暗号資産史上最大の2件の強盗は同じグループによるものだった：FBI、Binanceの盗難をTraderTraitorと関連付け

暗号資産業界で、重大なセキュリティ上の動きが明らかになっている。暗号資産史上最大規模の2件の盗難が、北朝鮮とつながりのある同一のハッキンググループによるものだと報告されているのだ。

米連邦捜査局（FBI）は、Binanceから63億ドル超のデジタル資産を盗んだグループとして、TraderTraitorを特定した。この認定により、Binanceでの事件は、FBIが以前から同じグループによるものと関連付けていた、2025年2月に発生したBybitの約15億ドル規模のハッキングとも結び付くことになる。

最終的なフォレンジック調査と法的捜査によって確認されれば、これらの事件は単なる2件の独立した取引所侵害ではない。国家とつながりを持つサイバー犯罪ネットワークが、ソーシャルエンジニアリング、マルウェア、ウォレット基盤への攻撃、そして高度なオンチェーン資金洗浄技術を、前例のない規模で組み合わせていることを示す事例となる。

暗号資産盗難の新記録

Binanceでの事件は、Bybitへの攻撃を上回り、史上最大の暗号資産盗難になったと報じられている。捜査官がさらに多くのウォレットを追跡し、被害を受けた資産を特定するにつれて推定額は変動する可能性があるものの、報告された損失は数十億ドル規模に達している。

FBIによる認定が特に重要なのは、ブロックチェーン分析企業によるこれまでの調査結果とも一致しているためだ。TRM LabsやChainalysisなどの組織の研究者は、BinanceとBybitへの攻撃に以下のような共通点があると報告している。

• 類似した作戦パターン
• 中継用ウォレットの繰り返し利用
• 複数のチェーンをまたいだ盗難資金の迅速な移動
• 分散型サービスやクロスチェーン交換の利用
• 重複する資金洗浄インフラ
• 後続の取引に備えるための少額の初期送金

ブロックチェーン上の取引は、設計上、誰でも確認できる。しかし、公開されているからといって、資金を簡単に回収できるとは限らない。攻撃者は資産を何千もの送金に分割し、複数のネットワークを経由させ、トークンを交換し、プライバシー強化型のサービスを利用することで、資金の出所や流れの特定を困難にできる。

TraderTraitorとは何者か

TraderTraitorは、一般にLazarus Groupと関連付けられる、北朝鮮の広範なサイバー犯罪エコシステムにおける中核的な実働部隊の一つとみなされている。

このグループの名称は、暗号資産取引、ブロックチェーン開発、デジタル資産のカストディ、金融インフラに関わる個人や組織を狙う、繰り返し使われてきた戦術を反映している。これまでの活動には、偽の採用活動、悪意あるアプリケーション、なりすまし、そして署名システムやウォレット関連ソフトウェアにアクセスできる従業員への攻撃などが含まれる。

米国政府はこれまで、北朝鮮とつながりのあるサイバー攻撃者が、政権の収入を生み出すために暗号資産の窃取を利用していると繰り返し警告してきた。FBIの公式サイバー犯罪関連リソースや、CISAの勧告では、国家支援型のサイバー作戦やデジタル資産への脅威について、より幅広い背景を確認できる。

TraderTraitorが重要視される理由は、盗まれた資産の価値だけではない。ブロックチェーンシステムを取り巻く人や組織のレイヤーを攻撃できる点にもある。

主要な暗号資産強盗に共通するパターン

BinanceとBybitで発生した事件は、TraderTraitor、あるいは同じ北朝鮮系ネットワークに関連付けられてきた一連の攻撃の一部を構成している。

DMM Bitcoin：約3億800万ドル

2024年5月、日本を拠点とする取引所DMM Bitcoinは、約3億800万ドル、当時のレートで約4,502.9 BTCに相当する損失を被った。

捜査では、ウォレットソフトウェアに関わる企業Gincoの従業員を標的に、攻撃者がLinkedIn上で偽の採用活動を仕掛けたソーシャルエンジニアリング攻撃が原因とされた。従業員は悪意あるコードを実行するよう誘導されたとみられ、攻撃者は同社の業務環境に干渉できる機会を得た。

この事件は、重要なセキュリティ上の現実を示している。攻撃者は、必ずしもブロックチェーンそのものを侵害する必要はない。開発者、管理者、あるいは取引承認ワークフローへのアクセスを得るだけで、壊滅的な送金を承認させられる場合があるのだ。

Bybit：約15億ドル

2025年2月に発生したBybitへの攻撃は、当時知られていた中で最大の暗号資産盗難となり、損失額はおよそ15億ドルと推定された。

FBIはこの事件をTraderTraitorによるものだと公式に認定した。この攻撃によって、取引承認システム、マルチシグの仕組み、そして複雑なデジタル資産の送金を確認するためのインターフェースに伴うリスクにも注目が集まった。

マルチシグウォレットは、単一の秘密鍵が侵害された場合のリスクを軽減できる。しかし、それだけで完全な解決策になるわけではない。複数の署名者がだまされたり、署名用インターフェースに誤解を招く情報が表示されたり、周辺インフラが侵害されたりすれば、マルチシグによる承認プロセスも悪用される可能性がある。

KelpDAO：約2億9,200万ドル

2026年4月、KelpDAOは約2億9,200万ドルの損失を被ったと報じられている。

セキュリティ研究者は、Tornado Cashに関連する少額の初期送金、署名関連取引の事前準備、主要なエクスプロイトに先立つ計画的な資金移動など、過去のTraderTraitorの活動と一致するように見える複数の特徴を指摘した。

このような事件における帰属の判断は、すぐに断定できるものではなく、確率的な分析に基づくことが多い。アナリストは、取引行動、インフラの再利用、ウォレット同士の関係、マルウェアのパターン、送金のタイミングなどを比較し、結論を導き出す。

Bitget：3億5,000万～3億8,700万ドルとされる損失

2026年9月にBitgetで発生した事件については、情報源によって3億5,000万ドルから3億8,700万ドルの損失と推定されている。

アナリストは、盗まれた資金と、過去にTraderTraitor関連の活動と結び付けられたウォレットとの間に関連性があると報告している。疑われている共通点には、同じ資金洗浄経路、類似した資金分割のパターン、そして後に他の大規模盗難の資金と混ざった資産などが含まれる。

複数の盗難事件で同じ交換サービス、ブリッジ、中継アドレスが使われている場合、ブロックチェーン捜査官は、より広範な作戦ネットワークを特定できることがある。ただし、共通のインフラを経由して資金が移動しているからといって、すべての事件が同じ人物によって実行されたことが自動的に証明されるわけではない。最終的な帰属の判断には、オンチェーン上の証拠とオフチェーンの情報を組み合わせる必要がある。

Binance：60億ドル超

Binanceへの盗難は2026年10月に発生し、損失額は60億ドルを超えたと報じられている。FBIがTraderTraitorによるものと認定したことで、同グループは史上最大の暗号資産強盗の中心に位置付けられることになった。

この事件の規模が注目される理由は2つある。第一に、単一の侵害による経済的被害が、従来型の重大な金融犯罪に匹敵する規模に達し得ることを示した点だ。第二に、同グループの手法が、場当たり的なフィッシングから、複雑なデジタル資産エコシステムを標的とする長期的な攻撃キャンペーンへと進化していることを示している点である。

BinanceとBybitの事件が重要な理由

暗号資産史上最大の2件の盗難がつながったことで、業界は取引所のセキュリティを見直す必要に迫られている。

1. ブロックチェーンが主な弱点とは限らない

大規模な事件の多くでは、基盤となるブロックチェーンプロトコル自体は設計どおりに機能し続けている。問題が発生するのは、人やアプリケーションがブロックチェーンと接続する部分だ。

• 取引所のカストディシステム
• 開発環境
• 署名デバイス
• 取引承認ダッシュボード
• クラウドインフラ
• 従業員間のコミュニケーションチャネル
• サードパーティ製ウォレットソフトウェア
• APIキーやアクセス認証情報

だからこそ、ブロックチェーンのセキュリティはスマートコントラクトのコードだけの問題ではなく、エンドツーエンドの分野として捉えなければならない。

2. ソーシャルエンジニアリングはいまだに有効

偽の求人、投資機会、提携の提案、技術文書などは、依然として強力な攻撃経路となっている。

ブロックチェーン企業で働く従業員は、面識のない相手から大量のメッセージを受け取ることが多い。悪意あるファイルやアプリケーションであっても、採用活動や事業開発に関する現実味のあるやり取りの中に紛れ込んでいれば、正規のものに見えてしまう可能性がある。

そのため、組織は、技術に詳しい従業員であっても標的になり得ると考えるべきだ。セキュリティ研修では、パスワードやフィッシングリンクだけでなく、コードリポジトリ、リモートアクセスツール、ウォレットソフトウェア、ブラウザ拡張機能、署名ワークフローも扱う必要がある。

3. 取引内容は人間が読みやすい形で確認できなければならない

取引は全体像だけを見ると正当なものに見えても、危険な詳細が含まれている場合がある。攻撃者は、トークンの承認、コントラクトとのやり取り、送付先アドレス、取引パラメーターなどを操作できる。

セキュリティチームは、独立した確認経路を用意し、署名者に以下の項目を確認させるべきだ。

• 正確な送付先アドレス
• 送付する資産の種類と数量
• 付与されるコントラクト権限
• ネットワークとチェーンの識別子
• 取引の目的
• その取引が社内で承認された依頼内容と一致しているか

見慣れたインターフェースに表示された取引だからという理由だけで、盲目的に承認することは、デジタル資産の運用において最も危険な習慣の一つである。

4. オンチェーン追跡は強力だが、即時の解決を意味しない

公開台帳によって、捜査官は従来の現金では不可能な場合が多い形で、盗難資産を追跡できる。しかし、追跡できるからといって、資産が必ず回収できるわけではない。

攻撃者は以下のような手段を利用する可能性がある。

• クロスチェーンブリッジ
• 分散型取引所
• トークン交換
• 複数の中継ウォレット
• プライバシー強化型サービス
• 店頭取引（OTC）ブローカー
• 長期間休眠させた後にのみ動かすウォレット

その結果、捜査官と犯罪者の間では、絶え間ない競争が続くことになる。取引所、カストディアン、分析企業、法執行機関は、迅速に情報を共有しなければならない。事件発生後の最初の数時間が、極めて重要になる場合があるからだ。

ユーザーと組織が今できること

TraderTraitorに関する一連の事件は、個人ユーザーとプロの暗号資産チームの双方に、実践的な教訓を与えている。

長期保有資産とアクティブ取引用資金を分ける

日常的な取引に必要のない資産を、取引所のアカウントやインターネットに接続されたアプリケーションに置いたままにすべきではない。資産を用途別に分けて管理するカストディモデルを採用すれば、取引アカウント、APIキー、作業端末が侵害された場合の被害を抑えられる。

ハードウェアによる取引承認を利用する

ハードウェアウォレットを使えば、秘密鍵を汎用コンピューターから隔離し、マルウェアにさらされるリスクを軽減できる。ただし、デバイスを導入しただけで、慎重な取引確認が不要になるわけではない。送金を承認する前に、アドレス、ネットワーク、金額、コントラクトとのやり取りを確認する必要がある。

シードフレーズを独立してバックアップする

ウォレットのリカバリーフレーズはオフラインで生成し、オフラインで保管すべきだ。ウェブサイト、メッセージアプリ、クラウド上の文書、出所不明のソフトウェアに入力してはならない。

また、リカバリーフレーズを写真に撮ったり、デジタル形式でコピーしたりすることも避けるべきだ。物理的なバックアップは、不正アクセス、火災、水濡れ、紛失から守らなければならない。

予期しない採用メッセージをセキュリティインシデントとして扱う

Web3分野で働く人にとって、求人や提携の依頼は攻撃の試みである可能性がある。ファイル、リポジトリ、ビデオ会議アプリ、ブラウザ拡張機能、ウォレット関連ツールは、インストールや実行の前に、別の通信経路を使って確認すべきだ。

財務資産管理チームに運用上の統制を導入する

多額のデジタル資産を管理する組織は、以下の対策を検討すべきである。

• 複数の独立した承認レイヤー
• アドレスの許可リストと出金遅延
• 署名前の取引シミュレーション
• 署名用と通信・作業用のデバイス分離
• 厳格なロールベースアクセス制御
• 緊急停止手順
• ウォレット活動の継続的な監視
• サードパーティ連携の定期的な見直し
• インシデント対応訓練

資金力のある攻撃者に対して、単一の対策だけで十分な防御を実現することはできない。最も強固な防御は、技術的な隔離、手順の徹底、迅速な検知を組み合わせることで築かれる。

これからの暗号資産セキュリティに与える意味

今回の一連の事件は、脅威の状況がより広い範囲で変化していることを改めて示している。暗号資産の盗難は、セキュリティの甘い個人ウォレットを攻撃したり、明らかなスマートコントラクトの脆弱性を悪用したりするだけにとどまらない。大規模な犯罪グループは、人、アプリケーション、取引所、ブロックチェーンをつなぐインフラを、ますます積極的に標的としている。

今後、特に価値のあるセキュリティ改善策となる可能性が高いのは、以下のような取り組みだ。

• より優れた署名インターフェース
• より分かりやすい取引シミュレーション
• より強固なデバイス隔離
• 従業員向けセキュリティ教育の強化
• 取引所と捜査機関の迅速な連携
• より効果的な制裁措置と資産凍結手続き
• 不審な資金移動の自動検知
• カストディ体制に関する透明性の向上

業界にとっての核心的な教訓は明確だ。秘密鍵のセキュリティは必要不可欠だが、それだけで問題のすべてを解決できるわけではない。デジタル資産を守るには、各取引を取り巻くデバイス、ID、アプリケーション、承認手続き、通信チャネルまで安全にする必要がある。

個人ユーザー向けの実践的な保護レイヤー

相応の額の暗号資産を保有する個人にとって、ハードウェアウォレットは、秘密鍵をインターネットに接続されたコンピューターから分離することで、重要な保護レイヤーとなり得る。

OneKeyのハードウェアウォレットは、秘密鍵をオフラインで隔離し、デバイス上で取引を承認する設計になっている。これにより、コンピューター上のマルウェアが秘密鍵を密かに抜き取るリスクを軽減できる可能性がある。ただし、ユーザーは引き続きすべての取引を慎重に確認し、安全なバックアップ手順に従わなければならない。リカバリーフレーズが漏洩したり、悪意ある取引を承認したりした場合、ハードウェアによるカストディでも資産を守ることはできないからだ。

BinanceとBybitの事件は、自己管理を単にデバイスを購入することとしてではなく、包括的なセキュリティプロセスとして捉える必要があることを示している。安全な鍵の生成、オフラインでのバックアップ、アドレスの確認、そして規律ある署名習慣のすべてが、ますます高度化する暗号資産盗難キャンペーンから資産を守るうえで重要になる。