ZachXBT、西欧の金融機関による1億3300万ドルの暗号資産窃取隠蔽を主張
重要ポイント
- •ZachXBT氏は、中央集権型取引所を通じた追加の2700万ドルの引き出しにより損失推定を1億3300万ドル超に引き上げ、西欧の大手金融機関が攻撃を隠蔽していると主張している。
- •Bitqueryの分析は、11月1日に始まり約21時間にわたってKraken、Crypto.com、OKXの口座から流出した1億0880万ドルの送金を追跡した。
- •調査者は、攻撃者が被害者の鍵と取引所のログイン情報を(おそらくデバイスの侵害を通じて)把握していたと結論付け、約6298万ドルのステーブルコインがイーサに変換された後モネロへ送金されたと説明した。
- •ZachXBT氏は北朝鮮のラザルスグループの関与を疑っておらず、DORA規則の下でインシデントが報告されていれば3000万ドル超がEUの凍結網の対象となっていたと主張している。
- •11月2日時点で約7830万ドルが攻撃者に関連するイーサリアム上のウォレットに残っており、374万ドルのUSDCはCircleが依然として凍結可能だが、いずれの規制当局も被害者を特定していない。
ブロックチェーン調査者のZachXBT氏は火曜日、名前が明かされていない西欧の金融機関における未開示の暗号資産損失が、前日に挙げた1億600万ドルから1億3300万ドルを超えたと述べた。暗号資産侵害を公表することで開示を促してきた実績のあるZachXBT氏は、今回、被害を受けたEU機関がEU当局に報告するのではなく侵害を隠蔽していると主張している。
EUの銀行が暗号資産ハッキングを隠しているのか？
火曜日早朝、自身のTelegramチャンネルで、ZachXBT氏は次のように述べた。「私の現時点での見解では、西欧の大手金融機関が攻撃を受けており、現在それが隠蔽されている」
同調査者によると、中央集権型取引所を通じてさらに2700万ドルの引き出しが処理されたため、損失額の推定は現在1億3300万ドルに達している。引き出しは、月曜日の最初の開示後も続いている。
このインシデントが繰り返し指摘されているにもかかわらず、被害者は特定されておらず、隠蔽の主張も独立した検証を受けていない。
ZachXBT氏は、北朝鮮のラザルスグループの関与は疑っていない。同グループは暗号資産業界を襲った多くの特大規模の侵害に関与してきた組織だが、今回のマネーロンダリングのパターンは同グループが通常使う経路とは似ていないという。また、インシデントが報告されていれば、盗まれたと疑われる資金のうち3000万ドル超がEUの凍結網の対象となっていたと指摘した。
3つの取引所が1日で流出
分析企業Bitqueryは、同社独自の窃取事件の調査を公表しており、このインシデントに関連する1億0880万ドルの送金をオンチェーンで追跡した。送金は11月1日日曜日に始まり、約21時間にわたってKraken、Crypto.com、OKXの口座から資金が流出した。
資金の大部分はUSDCとして15のウォレットに移動し、そのうち11のウォレットは窃取前に同じ取引所が送金を受けていた。この詳細からBitqueryは、攻撃者が被害者の鍵と取引所のログイン情報を把握していたと結論付けた。現在の見解では、攻撃者は所有者のデバイス、あるいは少なくとも被害者のチームのメンバーのデバイスを侵害したとされている。
侵害されたウォレットのうち8つはTrust Walletのスマートアカウントだった。Bitqueryは、このインシデントはTrust Walletアプリの欠陥を示すものではないと強調している。
窃取後、資金は凍結可能な資産から凍結不可能な資産へ迅速に移し替えられた。約6298万ドルのステーブルコインが約4時間にわたりUniswapXを通じて27,553 ETHに交換され、その後、取引詳細を隠すことを目的とするプライバシーコインであるモネロ(XMR)や各種ブリッジを経由して送金された。
Bitqueryによると、11月2日13:47 UTC時点で約7830万ドルが攻撃者に関連するイーサリアム上のウォレットに残っており、攻撃者のウォレットには現在も374万ドルのUSDCが保有されている。これはCircleが依然として凍結できる資金である。
銀行が被害者である場合の意味の違い
ZachXBT氏の見解が指摘するのは、市場に参入したばかりのカテゴリーの企業だ。欧州の銀行は2026年を通じて、EUの暗号資産市場規制(MiCA)の下で暗号資産への参入を進めており、9月時点で金融機関はEUのMiCA登録にある暗号資産サービスプロバイダーの約23%を占めている。ドイツ最大の金融機関であるドイツ銀行は、デジタル資産のカストディ事業に向けたMiCA承認を目指してきた。MiCA認可こそがこの転換を可能にする仕組みだ。ライセンスを持つ暗号資産サービスプロバイダーはカストディや交換などのサービスを提供でき、これにより金融機関は顧客のデジタル資産の傍観者から直接の取り扱い者へと移行してきた。
Cryptopolitanの以前のレポートは、1億600万ドルの流出に関する記事で、BinanceとBitgetのハッキングで見られたのと同じパターンを指摘していた。攻撃者はCircleやTetherが動く前に、ステーブルコインをイーサやプライバシーコインに変換するのだ。
開示の問題
隠蔽の告発は、被害者が金融機関である場合に最も重い意味を持つ。EUのデジタル業務レジリエンス法(DORA)は2025年1月17日から施行されており、フランスの金融市場規制当局AMFによれば、暗号資産サービスプロバイダーを含む金融企業は、重大なICT関連インシデントを、初回警報、フォローアップ更新、最終報告を通じて監督当局に報告しなければならない。
ZachXBT氏の指摘は、この遅れが直接的な損失をもたらしたということだ。開示がなければ、当局が凍結できたはずの約3000万ドルが手の届かないところへ流出したと同氏は主張している。DORAの対象となる企業が関与しているかどうかは未確認であり、いずれの規制当局も被害者を特定していない。現時点で、この話題の行方は少数の未解明の事実にかかっている。すなわち、当該機関の正体、監督当局がインシデント報告の受領を確認するかどうか、そして凍結可能な残りのUSDCが凍結されるか、発行者すら触れることのできない資産に変換されるかである。
