先月発生した暗号資産プラットフォームBinanceからの63億ドルの盗難事件を受け、米国の法執行機関は今週、北朝鮮のハッカーが使用していた盗難暗号資産とデジタルツールを押収しました。
米司法省は裁判所の許可を得て、大胆な攻撃でBinanceから盗まれた資金のうち12億ドル以上を押収または凍結しました。この盗難被害では、複数の暗号資産プラットフォームが合計27億ドルを凍結しており、今回の押収はその一部にあたります。
A・タイセン・ドゥバ司法次官補は、司法省内の複数の部門が「盗まれたBinanceのデジタル資産数十億ドル分を、法執行機関の手が届かなくなる前に直ちに凍結する上で、重要な役割を果たした」と述べました。
ドゥバ氏は「刑事局は、デジタル資産業界と省をつなぐ窓口として、その専門知識を生かして迅速かつ的確に対応し、この歴史的な侵害による被害のおよそ半分を即座に食い止めた」と語りました。
BinanceとFBIは、この盗難事件をTraderTraitorによる犯行と断定しました。TraderTraitorは北朝鮮を代表するハッキング集団で、過去10年間に複数の攻撃で数十億ドル相当の暗号資産を盗んできました。
司法省は「盗まれた仮想資産の追跡、凍結、押収、没収に向けた取り組みは続いている。TraderTraitorの関係者は、さまざまな暗号資産ブリッジ、ミキサー、取引所を通じて、今も資産のロンダリングを続けている」と説明しています。
複数のブロックチェーンセキュリティ企業は、北朝鮮などの攻撃者が新しい自動化された手法で盗難暗号資産をロンダリングしていると指摘しています。
DTEXの国家支援型脅威リサーチャーで、長年北朝鮮のサイバー犯罪キャンペーンを追跡してきたマイケル・バーンハート氏は、Recorded Future Newsに対し、TraderTraitorの常套手段は、盗んだ資金を直ちに中国のマネーロンダリング業者に引き渡し、一括払いまたは割合で報酬を支払うことだと以前語っていました。
ブロックチェーンインテリジェンス企業のEllipticは今週、北朝鮮のロンダリング担当者が「価値のない独自トークンを作り、分散型取引所の流動性プールを経由して盗難暗号資産を移動させている。これにより、盗んだ資産を保有するウォレットから受け取り側のウォレットへ資金が直接渡ることはない」ことを確認したと発表しました。
Ellipticによると、北朝鮮は昨年、ドバイを拠点とする暗号資産プラットフォームBybitから盗んだ14億ドルのロンダリングでも、同様の手法を試みていました。
FBIサイバー部門のブレット・レザーマン作戦部長は、北朝鮮政権について「大規模な暗号資産窃盗で得た収益を違法な兵器開発の資金源としており、近年は数十億ドルを盗んでいる」と述べました。
FaceStealerを摘発
FBIと司法省は、Binance関連の押収に加え、北朝鮮のハッカーが使用していたクラウドインフラも摘発したと発表しました。このインフラは「FaceStealer」と呼ばれるソーシャルエンジニアリングキャンペーンに使われ、過去18か月間で4億ドル以上の暗号資産が盗まれていました。
北朝鮮のハッカーは、悪意あるZoomやTeamsのリンク、録画済みの動画、ディープフェイクを使って被害者をだましてマルウェアをダウンロードさせ、さらに被害者の映像を次の攻撃に悪用していました。
FBIは、FaceStealerの被害者のウェブカメラ映像900本以上を押収する令状を取得しました。FBI当局者は記者会見で、すでに多くの被害者に連絡して手口について聞き取りを行ったと説明しました。一方で、最初の被害者が誰だったのかは特定できていないとしています。
FBI捜査官はRecorded Future Newsに対し、FaceStealerがBinanceへの侵入に使われた手法の一つだったかどうかは不明だと述べました。
FBI当局者のパトリック・グランディ氏は「北朝鮮のFaceStealerは非常に効果的なソーシャルエンジニアリングの手口で、技術に精通しセキュリティ意識の高いユーザーでさえだませる。どこでも使われているビデオ会議プラットフォームへの信頼や、大切な人間関係につけ込む手口だ」と指摘しました。
さらに「自分が引っかかる場面を想像できないという人は、想像力が足りていない」と警告しています。
FBIと司法省によると、ハッカーは過去の被害者から盗んだアカウントを使い、ZoomやTeamsのビデオ会議へのCalendly招待を送って標的を誘い込みます。リンク先はマルウェアが仕込まれた偽ドメインで、標的が会議に参加する前に、すでに攻撃者に侵害されてしまう仕組みです。
FBIが調査した複数の事例では、ハッカーが被害者から暗号資産を盗むとともに、Telegram、LinkedIn、Slack、Discordなどのアカウントを乗っ取っていました。そして被害者の知人に連絡を取り、ときには数か月後にZoomやTeamsでの会議を持ちかけていました。
ハッカーは過去の被害者のチャット履歴を閲覧できるため、資産価値の高い相手に合わせて、内容を細かく作り込んだメッセージを送れます。
標的が会議に入ると、ハッカーは過去の被害者を撮影した複数の動画を再生し、大勢が参加しているように見せかけます。あわせて標的のウェブカメラ映像も録画し、標的と親しい知人への攻撃で使います。
一部のケースでは、ハッカーがAIを使い、著名な暗号資産関係者のディープフェイク動画を作成していました。FBIによると、被害者が一人増えるたびに、北朝鮮が侵害した連絡先の標的・被害者のプールは急速に膨らんでいきます。
FBIは「会議中、ハッカーは『声が聞こえない』などと偽の技術的エラーを持ち出し、それを解消するためのリンクや操作を案内する」と説明しています。
「この『修正』によって、標的のコンピューターにマルウェアがひそかにインストールされる。コンピューターが侵害されると、ハッカーは暗号資産を盗んだり、標的が持つ他のコンピューターインフラへのアクセス権を悪用したりできる」としています。
この「修正」により、感染した端末には通常、ブラウザーのCookie窃取ツール、キーロガー、画面キャプチャーツール、バックドアがインストールされます。
北朝鮮の攻撃者は、この手口で暗号資産業界のほか、オープンソースソフトウェアの開発者も狙っています。
FBIは、北朝鮮のハッカーがほかにも、ソフトウェア開発者やメンテナー、ダウンロード数の多いソフトウェアライブラリを標的にした試みを複数把握していると述べました。JavaScriptレジストリのNode Packet Manager（NPM）にリポジトリを持つメンテナーが繰り返し狙われ、最近ではRustクレートのメンテナーも標的になっています。
FBIによると、北朝鮮のハッカーは今年初め、FaceStealerの手口で「重要なオープンソースJavaScriptライブラリ」のメンテナーを偽のTeamsビデオ会議に「あと一歩のところで」誘い込みかけました。
FBI当局者は、このJavaScriptメンテナーの事案について詳細を語りませんでしたが、「報道機関で広く取り上げられた」と述べました。また、FaceStealerの手口はAPT38の仕業だとしています。APT38は北朝鮮のグループで、debugとchalkのNPMパッケージを侵害したほか、3月には非常に人気の高いaxiosパッケージも侵害したとして、以前から指摘されてきました。
APT38は北朝鮮を代表する軍系のハッキング集団で、2016年のバングラデシュ銀行強奪事件を引き起こしました。DTEXの北朝鮮専門家であるバーンハート氏によると、APT38は成功を収めた後、複数の組織に分割され、その一つがTraderTraitorです。
翻訳元: https://therecord.media/stolen-binance-crypto-recovered-doj-facestealer-disrupted
