史上最大の暗号資産窃盗：Bybitで何が起きたのか
2025年2月21日、これまでに記録された中で最大規模の暗号資産窃盗が発生した。ドバイを拠点とする暗号資産交換業者Bybitから、約15億ドル相当のデジタル資産が、一度の壊滅的な侵害によって流出した。攻撃の規模と巧妙さは世界の金融システムに衝撃を与え、急成長するアジアの暗号資産市場の脆弱性だけでなく、北朝鮮の国家支援を受けたサイバー工作員の脅威が及ぶ範囲の深刻さも浮き彫りにした。
目次
世界有数の暗号資産交換業者で、6000万人を超える利用者を抱えるBybitは、新たなサイバー犯罪時代の震源地となった。ブロックチェーン分析会社Chainalysisによると、このハッキングは2025年上半期に世界で盗まれたデジタル資産の約70％を占めた。この事件はデジタルエコシステムの亀裂が広がっていることを示し、北朝鮮のハッカーの手口と野心が危険な形でエスカレートしていることを告げた。
ハッキングはどのように進行したのか
侵害は、一見すると日常的な送金から始まった。Bybitの最高経営責任者（CEO）、ベン・ジョウ氏は、同社の口座間でイーサ（ETH）を移す通常の取引に見える操作を承認した。だが、本人が知らないうちに、ハッカーはすでにBybitが取引管理に使うソフトウェアのインターフェースを侵害していた。数分のうちに攻撃者は、当時15億ドル相当の401,000 ETHが入ったウォレットを掌握し、自らが管理するアドレスへ資金を移した。
調査の結果、ハッカーはBybitがデジタル資産の保管・管理に利用していたSafeという無償ソフトウェア製品の脆弱性を悪用したことが判明した。Safeのユーザーインターフェースを操作し、悪意あるコードを注入することで、攻撃者はBybitに不正な取引を承認させた。今回の侵害は技術的な失敗にとどまらず、デジタル金融分野でサードパーティー製ソフトウェアに依存することのリスクを改めて突きつけた。
直後の影響と業界の対応
影響は即座に、そして深刻な形で表れた。暗号資産市場は急落し、ビットコインは1月の高値から20％下落した。デジタル資産の普及を後押しする新たな規制を米国などの政策担当者が議論していた時期に起きたこともあり、業界への信頼は揺らいだ。
Bybitは顧客資産を補償すると表明し、盗まれた暗号資産の追跡や凍結に協力した人に、回収額の最大10％を報奨金として支払うプログラムを開始した。数週間で、盗難資金のうち4000万ドル超が特定・凍結され、協力者には400万ドル超の報奨金が支払われた。しかし専門家は、盗まれた資産の大半はすでに「追跡不能」になっており、巧妙な経路を通じて資金洗浄され、回収は難しいと警告した。
攻撃の背後にいたのは誰か：北朝鮮のラザルス・グループとTraderTraitor
北朝鮮がサイバー攻撃の責任を認めることはほとんどないが、Bybitの事件では証拠が圧倒的だった。FBIは国際的なサイバーセキュリティー企業とともに、このハッキングを北朝鮮の悪名高いラザルス・グループと、その下部組織とされるTraderTraitorによるものと断定した。こうした国家支援を受けたハッカーは大胆な窃盗で知られ、その収益を政権の核・ミサイル開発計画に充てている。
FBIによると、「TraderTraitor」作戦はソーシャルエンジニアリング、サプライチェーン攻撃、技術的な脆弱性の悪用を組み合わせている。同グループはブロックチェーン関連企業や暗号資産関連組織を標的とし、偽の求人や悪意あるオープンソースソフトウェアを使って侵入することで知られる。侵入後はマルウェアを展開して認証情報や暗号資産ウォレットの秘密鍵を盗み、最終的に多額のデジタル資産を北朝鮮が管理するアドレスへ移す。
ラザルス・グループの手口
ラザルス・グループの手口は急速に進化している。近年は次のような手法を用いてきた。
- LinkedIn、Slack、Telegramなどでフィッシング攻撃を仕掛け、従業員をマルウェアのダウンロードに誘い込む。
- 開発者の端末を侵害し、ソフトウェアのサプライチェーンに悪意あるコードを注入する。
- Bybitのハッキングで見られたように、クラウドサービスやストレージソフトウェアの脆弱性を悪用する。
- 分散型金融（DeFi）ツール、クロスチェーンブリッジ、暗号資産ミキサーを利用して盗難資金を洗浄し、出所を隠す。
ブロックチェーン分析会社Ellipticの共同創業者、トム・ロビンソン博士は、同グループの有効性について次のように説明した。
北朝鮮は暗号資産の資金洗浄に最も長けている。自動化ツールを使い、交代制で暗号資産を現金に換えている可能性が高い同グループの作戦は、国家レベルの高度な能力とサイバー犯罪者の機動力を融合させており、世界の金融システムにとって手ごわい脅威となっている。
北朝鮮は盗んだ暗号資産をどう資金洗浄したのか
Bybitの事件で最も懸念される点の一つは、盗まれた資産が洗浄されるまでの速さと効率の高さだった。48時間以内に少なくとも1億6000万ドルが不正な経路に流され、最初の1週間が終わるまでに移動額は4億ドルを超えた。3月初旬までに初期段階の資金洗浄は完了し、盗まれたイーサの大半がビットコインに換えられ、数千のウォレットに分散された。
分散型金融：諸刃の剣
ハッカーは、資産を交換し痕跡を隠すため、分散型金融（DeFi）プロトコル、とりわけTHORchainのようなクロスチェーンブリッジに大きく依存した。仲介者を介さず、異なる暗号資産間で円滑に送金できるよう設計されたこれらのツールは、法執行機関による不正資金の追跡や凍結も難しくする。
盗んだイーサをビットコインに移した後、ハッカーはWasabiやCryptoMixerなどの暗号資産ミキサーに多額の資金を預け入れた。こうしたサービスは複数の利用者の取引を混ぜ合わせるため、特定のコインの出所を追跡することはほぼ不可能になる。ブロックチェーンの透明性により取引を公開追跡できる一方、資金洗浄の規模と複雑さは、コンプライアンス担当チームや捜査当局の対応能力を上回った。
こうした対策にもかかわらず、交換されたビットコインの相当部分は動きがない。ハッカーが大規模な換金を準備しているか、特に中国の一部地域など執行が緩い地域の店頭取引ネットワークを通じて、さらに追跡を困難にしようとしている可能性がある。
なぜ北朝鮮は暗号資産を狙うのか：世界への影響
北朝鮮が暗号資産窃盗に乗り出している背景には、必要に迫られた事情がある。国際制裁で孤立し、深刻な経済問題に直面する同政権は、サイバー犯罪を外貨獲得の主要な手段としてきた。国連は、北朝鮮が2017年以降に30億ドルを超える暗号資産を盗んだと推計しており、その多くが兵器開発計画に充てられているとみられる。
Bybitへのハッキングは、より大きな傾向の一環だ。2025年上半期だけで、世界では21億7000万ドルを超える暗号資産が盗まれ、その約70％に北朝鮮のハッカーが関与した。このサイバー犯罪の急増は、デジタル金融への信頼を損ない、規制強化と国際協力を求める声を高めるなど、世界に影響を及ぼしている。
人間を狙う手口：ソーシャルエンジニアリングとクラウドの脆弱性
技術的な脆弱性の悪用だけが全容ではない。北朝鮮のハッカーは、従業員をだまして機密システムへのアクセスを認めさせるソーシャルエンジニアリングにも長けている。採用担当者やIT担当者を装い、偽の求人を提示して、被害者にマルウェアをダウンロードさせたり、認証情報を明かさせたりすることが多い。リモート勤務の従業員やサードパーティー製ソフトウェアに依存することが多い、クラウド基盤の暗号資産企業に対して特に効果を上げてきた。
セキュリティー研究者であるWizのベンジャミン・リード氏は、次のように指摘した。
TraderTraitorがクラウドの脆弱性に注目するのは、データと資金がそこにあるからだ。特に、クラウドを前提としたインフラを持つ新興の暗号資産企業が狙われる業界の成長に伴い、高度な脅威アクターが攻撃できる対象も広がっている。
アジアの暗号資産エコシステムは弱点なのか
Bybitへのハッキングは、アジアのデジタル金融分野に重大な脆弱性があることを明らかにした。急速な成長、規制の空白、サードパーティー製ソフトウェアへの依存によって、この地域はサイバー犯罪者の格好の標的となっている。Chainalysisは、この事件が「アジアのデジタルエコシステムで広がるセキュリティーの亀裂をあらわにし、サイバー犯罪の新時代の到来を告げた」と指摘した。
Bybitの本社はドバイにあるが、利用者層と事業の重点はアジアに深く根差している。同地域では暗号資産ブームが堅牢なセキュリティー基準の整備を上回る速さで進み、交換業者や投資家はますます巧妙化する攻撃にさらされている。
業界と規制当局の対応
Bybitへのハッキングを受け、業界のリーダーや規制当局はセキュリティー対策を見直している。Bybitは顧客の損失を補償すると約束し、フォレンジック専門家と協力して盗難資産の追跡と回収に取り組んでいる。一方、各国政府や法執行機関は、国際協力の強化と暗号資産交換業者向けの標準的なセキュリティー手順の策定を求めている。
トランプ政権下の米政府は、暗号資産を技術政策の主要課題に位置づけ、デジタル金融の世界的なリーダーとなることを目指している。しかしBybitへの攻撃は、消費者を守り業界への信頼を維持するため、規制の強化とセキュリティー対策の改善が急務であることを浮き彫りにした。
北朝鮮のサイバー軍：高まる脅威
ラザルス・グループとTraderTraitorを含むその下部組織は、北朝鮮のサイバー能力の最先端を担っている。こうした組織は数千人規模で活動し、効率を最大化するため交代制で作業しているとみられる。国家の資源とサイバー犯罪組織の機動力を組み合わせ、組織的に作戦を展開している。
北朝鮮のサイバー戦略は多面的だ。直接的な窃盗に加え、遠隔地で働くIT技術者を利用してテクノロジー企業に潜入し、知的財産を盗み、企業を脅迫している。こうした活動の収益は平壌に送られ、制裁下にある兵器開発計画を支え、苦境にある経済を下支えしている。
Chainalysisによると、北朝鮮のハッカーは2024年に盗まれた暗号資産の61％に関与し、2025年にはその割合を上回る勢いだ。説得力のあるフィッシングメールの作成にAIを使い、新技術の脆弱性を突き、大手交換業者から個人のウォレットまでを標的とするなど、適応と革新を続ける能力は、持続的かつ進化する脅威となっている。
過去の主な攻撃
Bybitへのハッキングは、北朝鮮の関与が指摘される一連の大規模な暗号資産窃盗の最新事例にすぎない。主な事件は次の通り。
- 2022年のRonin Bridge攻撃（6億ドルを窃取）
- 2023年のAtomic Wallet侵害（1億ドルを窃取）
- 2019年のUpBitハッキング（4100万ドルを窃取）
- 2020年のKuCoin窃盗（2億7500万ドルを窃取）
いずれの攻撃でも技術の高度化と作戦規模の拡大が見られ、Bybitへの侵害はその両面で新たな基準となった。
法執行機関の課題と今後の対応
すべての取引が公開記録されるブロックチェーン技術の透明性にもかかわらず、法執行機関は盗まれた暗号資産の追跡・回収に大きな課題を抱えている。ミキサー、クロスチェーンブリッジ、分散型取引所を使えば、ハッカーは資金をすばやく移動させ、出所を隠せるため、捜査当局の対応が追いつかないことも多い。
国際協力が不可欠だ。FBIは北朝鮮のハッカーに関連するウォレットアドレスの一覧を公表し、交換業者やサービス提供者に対して、これらのアドレスからの取引を遮断するよう求めている。しかし、すべての暗号資産企業が対応に応じられるとは限らず、また分散型の業界構造が法執行を難しくしている。
一定の進展はあった。Bybitの報奨金プログラムとブロックチェーン分析会社との連携により、数千万ドル相当の盗難資産が凍結された。それでも専門家は、北朝鮮の専門性と資金洗浄ネットワークの世界的な広がりを踏まえ、資金の大半を回収するのは難しいとみている。
規制とセキュリティーの教訓
Bybitへのハッキングを受け、次の対策を求める声が上がっている。
- 定期監査やサードパーティー製ソフトウェアの評価を含む、暗号資産交換業者向けセキュリティー基準の強化
- 業界関係者と法執行機関の間で、透明性と情報共有を高めること
- 暗号資産犯罪の越境性に対応する国際的な規制枠組みの整備
- ソーシャルエンジニアリングやフィッシング攻撃のリスクについて、一般の認識と教育を高めること
デジタル金融システムへの信頼を築くには、業界、規制当局、消費者が一体となって取り組む必要がある。
要点
- 2025年2月21日のBybitへのハッキングでは、15億ドル相当の暗号資産が盗まれ、史上最大の窃盗となった。
- 攻撃の実行者として、北朝鮮のラザルス・グループとその下部組織TraderTraitorが挙げられており、技術的な脆弱性の悪用とソーシャルエンジニアリングを組み合わせていた。
- 盗難資金は分散型金融ツール、クロスチェーンブリッジ、暗号資産ミキサーを通じて急速に洗浄され、回収が困難になった。
- 北朝鮮のサイバー犯罪は核・ミサイル開発計画の資金源になっているとみられ、世界の安全保障を脅かしている。
- この事件はアジアの暗号資産エコシステムの重大な脆弱性を明らかにし、世界的なセキュリティー・規制対策の強化が必要であることを示した。
- 業界と法執行機関の対応により盗難資産の一部は凍結されたが、大半は回収できないままだ。
- Bybitへのハッキングは、デジタル金融の未来を守るため、国際協力、強固なセキュリティー基準、一般への啓発が急務であることを示している。
