北朝鮮ハッカーが3万台のデバイスに侵入、7,000件の暗号資産ウォレット認証情報を窃取
TREE NEWS 報道： 日本の警察は、WaterPlumとして追跡されている北朝鮮のハッキンググループが2025年から2026年にかけて3万台以上のデバイスを侵害し、7,000件を超える暗号資産ウォレット情報を窃取して、約1,071万ドル相当の資産を掌握したことを明らかにした。調査ではさらに、国内の「ラップトップファーム」運用と、日本の取引所BitFlyerに応募した北朝鮮IT人材の疑いがある人物が初めて確認された。
認証情報窃取の産業化への移行
このキャンペーンの規模は、これまでの北朝鮮による暗号資産犯罪を特徴づけてきた単発的な取引所侵害からの脱却を示している。単一のカストディアンを標的にするのではなく、WaterPlumはウォレット認証情報の窃取を産業化したとみられる。数万のエンドポイントに感染させ、シード、秘密鍵、取引所のログイン情報を大量に収集している。このモデルは、単一の高額強奪よりも安価で、追跡が難しく、はるかに回復力がある。
1,071万ドルという数字は、実際の被害を過小評価している可能性が高い。窃取された認証情報は、換金されるまでに数か月間休眠状態にあることが多く、被害者は侵入からずっと後に、ウォレットが侵害されたことに気づくかもしれない。7,000件のウォレットデータセットは、単なる過去の損失ではなく、将来の窃取のパイプラインを意味する。
ラップトップファームとインサイダー脅威
おそらくより重大なのは、「ラップトップファーム」の発見である。これは、リモートITワーカーの出身地を偽装するために使用される複数のマシンを設置した物理的な場所であり、北朝鮮の工作員と疑われる人物がBitFlyerの職務に応募した証拠とともに発見された。これは、採用プロセスを通じて暗号資産企業に侵入し、正規のアクセス権を取得して悪用するという古典的な手口である。
取引所やDeFiプロトコルにとって、その意味は明白である。境界セキュリティはもはや十分ではない。本人確認、エンドポイント監視、リモートスタッフの行動分析は、今や中核的な管理手段であり、オプションの追加要素ではない。単一の侵害されたインサイダーは、構築に何年もかかった技術的防御を回避できる。
今後の展開
日本および同盟国の規制当局は、金融機関におけるリモート採用に関する規則を強化し、より強力なデバイスレベルの証明を推進すると予想される。暗号資産企業は、国家支援の行為者がすでに応募者プール内にいると想定すべきである。業界の対応——強化された本人確認、ゼロトラストアクセス、より迅速な認証情報の失効——が、次のWaterPlumキャンペーンが迷惑行為になるか、システム的な事象になるかを決定するだろう。
