北朝鮮による63億ドル相当のバイナンスハッキング、ミームコインで奇妙な展開

ミームコインがバイナンスハッキングの追跡を複雑化

11月9日、Ellipticの共同創業者兼チーフサイエンティストであるトム・ロビンソン氏は、北朝鮮の資金洗浄業者がTron、Solana、Near上のミームコインや知名度の低いトークンを利用していたと説明しました。TronとNearでは新規に作成されたコインが使用され、Solanaでは既存の資産が利用されていました。 ロビンソン氏は次のように記しています：

「多くの人はミームトークンを、話題性によって価格が上下する『冗談のようなコイン』だと考えています。しかし、北朝鮮の資金洗浄業者はこれらに別の用途を見出し、誰も買いたがらないトークンを作成し、盗まれた資金の移動を隠蔽するために利用しているのです。」

Nearでは、あるグループが盗んだ暗号資産でトークンの流動性プールを経由し新規トークンを購入しました。別のウォレットが同じプールに売却しほぼ同額の収益を得ており、送金先と受取先のアドレスを分けていました。

11月5日から11月7日の間に作成された6つのトークンは、約117,000 NEAR（430,000ドル）を扱いましたが、外部での取引はほとんどありませんでした。各トークンの立ち上げには約90ドルのコストがかかりました。5人の作成者は、代替トークンを立ち上げる直前に、以前のトークン販売から資金を受け取っていました。

連邦捜査局（FBI）は10月31日、先月のバイナンス（Binance）からの盗難事件を北朝鮮の仕業であると断定し、この作戦を「Tradertraitor」と特定した。これは、仮想通貨事業を標的とする北朝鮮政府が支援するグループである。

しかし、北朝鮮は11月3日、このハッキングへの関与を否定しました。北朝鮮の金正恩（キム・ジョンウン）委員長の妹である金与正（キム・ヨジョン）氏は、FBIの非難を、同国の評判を傷つけることを目的とした「重大な政治的挑発」だと述べました。

バイナンス盗難は資産凍結を巡る争いを引き起こした

Chainalysisの調査によると、10月29日のバイナンス攻撃で盗まれた資産は、9月のビットゲット（Bitget）盗難事件の収益と混在していたことが判明した。同社は、この重複を根拠に、バイナンスの盗難事件を「Tradertraitor」の仕業であると断定した。この評価は、攻撃発生後の数時間に観測されたブロックチェーン上の活動に基づいている。

攻撃者は、ステーブルコインを迅速に換金することで凍結を回避しようとし、約20分の間に3億2500万ドル相当の資金を約2億8500万ドル相当のイーサに交換した。イーサには、ステーブルコインのように発行者が凍結を制御する仕組みがない。

Ellipticは11月2日、資金洗浄のみを目的として作成された価値のないTronトークンを特定し、盗まれたSolanaは翌日、取引量の少ないトークンを経由して移動した。Ellipticは以前、2025年のBybit盗難事件の後、同様の手口を通じて少なくとも2,400万ドルの資金を追跡していた。 この多層的な手法について、ロビンソン氏は次のように説明した。

「北朝鮮の資金洗浄業者は、単一の手法に頼ることはめったにありません。その代わりに、多くの安価な手法を多層的に組み合わせ、それぞれがわずかな遅延をもたらすようにしています。自作のミームトークンは、単にその層の一つに過ぎないのです。」

数千のウォレットがビットコインへとつながる

11月2日までに、盗まれた資産は11のブロックチェーンにまたがる約12,000のウォレットを経由していました。固定されたタイミングや、調整なしに失敗した操作を盲目的に再試行する様子は、従来の自動化手法を示唆していました。Ellipticは、AIによる意思決定の証拠は見つかりませんでした。

11月7日の最新情報では、ウォレット数は2万以上、ブロックチェーンは16、取引件数は少なくとも6万5,000件に上りました。Ellipticは、ソラナ、XRP、トロンなどの資産が、当時1億7,500万ドル相当のビットコイン約2,300枚に交換されたことを追跡しました。

11月9日までに換金された資金は約3,000ビットコインに達し、時価は2億2,500万ドルとなった。また、プールされた預金を異なるアドレスへ引き出すことを可能にするミキサー「Tornado Cash」へ約7,000イーサ（約1,500万ドル相当）が流入したことも追跡した。 同社は、現金化されたのはごくわずかな金額にとどまったと推定しています。 取引プールを通じた資金流出について、Ellipticのチーフサイエンティストは次のように警告しました。

「流動性プールから資金を受け取ったウォレットは、デフォルトで『クリーン』と見なすべきではない。盗まれた資金からわずか2回のスワップしか離れていない可能性があるからだ。」