ブロックチェーン分析企業BitOKが11月6日に発表した報告書によると、朝鮮半島北部のハッカーは1月から10月にかけて38件の事件で推計76.1億ドルを窃取しており、1件あたり平均約2億ドルに達します。同社によると、規模の大きかった6件の攻撃はスマートコントラクトのコードを破る必要がなく、代わりに攻撃者は従業員、署名デバイス、出金システムを掌握しました。

BitOKは、取引所、分散型金融(DeFi)プラットフォーム、その他の暗号資産事業者からの窃取件数を集計しています。推計総額のうち28.6億ドルは凍結・差し押さえにより回収された一方、47.5億ドル——推計総額の約62%——は回収不能のままでした。これらの数字は多くの個別の事件を示すものであり、単一の取引や一つの組織的攻撃を表すものではありません。

署名システムが主要な攻撃対象に

報告書は、出金を承認するシステムを主要な標的として特定しています。Binanceのケースでは、攻撃者はDevOpsエンジニアのノートパソコンと署名サービスのコンテナを使用したとBitOKは述べています。署名環境が侵害されていたにもかかわらず、結果として生じた送金は有効な署名を持つか標準的な検証を通過していました。ブロックチェーンにとって、適切に署名された出金は、その署名を生成したデバイスを誰が掌握していたかにかかわらず有効です。

その他の事件では、Driftのマルチシグ署名者、KelpDAOのブリッジ検証者、Bitgetのウォレットシステムが関係していました。BitOKによると、攻撃者は大規模な窃取の前に少額でルートをテストしていました。Binanceのケースでは、攻撃コントラクトは大規模窃取の4時間前に公開されて活動していました。

報告書はまた、発行者が凍結できない資産であるETHへのステーブルコインからの急速な移動についても述べています。Tetherが最初の凍結要請を受けたのはBinanceからの出金の34分後であり、その時点ですでに3億4500万USDTが元のアドレスから流出していました。BitOKによると、Binance攻撃で窃取された資金の43%が凍結・差し押さえられたのに対し、その他の主要攻撃を合わせた割合は6%でした。

共通の痕跡が別個の事件をつなぐ

BitOKによると、共有される決済アドレスが、4月のKelpDAO窃取から10月のBinance事件に至る5件の攻撃を結び付けています。同社はコレクターウォレットに集まった残高の痕跡を追跡しました。8月31日には、150のアドレスが3分36秒の間にそのコレクターへ送金され、0.27 ETHだけが残されました。

同社はこの共通の痕跡を単一の資金洗浄実行者の証拠と解釈した一方、侵入は異なるチームが実行した可能性もあるとしています。報告書は2026年の事件に関して起訴または有罪判決を受けた個人を特定しておらず、システムへのアクセスを得た者と資金を移動させた者の関係は未解決のままです。

BlockTelegraphは以前、ハッキング後のBinanceからの資金流出について報じており、出金再開後に報じられた同取引所の47億ドルの純流出額などが含まれていました。別の報告ではBinanceウォレットに関連するウォレット権限を検証しています。さらにBitgetに関する報道では、窃取に関連したゼロデイ脆弱性を詳しく取り上げました。

回収は早期の介入にかかっている

BitOKの数字は、対応のタイミングが回収の成果を左右したことを示しています。ステーブルコインや、送金をブロックできるサービスに保管された資産は、資金の移動を止める機会を提供しました。報告書によると、攻撃者が資金をETHに変換したり、他のサービスやチェーンを経由させたりした後は、回収は大幅に困難になりました。

報告書の次のセキュリティ上の焦点は、署名鍵とそれを管理する人またはシステムです。同書は、従業員のデバイス、コンテナ、承認経路を、トランザクションがブロックチェーンに到達する前のセキュリティ境界の一部として挙げています。また、少額の残高の価値にも注目しています。0.27 ETHのコレクターは、別個の攻撃に関連するアドレスを結び付ける助けとなりました。

BitOKの2026年の推計は10月までの事件を対象とし、11月6日に発表されました。報告書は、共有される資金洗浄の痕跡を資金の動きをつなぐ手段として提示しつつ、別個の侵入が単一のチームによるものかは未解決のままにしています。同書は、迅速な検知と凍結要請を、最終的に回収できる額を左右した対応策の中に位置付けています。