分析企業のChainalysisとTRM Labsも、この攻撃はTraderTraitorによるものと結論づけています。

暗号資産取引所やコンプライアンス部門にとっての当面の課題は、盗まれた資金に自社がどの程度関わっているかを特定し、捜査が続くあいだ資金の移動を制限することです。

金与正氏は朝鮮中央通信（KCNA）が報じた声明で、次のように述べました。「FBIは、北朝鮮が『支援』するハッキング組織がこの事件に関与したとの情報を得たと主張し、北朝鮮を『サイバー犯罪国家』に仕立て上げようとしている」

Binanceの対応状況の更新は、北朝鮮に責任があるとするFBIの判断を認めています。ただし、自社の調査は引き続き進行中だとしています。

同取引所は、損失を補填するのに十分な資金を確保済みで、代替のトークン資産を購入していると説明しました。こうした資産の補充は、盗まれた暗号資産の回収とは別の話です。

証拠は何を示しているのか

FBIによると、FBIと米シークレットサービス、IRS犯罪捜査部門などの協力機関は、TraderTraitorの攻撃者が盗んだ資産を主にイーサ（ETH）へ換えているのを確認しました。ただし、FBIが公表した注意喚起では、attribution（攻撃者の特定）の根拠となる証拠の詳細は明かされていません。

Chainalysisによると、同社が開示した最も有力な証拠は、盗まれたBinanceの資金がBitgetの窃取で得られた資金と混在していたことです。同社のBitgetに関する調査は、3億8,700万ドル規模のこの攻撃が9月24日に発生したと特定し、北朝鮮の攻撃者によるものとしています。

ブロックチェーンの記録から資金の流れは追えますが、取引だけでは、アドレスを実際に管理している人物の身元までは確定できません。捜査当局は、取引分析に取引所の記録やその他のインテリジェンスを組み合わせ、攻撃者の特定を裏づけることができます。

TRM Labsは、オンチェーンとオフチェーン双方のインテリジェンスを用いて攻撃者を特定できたと説明しています。どのようなオフチェーン情報を使ったかは明らかにしていませんが、「確度の高い判断」だとしています。また、捜査の進展に応じて追加情報を公開する方針です。

暗号資産のセキュリティチームが確認すべきこと

FBIの注意喚起は、暗号資産サービスプロバイダー（VASP）などの民間組織に対し、この窃取に関連するアドレスとの取引、またはそこから派生した取引をブロックするよう求めています。取引所やコンプライアンス部門にとって現実的な出発点は、これらのアドレスを自社のスクリーニングシステムや取引履歴と照合することです。

該当するものがあれば調査し、取引記録を保全したうえで、セキュリティとコンプライアンスの手続きに沿って結果をエスカレーションする必要があります。アドレスが特定される前に資金が関与していた可能性があるため、過去の取引の確認が重要です。捜査当局が新たな調査結果を公表するたびに、スクリーニングの仕組みも更新しなければなりません。

予防策では、開発者のアクセス管理にも注意が必要です。北朝鮮の別のキャンペーンでは、偽の採用・面接のプロセスで開発者を侵害する手口や、ブロックチェーン上のスマートコントラクトで暗号資産窃取マルウェアを隠す手口が使われました。これらの事例は、採用担当者から提供されたコードを入念に調べ、開発者のワークステーション上の認証情報を保護する必要性を裏づけています。ただし、Binanceの攻撃者がどのように侵入したかを示すものではありません。

自社サービス内での取引ブロックと、ブロックチェーン全体での資産凍結は、区別して考える必要があります。取引所は自社のプラットフォーム上の活動を制限でき、一部のトークン発行者は自らのトークンを凍結できます。しかし、こうした仕組みがあっても、すべてのノード運営者がネットワーク全体で送金を阻止できるわけではありません。

TRM Labsは、窃取の前に、Tornado Cashからの少額の出金によって攻撃者の運用ウォレットに資金が供給されていたと報告しました。この点は攻撃の準備段階に関する発見であり、盗まれたBinanceの資金がその後同サービスを通じて引き出されたことを示すものではありません。

Binanceの事件は、資金の凍結、資産の回収、準備金の補充を切り分けて考えることの重要性も浮き彫りにしています。凍結は資金の移動を制限できますが、被害者に資産が戻るわけではありません。補充は、失われた資産を埋め合わせることを意味し、盗まれた資金を必ずしも取り戻すことではありません。

FBIの注意喚起は業界に協力を求めていますが、それ自体がすべての暗号資産関連組織に一律の法的義務を課すものではありません。コンプライアンス部門は、自社の事業や管轄にどの義務が適用されるのかを見極める必要があります。捜査当局が攻撃者の特定と資産回収の全体像を解明していくあいだも、各組織は自社のリスクを評価し、対策を強化できます。

関連記事：Liquid Networkの窃取事件と盗まれたビットコインの一部返還は、資産回収に関する主張では、返還された資産と未回収の損失を区別すべき理由を示しています。