北朝鮮のハッカー集団「TraderTraitor」、史上最大の64億3,000万ドル規模Binance盗難事件に関与

米連邦捜査局（FBI）は、北朝鮮と関連するハッキング集団「TraderTraitor」が、Binanceから60億ドル以上の仮想資産を窃取した犯人であると正式に特定しました。この帰属判断は、米国シークレットサービスおよびIRS刑事捜査部門との共同発表であり、史上最大の暗号資産強奪事件として記録されています。過去の記録を大幅に上回る規模です。

何が起きたか

この侵害により、11の異なるブロックチェーン上で総額64億3,000万ドルが流出し、盗まれた資金の82%はEthereumおよびBitcoinネットワーク上にありました。ブロックチェーン分析企業Ellipticによれば、この単一の事件だけで、同政権によって以前に盗まれた暗号資産の総価値のほぼ2倍に達します。盗難への対応として、Tether、Circle、Ripple、Arbitrum、Optimismなどの主要なステーブルコインおよびインフラプロバイダーは、オンチェーンで不正資産28億5,000万ドルを成功裏に凍結しました。

事件発生後、Binanceはセキュリティ評価を実施しプラットフォームを保護するために出金を一時停止しました。取引所は、UTC時間午前6時から9時の間に第1段階の出金を再開したと発表し、預入サービスはイベント期間中を通じて影響を受けなかったと述べています。FBIは、攻撃者が主に盗んだ資金をEthereumに変換しており、分散型金融（DeFi）プロトコルや即時スワップサービスを通じてマネーロンダリングを行う準備をしている可能性が高いと観察しました。

TraderTraitorは、Jade Sleet、Pressure Chollima、UNC4899などの別名でも追跡されており、少なくとも2020年から活動しています。このグループは、DMM Bitcoin、Bybit、KelpDAO、Bitgetなど、Web3エンティティに対する一連の高-profileな攻撃の責任者です。今回の最新作戦は、国家支援型のアクターにとって規模と洗練度における重大なエスカレーションを表しています。

仕組み

攻撃ベクトルは、直接的なインフラ脆弱性の悪用ではなく、信頼できる開発者ワークフローの侵害に依存していました。SentinelOne、Zscaler ThreatLabz、Microsoftからの報告によると、TraderTraitorはトロイの木馬化されたTerraformプロバイダーを通じてマルウェアを配布しました。Terraformは広く使用されているInfrastructure as Codeツールであり、そのプロバイダーはサプライチェーン攻撃にとって高価値な標的となります。開発者が毒入りプロバイダーをインストールすると、被害者のオペレーティングシステムを検出し、カスタマイズされたマルウェアをダウンロードするBashローダーが実行されました。

ペイロードには、FLATROOFというクロスプラットフォームインプラントが含まれており、これはPythonベースの情報窃取ツールを使用して侵害されたマシンから機密データを吸い上げました。この初期アクセスにより、攻撃者はROOFDECKと呼ばれる第二段階のバックドアを設置し、被害者の環境に対する完全なリモート制御権限を獲得しました。この手法により、グループは組織内で横方向に移動し、重要な管理者認証情報にアクセスすることが可能になりました。

これらのペイロードを提供するために、グループは人工知能で強化された高度なソーシャルエンジニアリングキャンペーンを採用しました。彼らは、AI駆動型のブロックチェーンインテリジェンス企業の採用担当者になりすました偽のペルソナやフロントカンパニーを作成しました。業界固有の知識とカスタマイズされたドメインを活用することで、ソフトウェアエンジニアやサイバーセキュリティ専門家を偽の面接に参加させ、最終的には通常の技術評価に見える状況で悪意あるコードを実行させることに騙しました。

主な詳細

• 盗難総額は64億3,000万ドルで、史上最大の暗号資産窃盗事件となりました。
• Tether、Circle、Ripple、Arbitrum、Optimismにより、資産の28億5,000万ドルが凍結されました。
• 主要なマルウェア配布方法は、DevOpsワークフローを狙ったトロイの木馬化されたTerraformプロバイダーでした。
• 攻撃チェーンには、Bashローダー、FLATROOFインプラント、ROOFDECKバックドアが含まれていました。
• AIは、説得力のある誘い文句、偽のペルソナ、業界特化型の採用コンテンツの生成に使用されました。
• 盗まれた資金は、DeFiサービスを介したマネーロンダリングのために主にEthereumへ変換されています。

なぜ重要か

ソフトウェアエンジニアやDevOpsチームにとって、この事件はオープンソースサプライチェーンに伴う深刻なリスクを浮き彫りにしています。厳格な検証なしにサードパーティ製プロバイダーを信頼することは、壊滅的な侵害につながる可能性があります。Terraformプロバイダーを配信メカニズムとして使用することは、攻撃者がビルダーが毎日頼るツールを狙っており、構築するアプリケーションだけでなく、セキュリティ境界が本番環境のみからローカル開発マシンやCI/CDパイプラインへとシフトしていることを示しています。

ソーシャルエンジニアリングへのAI統合は、従来の警戒心では不十分であることを意味します。攻撃者は現在、正当な業界インタラクションを模倣する、非常に信頼性の高い求人オファーや技術的議論を生成できます。技術系の創業者や採用管理者にとって、これは標準的な採用プロセスが潜在的な攻撃ベクトルになったことを意味します。候補者の身元や共有されるコード・ツールの整合性を確認することは、単なる人事上の形式ではなく、重要なセキュリティ要件となっています。

対策

• 環境へのインストール前に、すべてのTerraformプロバイダーのチェックサムと署名を確認してください。
• マシンが侵害された場合の横方向の移動を制限するため、開発環境の厳格な分離を実装してください。
• クラウドインフラへのすべての管理者アクセスに対して、多要素認証とハードウェアキーを必須としてください。
• コードを共有する新規従業員や外部協力者に対して、帯域外検証プロセスを確立してください。
• Infrastructure as Codeモジュール内の予期しない変更や未検証の更新について依存関係ツリーを監視してください。
• チームメンバーに対し、AIで強化されたソーシャルエンジニアリング戦術や採用テーマの誘い文句について教育を行ってください。