Chainalysis、Binanceを襲った罠と過去に起きた1430万ドルの窃盗事件に関連性

Chainalysisは、過去18ヶ月間で1,430万ドル以上の暗号資産損失が、後にBinanceを標的とした北朝鮮の偽面接手口によるものだと特定しています。

ブロックチェーン分析企業は、これらの小規模な窃盗事件を63億ドルの盗難事件への練習と見なしています。

多数の偽の就職面接によりウォレットが侵害されました

損失は、北朝鮮関連の偽面接やマルウェア攻撃によるもので、個人暗号資産保有者やプライベートウォレットからプロトコルやDAOまで多岐にわたるターゲットが含まれていました。

「私たちは、個人レベルで財布の侵害につながった数十件の他の就職面接での妥協を特定しました」と、Chainalysisのシニアインテリジェンスアナリストであるトム・マクラウドは述べています。個人の損失は数万ドルから数百万ドルに及んでいます。

北朝鮮のチームはこれらの攻撃において「手法を完璧にし、進化させていた」と彼は述べました。「それが歴史上一番大きな盗難事件に至る道です」とMcLouth氏は語りました。

Binanceの攻撃は、数ヶ月、あるいは数年にわたる練習の頂点だった可能性があります。Chainalysisによると、クリプトポリタンは、9月にエンジニアに送られた就職面接の招待状が原因で侵入が発生したとBinanceが追跡したと報じています。

エンジニアは偽の会社との2ラウンドの面接後、悪意のあるコードが仕込まれた面接課題をダウンロードしました。ChainalysisグローバルサービスシニアマネージャーのAlec Zebrick氏はこれを「感染する面接」と呼び、特権アクセスを持つスタッフを対象とし、その資格情報を雇用主に逆手に取ることを目的としています。

Chainalysisは、悪意のある面接後にクラウドストレージから秘密鍵が盗まれる事例も指摘した。ある被害者は、シードフレーズが感染したデバイスに存在しなかったと述べており、これはChainalysisによれば、クラウドログインまたはブラウザセッションの盗用を示唆している可能性がある。

3月、Microsoftは、Defender Expertsチームが2022年12月以降活動していた「Contagious Interview」キャンペーンを追跡していると文書化しました。

このキャンペーンでは、暗号通貨取引会社やAI企業の偽装採用担当者が、応募者にマルウェアパッケージを実行させる。

Microsoftによると、マルウェアはウォレットのニーモニックフレーズ、KeePassおよび1Passwordのストア、そして暗号化キーを探し出す。

ブロックチェーン・デッドドロップは1年で5倍に増加

Chainalysisはまた、ブロックチェーンを活用したサイバー攻撃が過去12ヶ月間で5倍に増加していると報告している。Chainalysisはこの現象を「Blockchain Dead Drops」と呼び、その急増は国家支援のアクターやオープンウェイトAIモデルの潜在的な利用によるものだと見られている。

北朝鮮のアクターは、2025年初頭に「Etherhiding」と呼ばれる手法の使用を開始した。この手法は、偽の就職面接を通じて感染したマシンを攻撃者のコマンド・アンド・コントロールサーバーに結びつけ、中央ホスティングよりも警察による押収が困難なブロックチェーン記録を利用する。

ある北朝鮮のセットアップでは、TRONとAptosの間に指示を分割していました。両チェーンはBSC上にホストされたペイロードへのポインタを持っており、感染したデバイスはペイロードにリダイレクトされます。

TRONが失敗した場合、Aptosがフォールバックとなります。

新しい「null receiver」アプローチでは、指示が特別に作成されたアドレス内に埋め込まれます。このアドレスは制御不能であり、暗号通貨を保持するために設計されていません。

このアドレスは、感染したマシンによってコマンドとして解釈されます。

9月、FBI、日本の警察庁、オーストラリアおよびドイツの機関は、約1,071万ドルの暗号通貨窃盗事件について、WaterPlumという名前の北朝鮮の犯罪グループを公的に非難しました。

WaterPlumは「Contagious Interview」とも呼ばれています。その作戦により、約7,000件の暗号資産アカウントの機密データに影響がありました。

FBIはバイナンス強盗事件を北朝鮮のグループTraderTraitorによるものだと特定しましたが、平壌側は一切関与を否定しています。Chainalysisは、盗まれた資金は数日中に動き続けることを期待しています。