ギリシャ在住のセキュリティ研究者ヴァンゲリス・スティカス氏が、北朝鮮のハッカー集団が運用するサーバー群に約22カ月間ひそかに潜入し続け、57カ国1640社への侵入を裏付ける証拠を確認したと、米WIRED誌が5日に報じた。うち700から800社は「深刻な被害」を受けたサーバー侵害だったという。同氏はサイバーセキュリティ企業Kumioの最高技術責任者を務める。
スティカス氏はラスベガスで開催中のセキュリティ会議「Black Hat」で調査結果を公表した。侵入が確認された企業には仮想通貨取引所コインベースやユニスワップ・ラボも含まれる。多岐にわたる機密データにアクセス可能だった一方、ハッカー側は一貫して仮想通貨の秘密鍵やウォレットへのアクセス獲得に的を絞っていたとしている。
侵入の主な手口は、高額報酬をうたう偽の求人でソフトウエア開発者に接触し、採用試験と称してマルウェア入りのプログラムをダウンロードさせる「Contagious Interview（感染した面接）」と呼ばれる手法。米マイクロソフトは2022年からこの手口を追跡しており、北朝鮮系ハッカー集団の常とう手段として知られる。
ブロックチェーン分析会社チェイナリシスが2025年12月に公表した最新報告によると、北朝鮮関連ハッカーはWeb3・AI企業の採用担当者になりすまし、偽の採用面接や「技術審査」を通じて認証情報やソースコード、社内システムへのアクセス権を窃取する手口を拡大させているという。WIREDが今回報じた手口とも重なる傾向だ。
侵入した契約社員の一部は最大30社の社内システムへのアクセス権を同時に保有していたといい、被害範囲を大きく広げる要因になったとみられる。同報告では、北朝鮮関連ハッカーが2025年に盗んだ仮想通貨は少なくとも20億2,000万ドルで前年比51％増、これまでの累計被害額は67億5,000万ドルに達したとしている。
北朝鮮系ハッカー集団が仮想通貨業界を標的にする動きは今回が初めてではない。米財務省は2022年4月、NFTゲーム「アクシーインフィニティ」関連の「Roninブリッジ」から流出した約6億2,500万ドル相当の資金について、北朝鮮ラザルスグループ（Lazarus）との関連があるとして受取先アドレスを制裁対象に指定した。
同年6月には「Harmony（ONE）」のクロスチェーンブリッジ「Horizon Bridge」から約1億ドル相当が盗まれる事件も発生。こちらは米連邦捜査局（FBI）が2023年1月、同じくラザルスグループの犯行と断定している。
スティカス氏が今回明らかにした被害規模は、こうした個別のブリッジハッキングとは性質が異なる。特定のシステムを直接攻撃するのではなく、開発者や契約社員という「人」を足がかりに複数の企業へ同時多発的に侵入する手法が、これまでの想定を超えて広範囲に成功していた実態を示すものといえる。
スティカス氏は、侵入先のハッカー自身が使うワークステーションや社内Slack、Discordのアカウントにもアクセスできたと明かす。仮想通貨企業から得られたアクセス権については「ばかげたアクセスだ」と証言しており、秘密鍵やブロックチェーン基盤そのものに触れられる状態だったとしている。
コインベースの広報担当者は、問題の契約社員は米国在住であることを確認し、北朝鮮政府との関与を示す証拠は見つからなかったとした上で、スティカス氏からの通報を受け取るより前に、入社から30日以内に契約を解除していたと説明した。
スティカス氏によると、被害を通知したものの応答がない企業は数百社に上り、新たな侵入の報告も日々増え続けているという。当初は個人の調査として始めた取り組みだったが、現在は本業として対応に追われる規模になったと同氏は明かした。
