Chainalysisは、過去18ヶ月間で1,430万ドルを超える暗号資産の損失を、後にBinanceに対して使用された北朝鮮の偽装求人面接の手法と関連付けています。ブロックチェーン分析企業の調査結果によると、これらの小規模な窃取は、同取引所から63億ドルが盗まれた事件の「下稽古」だったとみられています。

損失は北朝鮮（DPRK）関連の偽装面接やマルウェアスキームによるもので、標的は個人暗号資産保有者やプライベートウォレットからプロトコル、分散型自律組織（DAO）にまで及びました。

数十件の偽装求人面接がウォレット侵害につながる

「個人レベルでは、ウォレット侵害につながった他の数十件の面接侵害を特定しています」と、Chainalysisのシニアインテリジェンスアナリスト、トム・マクロウ（Tom McLouth）氏は述べました。個人の損失は数万ドルから数百万ドルに及びました。

北朝鮮のグループはこれらの攻撃で「手法を完璧にし、進化させていた」と同氏は付け加えました。「そうやって歴史上最大の強盗事件に行き着くのです」とマクロウ氏は語りました。

Chainalysisの評価では、Binance攻撃は数ヶ月、あるいは数年に及ぶ下稽古の集大成である可能性があります。Cryptopolitanがすでに報じたように、Binanceは自社の侵害を9月にエンジニアへ送られた求人面接の招待に遡って追跡しました。偽企業との2回の面接を経て、そのエンジニアは悪意あるコードが仕込まれた面接課題をダウンロードしました。

Chainalysisのグローバルサービス部門シニアマネージャー、アレック・ゼブリック（Alec Zebrick）氏は、この手法を「伝染性面接（contagious interviews）」と呼んでおり、特権的なアクセス権を持つ職員を標的とし、その認証情報を雇用主に対して使用できるようにすることを狙っています。

Chainalysisはまた、悪意ある面接の後にプライベートキーがクラウドストレージから盗まれた事例も指摘しました。一部の被害者は、シードフレーズを感染端末に保存したことがないと述べており、同社はこれを、クラウドログインやブラウザセッションが盗まれたことを示す可能性があるとしています。この詳細は、ウォレットセキュリティがもはや単一の端末にとどまらないことを物語っています。認証情報の保存や同期に使用されるクラウドアカウントやブラウザセッション自体が侵害の起点になり得るのです。

3月、Microsoftは自社のDefender Expertsチームが少なくとも2022年12月以降活動している「Contagious Interview」キャンペーンを追跡していることを文書化しました。この作戦では、暗号資産取引企業やAI企業の職員を装った偽リクルーターが、応募者に悪意あるコードパッケージを実行させます。Microsoftによると、内部のマルウェアはウォレットのニーモニックフレーズ、KeePassや1Passwordのストア、暗号鍵を検索します。暗号資産とAIの両分野で偽リクルーターが雇用主になりすます中、採用プロセス自体が事実上の攻撃対象領域になっています。

ブロックチェーン・デッドロップが1年で5倍に急増

Chainalysisはまた、ブロックチェーンを利用したサイバー攻撃が過去12ヶ月間で5倍に増加したとも報告しています。同社はこの手法を「Blockchain Dead Drops」と呼び、増加の背景には国家主体のアクターと、オープンウェイトAIモデルの潜在的な使用があるとしています。

北朝鮮のアクターは2025年初頭から「Etherhiding」と呼ばれるアプローチを使用し始めました。これは、偽装求人面接を通じて感染した端末を攻撃者のコマンドアンドコントロールサーバーに接続するものであり、ブロックチェーン上の記録は中央型ホスティングよりも法執行機関による押収が困難です。

ある北朝鮮の仕組みでは、命令をTRONとAptosに分けて配置しました。両チェーンはBSC上でホストされるペイロードへのポインタを保持し、感染端末はそのペイロードにリダイレクトされます。TRONが失敗した場合のフォールバックとしてAptosが機能します。より新しい「null receiver」の亜種は、命令を特別に細工されたアドレス内に埋め込みます。このアドレスは管理されておらず、暗号資産を保有するようには設計されていませんが、感染したマシンはこのアドレスをコマンドとして解釈します。Etherhidingの2025年初頭の登場からわずかの期間で新しい亜種が現れたことは、手法が依然として活発に磨き上げられていることを示しています。

9月、FBI、日本の警察庁、オーストラリアとドイツの機関は、約1,071万ドルの暗号資産窃取について、WaterPlumとして知られる北朝鮮グループを公に非難しました。WaterPlumは「Contagious Interview」グループとも呼ばれ、その活動は約7,000の暗号資産アカウントの機密データに影響を及ぼしました。4カ国の当局による共同帰属は、この手法が国際的に引き起こした法執行対応の規模を示しています。

FBIはBinance強盗事件を北朝鮮グループのTraderTraitorの仕業としていますが、北朝鮮（平壌）は関与を否認しています。Chainalysisは、盗まれた資金は今後数日にわたり移動を続けると予想しています。