北朝鮮のラザルス・グループ、暗号通貨に対するサイバー戦争を仕掛ける―開発者が新たな標的に

北朝鮮の悪名高いハッキングユニットであるラザルス・グループは、開発者への焦点を強めながら、暗号通貨における新たなサイバー攻撃を実行してきました。 

セキュリティ研究者は、過去数ヶ月の間、このグループが資格情報を盗み、暗号通貨ウォレットデータを外部に持ち出し、開発環境に永続的なバックドアを作成する悪意のあるnpmパッケージを妨害していることを発見しました。これは、過去に歴史に残る最大の暗号通貨窃盗事件の一部を目の当たりにしてきた同グループの長年にわたるサイバー戦争における重大なエスカレーションを示しています。

新しい調査によると、 Socket Research Teamによる新しい調査によると、ラザルス・グループの支部が、JavaScript開発者にとって最も人気のあるパッケージマネージャーの一つであるnpmリポジトリに侵入しました。 

ハッカーはその後、タイポスquatting（類似ドメイン名を使用した詐欺）の手法を使用して、人気のあるnpmパッケージの悪意のあるバージョンを公開し、無防備な開発者をだましてプログラムをダウンロードさせました。パッケージには、is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency、auth-validatorが含まれています。 

実行されると、侵害されたパッケージはBeaverTailマルウェアをインストールします。この「高度な」ツールは、ログイン資格情報を盗み、ブラウザファイル内の保存されたパスワードや、SolanaやExodusなどの暗号通貨ウォレットからのダンプファイルを検索します。

セキュリティ研究者は、盗まれたデータがハードコードされたコマンド・アンド・コントロール（C2）サーバーに送信されたことに注意しました。これは、機密データをアクターに戻すためにラザルス・グループが採用する一般的な手口です。 

その目的は、検知されることなく侵害されたデータを盗み、送信することであり、金融およびブロックチェーンアプリケーションを構築する開発者の世界では特に脅威的だと、Socket Securityの脅威インテリジェンスアナリストであるキリル・ボイチェンコは述べています。

ラザルスはBybitに対する攻撃を開始し、約14億6000万ドルを盗んだ

これらのサプライチェーン攻撃に加えて、ラザルス・グループは記録に残る最大の暗号通貨窃盗事件の一つにも関与しています。最初の行動は、2025年2月21日に、グループに関連するハッカーが世界最大の暗号通貨取引所の一つであるBybitに侵入し、推定14億6000万ドルの暗号資産を奪ったと推測されています。

この攻撃は非常に洗練されており、Bybitの技術パートナーであるSafe{Wallet}の従業員の侵害されたデバイスから発射されたとされています。ハッカーはBybitのEthereumウォレットのインフラストラクチャの脆弱性を悪用し、スマートコントラクトのロジックを変更して資金を自らのウォレットにリダイレクトしました。

Bybitは直ちに問題を解決しましたが、 CEOベン・ジュオ からの声明により、盗まれた資金の20%がすでにミキシングサービスを通じて洗浄され、追跡不可能になっていることが明らかになりました。

この最新の攻撃シリーズは、国際的な制裁を回避するための北朝鮮のより広範な取り組みの一部であり、暗号通貨の盗難と洗浄を行っています。

2024年の国連報告書によると、北朝鮮のサイバー犯罪者は過去1年間で世界の暗号通貨窃盗の35%以上を担当し、10億ドル以上の盗難資産を蓄積しました。ラザルス・グループは単なるサイバー犯罪組織ではなく、盗まれた資金が直接同国の核兵器および弾道ミサイルプログラムに流用されているため、地政学的な脅威でもあります。

このようなラザルス・グループの攻撃は、年々進展しており、直接の取引所ハッキングからサプライチェーン攻撃、さらには開発者およびソフトウェアリポジトリ攻撃へと進化しています。

npm、PyPI、GitHubなどのオープンソースプラットフォームにバックドアを追加することで、グループは潜在的な攻撃範囲を多くのシステムに拡大し、暗号通貨取引所に直接ハッキングする必要をなくしています。

セキュリティ専門家は、暗号通貨開発者に対するより厳格な保護を求めています 

これらの増大するリスクを指摘し、サイバー専門家は、開発者および暗号通貨ユーザーに対するより厳格なセキュリティとハッカーからの保護を推進しています。そのようなベストプラクティスの一つは、インストール前にnpmパッケージの真正性を確認することです。タイポスquattingは、サイバー犯罪者が使用する最も一般的な手法の一つであり続けています。 

Socket AI Scannerは、ソフトウェア依存関係またはnpm監査における異常も追跡し、侵害されたパッケージが使用されているかどうかを通知し、実際の損害を与える前にアプリケーションからそれらを取り除くことを可能にします。

ガイドは、ユーザーと開発者が、取引所ウォレット、GitHubなどの開発者プラットフォーム、およびその他のアカウントに対してマルチファクター認証（MFA）を有効にすることで、自らを保護する Initiative を取ることを推奨しています。 

ネットワーク監視は、侵害されたシステムが通常外部のコマンド・アンド・コントロール（C2）サーバーにメッセージを送信し、その後感染したコンピュータに悪意のあるアップデートをアップロードするため、第一線の防御として見なされています。不正な送信トラフィックをブロックすることで、ハッカーのこの盗まれたデータへのアクセスを遮断できます。

Bybit、暗号通貨セキュリティ戦の激化に伴いリカバリー報奨金を開始

Bybitのハッキング後、取引所は盗まれた資産の発見に貢献した任何人に報奨金を支払うリカバリー報奨金プログラムを開始しました。このプログラムでは、回収された資金の最大10%の報奨金が認められます。

同時に、より大きな暗号通貨エコシステムは、セキュリティ慣行の強化に忙しく、開発者に対して、この脅威的な道へとつながりかねない同じ慣行から保護するよう警告しています。

しかし、ラザルス・グループの戦術がますます急速に進化する中、ネットワーク防衛者は、暗号通貨に対する戦争はまさに始まったばかりだと述べています。