15 億ドルの Bybit 強奪事件の全貌：北朝鮮はいかにして史上最大の暗号資産窃盗を成功させたのか
2025 年 2 月 21 日、北朝鮮のハッカーがドバイを拠点とする取引所 Bybit から、わずか約 30 分間で 15 億ドル の暗号資産を盗み出しました。これは史上最大の暗号資産窃盗事件であるだけでなく、もし Bybit が銀行であったなら、ギネス世界記録に登録されている史上最大の銀行強盗事件として記録される規模のものです。
この攻撃は、スマートコントラクトのバグを悪用したり、プライベートキーを総当たり攻撃（ブルートフォース）したりしたものではありませんでした。その代わりに、ハッカーはサードパーティのウォレットプロバイダーに所属する 1 人の開発者のノート PC を乗っ取り、数週間にわたって辛抱強く待機し、Bybit の従業員が日常的な内部送金に見える操作を承認する瞬間を狙って実行されました。何かがおかしいと誰かが気づいた時には、500,000 ETH が北朝鮮 のラザルス・グループ（Lazarus Group）が制御する複雑なウォレットの迷宮へと消え去っていました。
これは、この事件がいかにして起こったのか、なぜ重要なのか、そして 2025 年における暗号資産セキュリティの現状について何を明らかにしているのかという物語です。
攻撃：忍耐と精度のマスタークラス
Bybit のハッキングは、単なる強行突破ではありませんでした。それは数週間にわたって展開された外科手術のような作戦でした。
フェーズ 1：開発者の侵害
2025 年 2 月 4 日、Safe{Wallet}（Bybit が多額の送金の安全を確保するために利用していた、広く普及しているマルチシグネチャ・ウォレットプラットフォーム）の開発者が、"MC-Based-Stock-Invest-Simulator-main" という一見正当な Docker プロジェクトをダウンロードしました。このファイルは、おそらく求人の機会や投資ツールを装ったソーシャルエンジニアリング攻撃を通じて届けられたと考えられます。
悪意のある Docker コンテナは直ちに攻撃者が制御するサーバーへの接続を確立しました。そこからハッカーは、開発者のワークステーションから AWS セッショントークン（Safe{Wallet} のクラウドインフラストラクチャへのアクセスを許可する一時的な認証情報）を抽出しました。
これらのトークンを使用することで、攻撃者は多要素認証を完全にバイパスしました。彼らは今、Safe{Wallet} の中核へとアクセスする鍵を手に入れたのです。
フェーズ 2：休止状態のコード
攻撃者はすぐに動くのではなく、Safe{Wallet} のウェブインターフェースに巧妙な JavaScript コードを注入しました。このコードは Bybit を明確にターゲットとして設計されており、Bybit の従業員が Safe アカウントを開き、トランザクションを承認しようとしていることを検知するまで休止状態を保つようになっていました。
ここでの巧妙さは驚くべきものです。Safe{Wallet} アプリケーション全体は、他のすべてのユーザーに対しては通常通り機能していました。Bybit だけが標的にされていたのです。
フェーズ 3：強奪
2025 年 2 月 21 日、Bybit の従業員は、コールドウォレット（安全なオフラインストレージ）からウォームウォレット（アクティブな取引のため）への日常的な送金プロセスを開始しました。これには、承認された担当者による複数の署名（マルチシグと呼ばれる標準的なセキュリティ慣行）が必要でした。
署名者がトランザクションを承認するために Safe{Wallet} を開いた際、インターフェースには正しい送金先アドレスが表示されているように見えました。しかし、悪意のあるコードはすでにコマンドを別のものに差し替えていました。従業員たちは知らず知らずのうちに、Bybit のコールドウォレット全体を空にするトランザクションを承認してしまったのです。
数分のうちに、約 15 億ドル 相当の 500,000 ETH が攻撃者の制御下にあるアドレスに流れ込みました。
技術的な悪用：Delegatecall
鍵となった脆弱性は、Ethereum の delegatecall 関数でした。これは、あるスマートコントラクトが別のコントラクトのコードを自身のストレージコンテキスト内で実行することを可能にするものです。攻撃者は Bybit の署名者を騙して、ウォレットのコントラクトロジックを悪意のあるバージョンに変更させ、事実上ハッカーに完全な制御権を与えてしまいました。
これは Ethereum や Safe{Wallet} のコアプロトコルのバグではありませんでした。信頼された従業員がトランザクションを検証・承認する瞬間、つまり「人間レイヤー」に対する攻撃だったのです。
北朝鮮のラザルス・グループ：世界で最も収益を上げるハッカー集団
攻撃から 24 時間以内に、ブロックチェーン調査員の ZachXBT は、このハッキングを北朝鮮のラザルス・グループに断定する証拠を Arkham Intelligence に提出しました。FBI は 2025 年 2 月 26 日にこの帰属を裏付けました。
ラザルス・グループ（TraderTraitor や APT38 としても知られる）は、北朝鮮の偵察総局の傘下で活動しています。彼らは個人の利益を求める犯罪集団ではありません。その収益が北朝鮮の核兵器や弾道ミサイル計画の資金源となる、国家が支援する活動です。
その数字は驚愕に値します：
- 2025 年だけで：北朝鮮のハッカーは 20.2 億ドル の暗号資産を窃盗
- Bybit の割合：15 億ドル（北朝鮮による 2025 年の全窃盗額の 74% がこの単一の攻撃によるもの）
- 2017 年以降：北朝鮮は 67.5 億ドル 以上の暗号資産を窃盗
- 2024 年対比：盗まれた金額は前年比 51% 増加
北朝鮮は、2025 年に世界中で盗まれた全暗号資産の 59% 、および全取引所侵害事件の 76% を占めています。他の追随を許さない圧倒的な脅威となっています。
暗号資産窃盗の産業化
北朝鮮を際立たせているのは、その規模だけではなく、作戦の巧妙さです。
技術的悪用を凌駕するソーシャルエンジニアリング
2025 年の主要なハッキング事件の大部分は、技術的な脆弱性ではなく、ソーシャルエンジニアリングを通じて実行されました。これは根本的な変化を表しています。ハッカーはもはや、主にスマートコントラクトのバグや暗号技術的な弱点を探しているわけではありません。彼らは「人」をターゲットにしています。
ラザルス・グループの工作員は、暗号資産企業の内部に IT 労働者として入り込んでいます。幹部になりすますこともあります。開発者にマルウェアを含む求人の案内を送ることもあります。Bybit への攻撃は、開発者が偽の株式投資シミュレーターをダウンロードしたことから始まりました。これは典型的なソーシャルエンジニアリングの手法です。
中国のランドリーネットワーク（The Chinese Laundromat）
暗号資産を盗み出すことは、課題の半分に過ぎません。発覚することなく、それを使用可能な資金に換金することは、同じくらい複雑です。
北朝鮮は直接キャッシュアウトするのではなく、捜査官が「中国系コインランドリー（Chinese Laundromat）」と呼ぶ、地下銀行、OTC ブローカー、貿易ベースの洗浄仲介者からなる広大なネットワークにマネーロンダリングを外部委託しています。これらの主体は、複数のチェーン、法域、決済ルートにわたって盗まれた資産を洗浄します。
Bybit のハッキングから 1 か月も経たない 2025 年 3 月 20 日までに、CEO の Ben Zhou 氏は、ハッカーがすでに盗まれた ETH の 86.29% を、複数の仲介ウォレット、分散型取引所（DEX）、クロスチェーンブリッジを通じてビットコインに変換したと報告しました。大規模な盗難に続く 45 日間の洗浄サイクルは、予測可能なパターンとなっています。
こうした努力にもかかわらず、Zhou 氏は盗まれた資産の 88.87% が追跡可能であると指摘しました。しかし、「追跡可能」であることは「回収可能」であることを意味しません。資金は、米国や国際的な法執行機関と協力関係にない法域へと流れています。
Bybit の対応：攻撃下での危機管理
侵害の発見から 30 分以内に、CEO の Ben Zhou 氏が指揮を執り、X（旧 Twitter）でリアルタイムの状況報告を開始しました。彼のメッセージは率直なものでした。「Bybit はソルベント（支払能力がある）です。今回のハッキングによる損失が回収できなくても、すべての顧客資産は 1 対 1 で裏付けられており、損失をカバーできます」
同取引所は 12 時間以内に 35 万件以上の出金リクエストを処理しました。これは、壊滅的な損失にもかかわらず、業務が通常通り継続されることをユーザーに示すシグナルとなりました。
緊急資金調達
72 時間以内に、Bybit は Galaxy Digital、FalconX、Wintermute などのパートナーから緊急資金調達を行い、447,000 ETH を確保して予備資金を補充しました。Bitget は出金を滞りなく継続させるために 40,000 ETH を貸し付け、Bybit はこれを 3 日以内に返済しました。
サイバーセキュリティ企業の Hacken はプルーフ・オブ・リザーブ（準備金証明）の監査を実施し、Bybit の主要資産が 100% 以上の担保で裏付けられていることを確認しました。この透明性は、この規模の危機においては前例のないものでした。
バウンティプログラム（賞金制度）
Zhou 氏は「Lazarus に対する宣戦布告」を表明し、凍結資産につながる情報に対して最大 10% の報酬を提供するグローバルなバウンティプログラムを開始しました。年末までに、Bybit は資金の追跡や回収に協力した貢献者に対し、218 万 USDT を支払いました。
市場の下した評価
2025 年末までに、Bybit の世界的なユーザー数は 8,000 万人を超え、1 日あたりの取引高は 71 億ドルを記録し、暗号資産現物取引所で第 5 位にランクされました。この危機対応は、壊滅的なハッキングをいかに生き残るかというケーススタディとなりました。
2025 年：暗号資産の盗難額が 34 億ドルに達した年
Bybit のハッキングは大きく報じられましたが、それはより広範なパターンの一部に過ぎませんでした。2025 年の暗号資産の総盗難額は 34 億ドルに達し、過去最高を記録、3 年連続の増加となりました。
主要な統計：
- 2023 年：20 億ドルの盗難
- 2024 年：22 億ドルの盗難
- 2025 年：34 億ドルの盗難
北朝鮮のシェアは、全暗号資産盗難の約半分から 60% 近くまで拡大しました。北朝鮮（DPRK）は、より少ないインシデントでより大きな盗難を成功させており、その効率性と巧妙さが増していることを示しています。
教訓：セキュリティはどこで失敗したのか
Bybit のハッキングは、単一の取引所をはるかに超える重大な脆弱性を浮き彫りにしました。
サードパーティのリスクは死活問題
Bybit 自体にセキュリティの不備があったわけではありません。不備があったのは Safe{Wallet} です。しかし、その結果を被ったのは Bybit でした。
暗号資産業界は複雑な依存チェーンの上に構築されています。取引所はウォレットプロバイダーに依存し、ウォレットプロバイダーはクラウドインフラに依存し、クラウドインフラは個々の開発者のワークステーションに依存しています。このチェーンのどこか一箇所でも侵害されれば、壊滅的な連鎖反応を引き起こす可能性があります。
コールドスト レージだけでは不十分
業界では長年、コールドウォレットがセキュリティの黄金基準とされてきました。しかし、Bybit の資金は盗まれた当時、コールドストレージに保管されていました。脆弱性は、資金を移動させるプロセス、つまりマルチシグが保護するために設計された「人間による承認ステップ」にありました。
送金がルーチン化すると、署名者は誤った安心感を抱き、承認を重要なセキュリティ上の決定ではなく、単なる形式的な手続きとして扱うようになります。Bybit への攻撃は、まさにこの行動パターンを突いたものでした。
UI（ユーザーインターフェース）は単一障害点
マルチシグのセキュリティは、署名者が承認内容を検証できることを前提としています。しかし、取引の詳細を表示するインターフェースが改ざんされていれば、検証は無意味になります。攻撃者は署名者に一つのことを見せながら、別のことを実行させました。
署名前にシミュレーションを行い、従業員が承認前に実際の送金先をプレビューできるようにしていれば、この攻撃を防げた可能性があります 。また、多額の出金に対して遅延を設定し、追加のレビュー時間を設けることも有効だったでしょう。
ソーシャルエンジニアリングは技術的セキュリティを凌駕する
世界で最も洗練された暗号技術によるセキュリティを備えていても、たった一人の従業員が誤ったファイルをダウンロードするだけで、そのすべてをバイパスできてしまいます。暗号資産セキュリティの弱点は、技術的なものではなく、ますます人間的なものになっています。
規制および業界への影響
Bybit のハッキングは、すでに規制の枠組みを再構築しつつあります。
以下の項目が義務化されることが予想されます：
- 鍵管理のためのハードウェアセキュリティモジュール（HSM）
- リアルタイムの取引監視と異常検知
- 定期的な第三者機関によるセキュリティ監査
- 強化された AML（マネーロンダリング防止）フレームワークと、多額送金時の取引遅延
セキュ リティとコンプライアンスは、市場へのアクセスのための必須条件になりつつあります。強力な鍵管理、権限設計、信頼できるセキュリティフレームワークを実証できないプロジェクトは、銀行パートナーや機関投資家から遮断されることになるでしょう。
業界にとっての意味
Bybit のハッキングは、不都合な真実を浮き彫りにしました。つまり、暗号資産のセキュリティモデルの強度は、その運用における最も弱いリンクと同じでしかないということです。
業界は、ゼロ知識証明、しきい値署名、セキュアエンクレーブといった暗号技術によるセキュリティに多額の投資を行ってきました。しかし、攻撃者が人間を騙して悪意のあるトランザクションを承認させることができれば、どれほど洗練された暗号技術も無意味になります。
取引所にとって、メッセージは明確です。セキュリティの革新は、テクノロジーの枠を超え、運用プロセス、サードパーティのリスク管理、継続的な従業員トレーニングにまで及ぶ必要があります。定期的な監査、共同の脅威インテリジェンスの共有、およびインシデント対応計画は、もはやオプションではありません。
ユーザーにとっても、教訓は同様に厳しいものです。最も洗練されたセキュリティを備えた最大の取引所でさえ、侵害される可能性があるということです。セルフカストディ、ハードウェアウォレット、分散型の資産保管は、利便性は劣るものの、依然として最も安全な長期戦略です。
結論
北朝鮮の Lazarus Group は、暗号資産の窃盗を産業化しました。彼らは 2017 年以来 67 億 5,000 万ドル以上を盗み出しており、2025 年はこれまでで最も成功した年となっています。Bybit のハッキングだけで、1 回のオペレーションで 15 億ドルを奪ったことは、あらゆる諜報機関が羨むような能力を示しています。
暗号資産業界は、無限の忍耐力、高度な技術力、そして報復を恐れない国家支援のハッカーとの軍拡競争の真っ只中にあります。Bybit への攻撃が成功したのは、斬新なエクスプロイトによるものではなく、攻撃者がコードではなく人間こそが最も弱いリンクであることを理解していたためです。
業界が運用のセキュリティを暗号技術のセキュリティと同じ厳格さで扱うようにならない限り、これらの攻撃は続くでしょう。問題は、再び 10 億ドル規模のハッキングが起こるかどうかではなく、「いつ」起こるか、そして標的となった組織が Bybit と同じくらい効果的に対応できるかどうかです。
この記事は教育目的のみであり、財務アドバイスと見なされるべきではありません。暗号資産取引所やウォレットを利用する際は、常に自身で調査を行い、セキュリティを最優先してください。