世界最大級の暗号資産取引所バイナンスから、わずか30分間のうちに約63億ドル（日本円で約1兆円）もの巨大資産が持ち去られる前代未聞の事件が発生しました。国全体を合わせてもわずか1,024個のIPアドレスしか存在しない「デジタル孤立国」北朝鮮が、なぜ地球規模のサイバー空間で世界最大の暗号資産強盗になり得たのでしょうか。
日本国内でもDMM Bitcoinから約482億円相当の資産が流出するなど、暗号資産を狙った大規模な強奪事件が相次いでいます。警察庁や米FBIなどの捜査機関が指し示す黒幕は、一貫して同じ国家です。
表向きのネット環境は壊滅的でありながら、裏では地球上のあらゆる高度な取引所を突破してみせる——一見するとあり得ないこの衝撃的な矛盾の裏には、攻撃手法の巧妙な構造的ギャップと、サイバー犯罪が「国家の正規ビジネス」として組み込まれた驚くべき実態が隠されています。
北朝鮮の「外向け」インターネットインフラは、私たちが日常的に利用している環境とは比較にならないほど極端に狭く、脆い状態にあります。
国家全体に割り当てられているIPアドレス（インターネット上の住所）は、わずか1,024個しか存在しません。これは日本の一般的な企業や小さな自治体ひとつ分にも満たない規模です。
2016年、北朝鮮側の設定ミスによって、国全体のドメインである「.kp」で終わるサイトの住所録が外部に流出する事態が発生しました。その際に判明した北朝鮮の公開Webサイトの数は、なんと30個未満。国営の朝鮮中央通信、労働新聞、外務省、高麗航空の予約サイト、さらには料理レシピのサイトといった程度でした。
実際にこれらの公開サイトへアクセスを試みると、異様な実態が浮かび上がります。
- 住所が極端にご近所: 国の顔となる主要機関のIPアドレスが目と鼻の先に隣り合わせで並び、1,024個の狭い空間に同居している。
- 接続が極めて不安定: 応答が全くない状態が続いたかと思えば、数分後にはすんなり開くといった不安定さを常態としている。
- 暗号化接続のエラー多発: 鍵マークがつく暗号化通信（HTTPS）の設定が古すぎて、現代の標準的なWebブラウザではセキュリティエラーが表示され、接続が拒否される。
- 外部接続回線はわずか2本: 外の世界と繋がる回線は、中国とロシアを経由する2本のみ。
表玄関となるインフラがこれほどボロボロで細い回線しか持たない国が、いかにして世界一の暗号資産泥棒になれたのでしょうか？
「ネットがほとんどない国がネットで世界1の泥棒」
その秘密は、攻撃者が使うインフラと国内インフラの切り離しにあります。外部の巨額資産を狙うハッカーたちが利用しているのは、北朝鮮国内の細い回線ではありません。彼らは国外のサーバーや、身元を隠す中継システム（プロキシやVPN等）を巧妙に組み合わせ、標的のネットワークへと侵入しています。そのため、本国のWebサイトの少なさや回線の貧弱さは、彼らの攻撃能力の限界とは何の関係もありません。彼らが狙う侵入の糸口は、常に「攻撃対象となる組織の側にいる、たった1人の人間」なのです。
暗号資産の盗難と聞くと、スーパーコンピュータを駆使して強固な暗号を解読する高度な攻撃を連想しがちです。しかし、実際の事件（DMM Bitcoin、Ronin、Bybit、Binanceなど）を分析すると、破られたのは数学的な暗号技術ではなく「人間の心」でした。犯罪グループは「ソーシャルエンジニアリング」と呼ばれる、人間の油断や求職心理につけ込む罠を緻密に仕掛けています。
- DMM Bitcoinの事例（被害額：約482億円）2024年3月末、ビジネスSNSのLinkedInを通じて、取引所の送金システムに関わるベンダー企業（Ginco社）の社員に「偽の採用担当者」から連絡が入りました。何度か会話を交わして信頼させた後、「採用前の試験プログラムです」と偽ってファイルを渡したのです。
- Roninの事例2022年に起きたゲーム関連資産の盗難でも、きっかけは開発者が偽の求人に応募し、内定通知に見せかけた悪意ある添付ファイルを開いてしまったことでした。
- Bybitの事例（被害額：約15億ドル）2025年2月、大手取引所Bybitから約15億ドルが盗取された事件では、同社が利用していた暗号資産金庫ソフトの開発会社の技術者が所有するパソコン1台が侵入経路となりました。
- Binanceの事例（被害額：約63億ドル／約1兆円）2026年10月29日、史上最大規模となったバイナンス事件でも、開発・運用を担当する技術者のノートパソコン1台の乗っ取りがすべての始まりでした。
ここで疑問が湧きます。「なぜ優秀な技術者が、そんなファイルを開いてしまうのか？」という点です。
IT業界の採用現場では、フィボナッチ数列（1, 1, 2, 3, 5…と前2つの数字を足していく数列）を計算するプログラムを書かせるなど、応募者の実技能力を測るコードテストが当たり前の手続きとして定着しています。応募する側にとって「試験プログラムの実行」は疑う余地のない日常的なプロセスであり、この「業界の当たり前」こそが盲点となっています。罠にかかった技術者は不注意だったのではなく、極めて自然な日常業務の一環として悪意あるコードを実行させられていたのです。
バイナンスの事件では、技術者のパソコンを乗っ取った後の内部工作も迅速かつ冷酷でした。イーサリアム上の契約プログラム（Solidity）を悪用し、「取引所の金庫に入ってきた資金をすべて犯人側に転送せよ」という不正プログラムを組み込みました。あらかじめ50通りの署名を用意してテスト環境で3回のリハーサルを行い、本番ではわずか30分の間に10本以上のチェーンから資金を流出させました。北朝鮮が2025年年間に盗み出した総額（約20億ドル）の3倍以上を、たった半時間で手に入れた計算になります。
ただし、盗まれた資産のすべてが犯人の手元に残ったわけではありません。米ドルに連動する「ステーブルコイン」は、流出直後に発行元会社によって手仕舞いされ、被害額の半分近くが迅速に凍結されました。しかし、ビットコインやイーサリアムといった中央管理者の存在しない分散型コイン（3,000億円相当以上）は止める手段が存在せず、犯人のウォレットにそのまま残されることになりました。暗号資産の構造的特徴が、被害の明暗を分けた形です。
数学的な暗号解読に膨大なコストを投じるより、キャリアアップを願う技術者の「無防備な心」を利用する方が遥かに安上がりで確実である——これがサイバー空間における冷酷な現実です。
ブロックチェーンは、誰でも取引履歴を検証できる公開帳簿です。捜査機関が公表した犯人の受け取り口座のデータを分析すると、ハッカーたちの意外な「働き方」が浮き彫りになります。
- 緊急避難モード（Bybit事件直後など）資金流出の直後は、差し押さえや追跡を免れるため、交代制の24時間体制で高速送金を連打します。Bybit事件の直後には10日間で4,400件以上の送金が行われ、動きが止まったのはわずか20時間程度の短い休憩が2回のみでした。
- 通常業務モード（Ronin事件など）発覚までに猶予があったRonin事件では、犯人は2ヶ月間にわたり、1日1回ほどのペースで静かに資金を分割送金しました。この送金時刻を集計すると、極めて特異なデータが得られます。
一般的なイーサリアムの送金（日中帯は全体の3割程度）が24時間へ均等に分散するのに対し、北朝鮮関連とされる口座の動きは日中へ著しく偏っています。
「急ぐ時は24時間。落ち着いたら平日の日中。送金の時刻だけを見ると、まるで勤め人の時間割りなんです」
ただし、ここで知的な冷静さが必要です。平壌時間は日本標準時と同じ（UTC+9）であるため、送金時刻の偏りというデータ単体だけで犯人を北朝鮮だと特定することはできません。犯行主体の特定は、あくまで警察庁や米FBIなどが通信経路やマルウェアのコード特徴を精査した結果に基づいています。
送金時刻データが示しているのは「犯人が誰か」という証明ではなく、彼らが**「どのように組織化され、どのようなシフトで働いているか」という実態**です。そこにいるのは暗闇で孤軍奮闘するハッカーではなく、時間割に従ってデスクに座る「組織労働者」であり、サイバー強奪が国家の正規的外貨獲得業務として組み込まれている証左なのです。
北朝鮮におけるサイバー攻撃は、もはや単なる犯罪行為を超え、国家の経済構造そのものを支える基幹産業と化しています。国連安全保障理事会の報告書によれば、同国が得る外貨獲得高の約半分がサイバー攻撃によるものであり、その資金がミサイル開発や核兵器計画の原資になっていると指摘されています。2025年単年だけでも、約20億ドル相当が不正に奪われました。
これほど巨大なリターンを生み出す一方で、攻撃にかかる初期コストは驚くほど低く抑えられています。
ネットの裏社会であるダークウェブ上では、標的のシステムに侵入するための攻撃ツールや未公開の脆弱性情報（エクスプロイト）が、暗号資産（ビットコイン等）建てで公然と売買されています。犯行グループは、過去に奪った暗号資産を使って新たな攻撃ツールを安価に調達し、次の獲物を狙っています。「侵入口を作るコスト」が極めて安いからこそ、国家ぐるみの高利益率ビジネスとして成り立ってしまうのです。
元ネタ https://www.youtube.com/watch?v=wNcIWiv-3Iw
感想
まだ感想はありません。最初の1件を書きましょう！