- 米司法省（DoJ）は、Binanceから盗まれた67億ドルのうち12億ドルについて、「凍結または押収」するための裁判所命令を取得したと発表
- FaceStealer攻撃に使われたインフラも妨害
- Binanceの資金の大半は依然として行方不明
米司法省（DoJ）は、Binanceから最近盗まれた12億ドルについて、「押収または差し止め」の裁判所許可を得たと発表しました。
2026年10月下旬、Binanceは67億ドルを失ったと報告しました。約20分間にわたる極めて巧妙な犯行でした。その後の数日間で、犯行はTraderTraitorによるものだと判明しました。TraderTraitorは悪名高いLazarus Groupの一派で、史上最大級の暗号資産強奪事件を数多く起こしてきた北朝鮮の国家支援型の脅威アクターです。
コミュニティはBinanceを支援するため結束し、資金の追跡や攻撃者のウォレットへのラベル付けに協力しました。そして今回、米国の法執行機関は、少なくとも資金の一部を押収または凍結したと発表しました。ただし、それが具体的に何を意味するのか、どのように実施したのか、Binanceがそれらのトークンを取り戻せるのかについては説明していません。
30億ドル近くを押収
DoJは発表の中で、「窃盗の発生以来、国家安全保障部門の国家安全保障サイバー課、刑事部門のコンピュータ犯罪・知的財産課、コロンビア特別区連邦検事局、そして法執行機関のパートナーは、暗号資産サービスプロバイダー（VASP）と緊密に連携し、盗まれた資産の阻止に取り組んできました」と述べています。
「米政府と民間部門の共同の取り組みにより、これまでに27億ドル超が凍結されました。このうち12億ドル超については、司法省がすでに押収または差し止めの裁判所許可を得ています」
同じ発表でDoJは、北朝鮮のハッカーがFaceStealerと呼ばれるソーシャルエンジニアリングの手口に使っていたクラウド基盤を、米政府が妨害したことも明らかにしました。この手口はBinanceへの攻撃では使われていないとみられますが、過去18か月間に累計で約4億ドルの窃取につながったとされます。さらに、その手法はTraderTraitorが今回の攻撃で用いたものとほぼ同じです。
FaceStealer
攻撃の準備には数か月を要し、グループは従業員のデバイスを経由してBinanceに侵入したことも判明しました。この従業員は偽の採用面接に招かれ、そこでマルウェアを仕込まれたとされ、これがTraderTraitorに貴重なアクセス権を与えました。そのアクセス権をどのようにして史上最大の暗号資産強奪にまで拡大したのかは、まだ明らかになっていません。
グループは、Bitcoin、Ethereum、XRP、Solana、Arbitrumなど10のチェーンから資金を引き出しました。資金はBinanceのもので、顧客のものではありません。これが同社のウォレットから出た後、さまざまな「ミキサー」やその他のマネーロンダリングサービスに送られました。
FaceStealerは、その名のとおり人の顔を盗む手口です。盗んだ顔は、大規模な暗号資産窃取の仕組みで重要な役割を担うなりすましに使われます。
DoJによると、犯罪者はまず標的の知人のアカウントを乗っ取り、ビデオ通話に誘い込みます。通話は偽のZoomプラットフォーム上で行われます。被害者の画面には知人の映像が映りますが、実際には以前に盗まれた録画にすぎません。音声は聞こえず、その後「音声を聞いて通話に参加するには、コンピューターのドライバーを更新する必要がある」というメッセージが届きます。この場合のドライバーの正体がマルウェアで、多くは情報窃取型マルウェア（インフォスティーラー）か、より広いネットワークへの足がかりとなるものです。
北朝鮮の国家支援型アクターは、最も活発で破壊的なハッカーの一角です。セキュリティ業界の複数の情報源は、北朝鮮政府が盗んだ資金を国家機構や核兵器開発の資金源にしていると主張しています。
北朝鮮政府がこうした疑惑に応じるのはまれで、応じる場合も、たいていは根拠のない主張だとして退け、逆に米国が同じことをしていると非難しています。
