北朝鮮はBinanceハッキングとの関連を否定している。一方、ブロックチェーン分析企業らは、数千のウォレットと複数のネットワークをまたいで移動する数十億ドル規模の盗難資金を追跡している。北朝鮮は米国による犯人指定を「重大な政治的挑発」と呼んだ一方、EllipticとChainalysisは、あるブロックチェーンから別のブロックチェーンへと移り続ける複雑な資金洗浄の実態を明らかにした。研究者らは盗まれたBinanceの資金を追跡しており、その調査結果の中心は資金移動の規模と順序にある。

資金洗浄は11のブロックチェーンと12,000のウォレットにまたがる

Ellipticによると、ハッカーは攻撃後最初の4日間で、11のブロックチェーン上に約12,000のウォレットを使用した。同社は4万件を超える取引を確認しており、平均して25秒ごとに新しいウォレットが使用されており、この活動は極めて複雑で自動化されていたと説明している。

Ellipticによると、初期の資金洗浄の大部分はTron上で行われた。同ネットワークはステーブルコインの送金に広く利用されている。資金は約7,700のアドレスに分散された後、クロスチェーンブリッジ――本来別個のネットワーク間で資産を移動するサービス――を経由してイーサリアムへ移動し、少なくとも1億4,700万ドルがこの経路でTronから流出したと同社は述べている。

ハッカーはまた、分散型取引所――中央仲介者なしでトークンを取引できるプラットフォーム――を通じて盗んだステーブルコインを、発行者が凍結できない暗号資産(イーサリアムなど)に交換した。USDTとUSDCの発行者であるTetherとCircleは発行者レベルでトークンを凍結できるが、イーサリアムにはその管理機能がない。Ellipticによると、TetherとCircleが残りの資産を凍結する前に、約7億8,600万ドルのステーブルコインが変換されていた。その後、資金の移動はSolanaを含む他のネットワークにも拡大した。

Chainalysisは、北朝鮮関連の主体がTron上の中継ウォレットを通じて5億ドル以上を移動させた後、新たな資金洗浄局面に入ったと報告した。また、Ellipticは別に、取引の追跡を困難にすることを目的とするビットコイン混合の最初の兆候を確認した。

凍結された資金、変換、そしてBybit事件より遅いペース

Ellipticによると、月曜朝までに約28BTC(220万ドル相当)が18件の混合取引を経由していた。同社は、約28億5,000万ドル――同社が盗まれたとする64億3,000万ドルの44%――が凍結または押収され、一方で約32億4,000万ドルが盗難に関連するアドレスに残っており、その大部分はビットコインとイーサリアムであると報告した。

現金化されたと思われる額はごくわずかだった。活動の大部分は、使用可能な資金への交換ではなく、暗号資産間の送金または変換だった。

Ellipticは、今回の資金洗浄が、2025年2月の15億ドル規模のBybitハッキング――当時としては史上最大の暗号資産窃盗――の後よりも遅いペースで進んでいると指摘した。Bybitの際は、北朝鮮のハッカーが盗まれたイーサリアムを10日以内にすべて移動させた。同社は、残りの資金は徐々にビットコインへ変換され、数か月にわたって相対取引(OTC)ブローカー――公開の注文板の外で大口取引を決済する業者――や取引所を通じて現金化される可能性があると見ている。

BINANCEが出金を再開

Binanceは、先週のハッキングを受けて、より多くのネットワーク上の追加の暗号資産について出金を段階的に再開すると発表した。同取引所はまた、影響を受けた額の約95%を補てん済みであり、残りの5%は調達に時間がかかる流動性の低いトークンで構成されていると述べ、それらの資産の取得に向けて業界パートナーと協力していると説明した。

以前のBlockTelegraphの報道では、ハッキング後のBinanceからの資金流出と、別のインシデントで報告されたウォレット権限が取り上げられている。別の記事では、盗まれた資金のZcashへの移動が追跡されている。これらの記事はそれぞれ異なる報道内容を扱っており、本稿で述べる資金移動に関する新たな事実を裏付けるものではない。

次に表明されている展開は、Binanceが流動性の低い残りのトークンの調達に向けて業界パートナーと協力しながら、出金を段階的に復旧させることである。その間も、分析企業らの説明によれば、資金は関連アドレス間の移動、変換、混合取引を通じて動き続けている。