15 億ドルの Bybit 強奪事件の全貌:北朝鮮はいかにして史上最大の暗号資産窃盗を成功させたのか
2025 年 2 月 21 日、北朝鮮のハッカーがドバイを拠点とする取引所 Bybit から、わずか約 30 分間で 15 億ドル の暗号資産を盗み出しました。これは史上最大の暗号資産窃盗事件であるだけでなく、もし Bybit が銀行であったなら、ギネス世界記録に登録されている史上最大の銀行強盗事件として記録される規模のものです。
この攻撃は、スマートコントラクトのバグを悪用したり、プライベートキーを総当たり攻撃(ブルートフォース)したりしたものではありませんでした。その代わりに、ハッカーはサードパーティのウォレットプロバイダーに所属する 1 人の開発者のノート PC を乗っ取り、数週間にわたって辛抱強く待機し、Bybit の従業員が日常的な内部送金に見える操作を承認する瞬間を狙って実行されました。何かがおかしいと誰かが気づいた時には、500,000 ETH が北朝鮮のラザルス・グループ(Lazarus Group)が制御する複雑なウォレットの迷宮へと消え去っていました。
これは、この事件がいかにして起こったのか、なぜ重要なのか、そして 2025 年における暗号資産セキュリティの現状について何を明らかにしているのかという物語 です。
攻撃:忍耐と精度のマスタークラス
Bybit のハッキングは、単なる強行突破ではありませんでした。それは数週間にわたって展開された外科手術のような作戦でした。
フェーズ 1:開発者の侵害
2025 年 2 月 4 日、Safe{Wallet}(Bybit が多額の送金の安全を確保するために利用していた、広く普及しているマルチシグネチャ・ウォレットプラットフォーム)の開発者が、"MC-Based-Stock-Invest-Simulator-main" という一見正当な Docker プロジェクトをダウンロードしました。このファイルは、おそらく求人の機会や投資ツールを装ったソーシャルエンジニアリング攻撃を通じて届けられたと考えられます。
悪意のある Docker コンテナは直ちに攻撃者が制御するサーバーへの接続を確立しました。そこからハッカーは、開発者のワークステーションから AWS セッショントークン(Safe{Wallet} のクラウドインフラストラクチャへのアクセスを許可する一時的な認証情報)を抽出しました。
これらのトークンを使用することで、攻撃者は多要素認証を完全にバイパスしました。彼らは今、Safe{Wallet} の中核へとアクセスする鍵を手に入れたのです。
フェーズ 2:休止状態のコード
攻撃者はすぐに動くのではなく、Safe{Wallet} のウェブインターフェースに巧妙な JavaScript コードを注入しました。このコードは Bybit を明確にターゲットとして設計されており、Bybit の従業員が Safe アカウントを開き、トランザクションを承認しようとしていることを検知するまで休止状態を保つようになっていました。
ここでの巧妙さは驚くべきものです。Safe{Wallet} アプリケーション全体は、他のすべてのユーザーに対しては通常通り機能していました。Bybit だけが標的にされていたのです。
フェーズ 3:強奪
2025 年 2 月 21 日、Bybit の従業員は、コールドウォレット(安全なオフラインストレージ)からウォームウォレット(アクティブな取引のため)への日常的な送金プロセスを開始しました。これには、承認された担当者による複数の署名(マルチシグと呼ばれる標準的なセキュリティ慣行)が必要でした。
署名者がトランザクションを承認するために Safe{Wallet} を開いた際、インターフェースには正しい送金先アドレスが表示されているように見えました。しかし、悪意の あるコードはすでにコマンドを別のものに差し替えていました。従業員たちは知らず知らずのうちに、Bybit のコールドウォレット全体を空にするトランザクションを承認してしまったのです。
数分のうちに、約 15 億ドル 相当の 500,000 ETH が攻撃者の制御下にあるアドレスに流れ込みました。
技術的な悪用:Delegatecall
鍵となった脆弱性は、Ethereum の delegatecall 関数でした。これは、あるスマートコントラクトが別のコントラクトのコードを自身のストレージコンテキスト内で実行することを可能にするものです。攻撃者は Bybit の署名者を騙して、ウォレットのコントラクトロジックを悪意のあるバージョンに変更させ、事実上ハッカーに完全な制御権を与えてしまいました。
これは Ethereum や Safe{Wallet} のコアプロトコルのバグではありませんでした。信頼された従業員がトランザクションを検証・承認する瞬間、つまり「人間レイヤー」に対する攻撃だったのです。
北朝鮮のラザルス・グループ:世界で最も収益を上げるハッカー集団
攻撃から 24 時間以内に、ブロックチェーン調査員の ZachXBT は、このハッキングを北朝鮮のラザルス・グループに断定する証拠を Arkham Intelligence に提出しました。FBI は 2025 年 2 月 26 日にこの帰属を裏付けました。
ラザルス・グループ(TraderTraitor や APT38 としても知られる)は、北朝鮮の偵察総局の傘下で活動しています。彼らは個人の利益を求める犯罪集団ではありません。その収益が北朝鮮の核兵器や弾道ミサイル計画の資金源となる、国家が支援する活動です。
その数字は驚愕に値します:
- 2025 年だけで:北朝鮮のハッカーは 20.2 億ドル の暗号資産を窃盗
- Bybit の割合:15 億ドル(北朝鮮による 2025 年の全窃盗額の 74% がこの単一の攻撃によるもの)
- 2017 年以降:北朝鮮は 67.5 億ドル 以上の暗号資産を窃盗
- 2024 年対比:盗まれた金額は前年比 51% 増加
北朝鮮は、2025 年に世界中で盗まれた全暗号資産の 59% 、および全取引所侵害事件の 76% を占めています。他の追随を許さない圧倒的な脅威となっています。
暗号資産窃盗の産業化
北朝鮮を際立たせているのは、その規模だけではなく、作戦の巧妙さです。