ブロックチェーン分析企業のChainalysisは、先月暗号資産取引所Bitgetで発生した3億8,700万ドルのハックについて、北朝鮮関連のアクターによるものだと断定し、平壌のハッカーが今年最大級の暗号資産窃取を実行したという一致しつつある見解に追い風を与えた。

水曜日に公開されたレポートでChainalysisは、9月24日の侵入を朝鮮民主主義人民共和国(北朝鮮)に関連するアクターの仕業としたうえで、この窃取により2026年に北朝鮮関連グループが盗んだ暗号資産の総額が10億ドルを超えたと述べた。同社は、攻撃以降、Bitgetや法執行機関と協力して複数のブロックチェーン上で資金を追跡してきたという。この節目は、北朝鮮関連グループが現在活動している規模と、こうした追跡の取り組みが分析企業、取引所、法執行機関にまたがる理由を浮き彫りにしている。

Chainalysisは、資金がいかに素早く移動したかを明らかにした。最初の3時間で、3億8,700万ドルが23件の送金によってBitgetから流出し、4つのネットワークに着地した。Ethereumが49.7%とほぼ半分を占め、以下XRPが40.8%、Zcashが7.6%、Tronが1.8%と続いた。分散の速さは、資金を追う調査者が直面する課題を物語っている。

その後、攻撃者はクロスチェーンの流動性プロトコルやメッセージングプロトコル、即時スワップ、資金洗浄サービスを通じて資金を動かし、足取りをい追跡を妨害しようとした。チェーンや資産をまたぐステップが増えるたびに、照合すべきブリッジやスワップが増え、分析側の作業量が膨れ上がる。

盗まれたXRPが特に注目を集めた。攻撃者はトークンを取引所に送るのではなく、クロスチェーンの流動性プロトコルを通してBitcoinを引き出す方法を取った。数千万ドルがこの方法で約1日半かけて移動し、調査者が現在監視している攻撃者管理下のBitcoinアドレスに到達した。

注目すべきは、Chainalysisがこのペースに追いつくために社内のAIを活用し、20時間超と見積もられる手作業でのブリッジ照合を10分未満に圧縮するカスタム自動化を構築したと述べたことだ。同社は、この技術が調査員に代わるものではなく調査員を加速させるものだと強調しており、人間のアナリストが依然として作業を指揮している。この速度差が魅力を物語っている。攻撃者は3時間以内に資金の分散を終えたが、追跡作業のごく一部に相当する手作業だけでも、丸1日の大半を要する計算になる。

この特定は、侵入直後に出された見解と一致する。BitgetのGracy Chen CEOは攻撃のパターンが北朝鮮のハッカーと一致すると述べ、ブロックチェーン分析企業のEllipticは北朝鮮との関連を「極めて可能性が高い」と評価した。

資金洗浄の過程は公開の場で進行し、鋭い目を持つオンチェーンの調査者たちが攻撃者の動きを一つひとつ追跡してきた。初期段階で攻撃者は、取引の詳細を隠すプライバシー機能であるZcashのシールドプールに資金を隠し始めた。スワップサービスの対応は割れた。Near Intentsはハッカーに関連する5,000万ドル超のスワップリクエストを拒否したものの、数日後に今度は自身がハックされ、一方でThorchainは処理を続けた。この分裂は、資金洗浄の足取りの可視性が個々のサービスの選択にどれほど左右されるかを浮き彫りにした。

その一方で、CircleとTetherは盗まれた資金に関連するステーブルコイン約31万8,000ドルを凍結した。これは奪われた3億8,700万ドルのごく一部である。調査者が攻撃者管理下のBitcoinアドレスを監視し、資金の一部がZcashのシールドプールにある中、どれほどの額が最終的に監視対象のアドレスに現れるかが、本件の最大の未解決の問いとなっている。