## 2025年は北朝鮮のサイバー犯罪者にとって「豊年」：盗難額が記録を更新し、マネーロンダリングは約45日の周期を示す

暗号業界が急速に成長する中、セキュリティ上の脅威も複雑化している。特に北朝鮮のハッカー集団による暗号資産の盗難は、2025年に過去最高の水準に達した。Chainalysisの最新分析によると、この年の盗難事件は業界全体に大きな衝撃を与えただけでなく、攻撃者の手口がより巧妙になっていることも浮き彫りにしている。

### 記録的な盗難額：20.2億ドルを超える被害

2025年、北朝鮮のハッカーが盗んだ暗号通貨は少なくとも20.2億ドルに達し、2024年比で51%の増加を記録した。同時に、累計盗難総額は67.5億ドルの大台を超えている。

興味深いことに、攻撃の件数は減少しているにもかかわらず、一件あたりの盗難額は大幅に増加している。この傾向は、ハッカーが「少数精鋭」の戦略にシフトしたことを示唆している。攻撃の回数を減らしながらも、より大きな標的に狙いを絞り、より多くの資産を奪う傾向が強まっている。

データによると、2025年1月から12月初旬までに、暗号業界全体で盗まれた金額は34億ドルを超えており、このうち数件の大型ハッキング事件が総損失の69%を占めている。最大の盗難事件と平均的な事件の被害額の差は、かつてないほど拡大し、その差は1000倍にも達している。

### 攻撃手法の進化：内部浸透から詐欺的採用まで

北朝鮮のハッカーが依然として暗号業界に対する最大の脅威である理由は、単なる技術力だけではない。彼らの攻撃手法は時間とともに進化し、より社会工学的なアプローチへとシフトしている。

従来の方法では、ハッカーは単に職を申請して従業員として潜入し、特権アクセスを取得していた。しかし現在、彼らはより高度な戦略を採用している。有名なWeb3やAI企業の採用担当者になりすまし、候補者に対して偽の採用プロセスを実施する。面接という名目で被害者のログイン認証情報、ソースコード、さらには雇用先のVPNアクセスを詐取している。

経営幹部をターゲットとした攻撃では、偽の投資家や買収者になりすまし、戦略会議やデューデリジェンスの過程で機密情報を抽出する手口が報告されている。このような多層的な攻撃戦略は、北朝鮮が単なる技術的な脅威ではなく、組織化されたサイバー犯罪国家であることを改めて示している。

### マネーロンダリングの独特なパターン：45日の周期

盗んだ資金をいかに迅速かつ効率的に現金化するかは、ハッカーにとって同じくらい重要だ。北朝鮮のマネーロンダリング活動は、他の犯罪者グループとは明らかに異なるパターンを示している。

特に注目すべきは、中国語のマネーロンダリングサービスとOTC業者への強い依存である。これは北朝鮮のハッカー集団がアジア太平洋地域の違法ネットワークと緊密に協力していることを示唆している。さらに、クロスチェーンブリッジやミキシングプロトコルの使用頻度も高く、追跡を困難にするための多段階的なアプローチが取られている。

分析によると、大型盗難事件の後、盗まれた資金は約45日間の構造化されたマネーロンダリング周期を経る：

**第一段階（0～5日）：即座の分散**
最初の数日間、攻撃者は盗んだ資金をDeFiプロトコルやミキシングサービスに流す。この段階での活動量は通常時の3倍以上に跳ね上がる。

**第二段階（6～10日）：初期統合**
KYC要件が緩い取引プラットフォームやCEXへの資金移動が本格化する。同時にクロスチェーンブリッジが活用され、複数のブロックチェーン間で資金が分散される。

**第三段階（20～45日）：最終段階**
最終的に現金化できるサービスへと資金が集約される。中国語のプラットフォームや担保サービスが多用される。この段階までに、資金は合法的な資産として混合されている。

このパターンが数年にわたり繰り返されていることは、北朝鮮が運用上の制約に直面していることを示唆している。限定された金融インフラへのアクセスと、特定の仲介者への依存が、このような予測可能なタイムラインを生み出しているのかもしれない。

### 個人ユーザーへの脅威が急増

セキュリティ対策が強化される一方で、個人ウォレットへの攻撃は逆に増加している。2025年の盗難事件は158,000件に急増し、2022年の54,000件のほぼ3倍に達した。被害者数も40,000人から80,000人へと倍増している。

興味深いのは、盗難事件の総数は増えているものの、一人あたりの被害額は減少しているという点だ。2024年の15億ドルと比べ、2025年の被害総額は7.13億ドルに減少している。これは攻撃者の戦略が変わっていることを示唆している。個人ユーザーを広範にターゲットにしながらも、一件あたりの抽出額は小さくなっているのだ。

ブロックチェーン別の分析によると、イーサリアムとトロンの盗難率が特に高い。イーサリアムはユーザー数が膨大であるため被害が集中しており、トロンは相対的にユーザー数が少ないにもかかわらず盗難率が高い傾向にある。

### DeFiセキュリティの改善：例外的な成功事例

興味深い現象として、DeFiのセキュリティ状況に改善の兆候が見られる。総ロック価値（TVL）が大幅に回復しているにもかかわらず、ハッキングによる損失は依然として低水準を維持している。これは、DeFiプロトコルが効果的なセキュリティ対策を導入したことを示唆している。

実例として、2025年9月のVenusプロトコル事件がある。攻撃者は侵害されたZoomクライアントを通じてシステムアクセスを取得し、ユーザーに1300万ドルの委任権限を付与させようとした。しかしVenusが直前に導入したセキュリティ監視プラットフォームが疑わしい活動を検出し、攻撃は18時間前に検知された。

その後の対応は迅速だった。20分以内にプロトコルが一時停止され、5時間以内に部分的に復旧、7時間以内に攻撃者のポジションが清算され、12時間以内にすべての盗まれた資金が回収された。さらにVenusは、攻撃者がまだ支配下にある300万ドルの資産を凍結するためのガバナンス提案を可決した。

この事件は、DeFiセキュリティインフラが実質的に進化したことを示す重要な事例である。積極的な監視、素早い対応メカニズム、そして実行力のあるガバナンスが組み合わさることで、初期のDeFi時代とは異なる堅牢なシステムが構築されている。

### 2026年への課題：ウィリー・サットンの法則を超えて

2025年の北朝鮮による攻撃の減少は、脅威の軽減を意味しない。むしろ、攻撃が見えにくくなり、より巧妙になっていることを示唆している。既知の攻撃件数が74%減少したにもかかわらず、盗難額は記録を更新している現状は、表面化していない活動がさらに多く存在する可能性を示唆している。

北朝鮮のハッカー活動は、単なる金銭的な利益追求ではなく、国家の資金調達と国際制裁回避という戦略的目標を背景としている。従来の犯罪者の行動パターンとは根本的に異なるのだ。

暗号業界にとって2026年の課題は、これらの高度に組織化された攻撃を事前に検知し、阻止する能力をいかに高めるかにある。北朝鮮特有のマネーロンダリングパターンの識別、内部浸透の防止、社会工学的攻撃への対策強化が急務となる。