「サイバーセキュリティ」タグの記事が 10 件 件あります

約 626 万ビットコイン（ 6,500 億ドルから 7,500 億ドル相当）が、量子攻撃に対して脆弱なアドレスに存在しています。ほとんどの専門家は、暗号解読が可能な量子コンピュータの実現にはまだ数年かかると考えていますが、それらの資産を保護するために必要なインフラを一夜にして構築することは不可能です。あるプロトコルはすでにその答えを持っていると主張しており、SEC もそれに同意しています。

Naoris Protocol は、SEC の量子耐性金融インフラフレームワーク（ PQFIF ）において、量子耐性を持つブロックチェーンインフラの参照モデルとして指定され、米国の規制文書に引用された最初の分散型セキュリティプロトコルとなりました。 2026 年第 1 四半期末までにメインネットのローンチを予定しており、テストネットではすでに 1 億 400 万件の量子耐性トランザクションが処理され、NATO 加盟国関連機関との提携も進んでいます。 Naoris は、「 DePIN の次のフロンティアは計算やストレージではなく、サイバーセキュリティそのものである」という大胆な賭けに出ています。

あなたのコールドウォレットは、あなたが思っているほど安全ではありません。 2025 年、プライベートキー、ウォレットシステム、そしてそれらを管理する人間を標的としたインフラストラクチャ攻撃は、盗まれた全暗号資産の 76 % を占め、わずか 45 件の事件で合計 22 億ドルに達しました。北朝鮮の国家主導のハッキング部隊であるラザルス・グループ（Lazarus Group）は、従来のコールドストレージのセキュリティをほぼ無意味にするプレイブックを完成させました。それは、コードではなく人間を標的とした、数ヶ月に及ぶ潜入キャンペーンです。

2025年 2月 4日、Safe{Wallet} の開発者「Developer1」が日常的と思われるリクエストを受け取ったとき、自身の Apple MacBook が史上最大の暗号資産強奪事件の侵入口になるとは夢にも思っていませんでした。それから 17日以内に、北朝鮮の Lazarus Group はその侵害された 1台のラップトップを悪用して Bybit から 15億ドルを盗み出しました。これは一部の国家の GDP 全体をも上回る額です。

これは単なる異常事態ではありませんでした。国家に支援されたハッカー集団が、世界で最も洗練された暗号資産窃盗犯へと 10年かけて進化した結果であり、累計で少なくとも 67.5億ドルの窃盗に関与しています。

数字は驚異的です：2025 年に暗号資産プラットフォームから 34 億ドルが盗まれ、その 3 分の 2 近くを一国家が占めています。北朝鮮のラザルス・グループ（Lazarus Group）は、単に記録を塗り替えただけではありません。攻撃回数を減らしながら指数関数的に多くの価値を搾取するという、国家主導のサイバー犯罪のルールを書き換えました。2026 年を迎えるにあたり、暗号資産業界は不都合な事実に直面しています。それは、過去 5 年間のセキュリティ・パラダイムが根本的に崩壊しているということです。

34 億ドルの警鐘​

ブロックチェーン分析企業チェイナリシス（Chainalysis）は 2025 年 12 月に年次レポートを発表し、業界関係者が恐れていた事態を裏付けました。暗号資産の盗難総額は 34 億ドルに達し、そのうち北朝鮮のハッカーが 20 億 2,000 万ドルを占めました。これは、すでに過去最高だった 2024 年の 13 億 4,000 万ドルから 51% の増加です。これにより、北朝鮮による暗号資産盗難の累計額は約 67 億 5,000 万ドルに達しました。

2025 年の盗難が前例のないものである理由は、金額だけではありません。その効率性です。北朝鮮のハッカーは、例年よりも既知の攻撃回数を 74% 減少させながら、この記録的な略奪額を達成しました。ラザルス・グループは、分散型の脅威アクターから、金融戦争の精密機械へと進化を遂げたのです。

TRM Labs とチェイナリシスは独立してこれらの数字を検証しており、TRM は暗号資産犯罪がかつてないほど「組織化され、プロフェッショナル化」していると指摘しています。攻撃は以前のサイクルよりも高速で、より巧みに調整され、はるかに大規模化しやすくなっています。

Bybit 強奪事件：サプライチェーン攻撃の傑作​

2025 年 2 月 21 日、暗号資産界は史上最大の単一盗難事件を目撃しました。ハッカーは、世界最大級の暗号資産取引所の一つである Bybit から、当時 15 億ドル相当にのぼる約 401,000 ETH を流出させました。

この攻撃は、力ずくの侵入やスマートコントラクトの脆弱性を突いたものではありませんでした。それは見事なサプライチェーン攻撃でした。ラザルス・グループは「TraderTraitor」（Jade Sleet や Slow Pisces としても知られる）という別名で活動し、人気のマルチシグ・ウォレット・プロバイダーである Safe{Wallet} の開発者を標的にしました。ウォレットのユーザーインターフェースに悪意のあるコードを注入することで、従来のセキュリティ層を完全にバイパスしたのです。

11 日以内に、ハッカーは盗まれた資金の 100% を洗浄しました。Bybit の CEO である Ben Zhou 氏は 3 月初旬、約 3 億ドルの足取りを見失ったことを明らかにしました。FBI は 2025 年 2 月 26 日にこの攻撃を公式に北朝鮮によるものと断定しましたが、その時にはすでに資金はミキシング・プロトコルやブリッジ・サービスへと消えていました。

Bybit のハッキングだけで北朝鮮の 2025 年の暗号資産盗難額の 74% を占め、戦術の恐るべき進化を示しました。セキュリティ企業 Hacken が指摘したように、ラザルス・グループは「中国語のマネーロンダリング・サービス、ブリッジ・サービス、ミキシング・プロトコルを明確に好み、大規模な窃盗後に 45 日間の洗浄サイクルを行う」という傾向を示しました。

ラザルス・プレイブック：フィッシングから深部への浸透まで​

北朝鮮のサイバー作戦は根本的な変貌を遂げました。単純なフィッシング攻撃やホットウォレットの侵害の時代は終わりました。ラザルス・グループは、検知をほぼ不可能にする多面的な戦略を開発しました。

Wagemole 戦略​

おそらく最も陰湿な戦術は、研究者が「Wagemole」と呼ぶものです。これは、世界中の暗号資産関連企業に潜伏 IT 労働者を送り込む手法です。偽の身分やフロント企業を通じて、これらの工作員は暗号資産企業、カストディアン、Web3 プラットフォームを含む企業システムへの正当なアクセス権を取得します。

このアプローチにより、ハッカーは境界防御を完全に回避できます。彼らは外部から侵入しているのではなく、すでに内部に存在しているのです。

AI を活用した脆弱性攻撃​

2025 年、国家主導のグループは人工知能（AI）を使用して、あらゆる段階の作戦を強化し始めました。AI は現在、数千のスマートコントラクトを数分でスキャンし、悪用可能なコードを特定し、マルチチェーン攻撃を自動化します。かつて数週間の手動分析が必要だった作業が、今では数時間で完了します。

Coinpedia の分析によると、北朝鮮のハッカーは AI の統合を通じて暗号資産犯罪を再定義し、その作戦をこれまで以上にスケーラブルで検知困難なものにしています。

エグゼクティブのなりすまし​

純粋な技術的脆弱性の悪用から人間的要因への攻撃へのシフトは、2025 年の決定的なトレンドでした。セキュリティ企業は、「異常な損失は圧倒的にアクセス制御の失敗によるものであり、斬新なオンチェーンの数学的欠陥によるものではなかった」と指摘しています。ハッカーは、汚染されたフロントエンドやマルチシグ UI のトリックから、エグゼクティブへのなりすましや秘密鍵の窃盗へと移行しました。

Bybit の先へ：2025 年のハッキング概況​

Bybit がヘッドラインを独占する一方で、北朝鮮の作戦は単一のターゲットをはるかに超えて広がっていました：

• DMM Bitcoin（日本）: 3 億 500 万ドルが盗まれ、最終的に取引所の事業終了につながりました。
• WazirX（インド）: インド最大の暗号資産取引所から 2 億 3,500 万ドルが流出。
• Upbit（韓国）: 2025 年末、署名インフラの悪用を通じて 3,600 万ドルが奪取。

これらは孤立した事件ではありません。複数の管轄区域にわたる中央集権型取引所、分散型金融（DeFi）プラットフォーム、および個別のウォレット・プロバイダーを標的とした、調整されたキャンペーンを象徴しています。

独立した集計では、年間を通じて 300 件を超える主要なセキュリティ・インシデントが特定されており、暗号資産エコシステム全体にわたるシステム上の脆弱性が浮き彫りになりました。

Huione の繋がり：カンボジアの 40 億ドル規模のマネーロンダリング・マシン​

マネーロンダリングの側面において、米財務省の金融犯罪取締ネットワーク（FinCEN）は、北朝鮮の活動における重要なノードとして、カンボジアを拠点とする Huione Group を特定しました。

FinCEN の調査によると、Huione Group は 2021 年 8 月から 2025 年 1 月の間に少なくとも 40 億ドルの不正収益を洗浄しました。ブロックチェーン企業 Elliptic は、実際の数字は 110 億ドルに近い可能性があると推定しています。

財務省の調査では、Huione Group が Lazarus Group に直接関連する 3,700 万ドルを処理しており、その中には DMM Bitcoin のハッキングによる 3,500 万ドルが含まれていたことが明らかになりました。同社は、平壌の主要な対外情報機関である北朝鮮の偵察総局（RGB）と直接協力していました。

Huione が特に危険であったのは、コンプライアンス管理が完全に欠如していた点です。Huione Pay（銀行）、Huione Guarantee（エスクロー）、Huione Crypto（取引所）の 3 つの事業部門のいずれも、AML / KYC ポリシーを公開していませんでした。

カンボジアの与党フン一族との繋がり（フン・マネット首相の従兄弟が主要株主であることなど）により、2025 年 5 月に米国がアメリカの金融システムへのアクセスを遮断するまで、国際的な法執行の取り組みは困難を極めました。

規制当局の対応：MiCA、PoR、そしてその先へ​

2025 年の窃盗被害の規模は、世界中で規制の動きを加速させました。

欧州の MiCA ステージ 2​

欧州連合（EU）は暗号資産市場規制（MiCA）の「ステージ 2」を前倒しで実施し、現在、ユーロ圏で活動するすべての取引所に対し、サードパーティのソフトウェアベンダーの四半期ごとの監査を義務付けています。Bybit のハッキングで見られたサプライチェーン攻撃のベクトルが、この具体的な要件を推進しました。

米国のプルーフ・オブ・リザーブ（PoR）義務化​

米国では、義務化されたリアルタイムのプルーフ・オブ・リザーブ（PoR）要件に焦点が移っています。その理論は、取引所が資産をオンチェーンでリアルタイムに証明しなければならない場合、不審な流出が即座に可視化されるというものです。

韓国のデジタル金融セキュリティ法​

Upbit のハッキングを受けて、韓国の金融サービス委員会は 2025 年 12 月に「デジタル金融セキュリティ法」を提案しました。この法律は、すべての暗号資産取引所に対して、義務付けられたコールドストレージ比率、定期的な侵入テスト、および不審な活動に対する監視の強化を強制するものです。

2026 年の防御に必要なもの​

Bybit の侵害により、中央集権型取引所がセキュリティを管理する方法の根本的な転換が余儀なくされました。業界のリーダーたちは、2026 年に向けたいくつかの重要なアップグレードを特定しています：

マルチパーティ計算（MPC）への移行​

ほとんどのトップティアのプラットフォームは、従来のスマートコントラクト・マルチシグからマルチパーティ計算（MPC）技術へと移行しました。2025 年に悪用された Safe{Wallet} の設定とは異なり、MPC はプライベートキーをシャード（断片）に分割し、それらが単一の場所に同時に存在することはないため、UI スプーフィングや「アイスフィッシング」の手法を実行することはほぼ不可能です。

コールドストレージの基準​

信頼できるカストディアル取引所は現在、90 ～ 95% のコールドストレージ比率を導入しており、ユーザー資金の大部分をハードウェアセキュリティモジュール（HSM）でオフライン管理しています。マルチシグネチャ・ウォレットでは、大規模なトランザクションを承認するために複数の権限者が必要です。

サプライチェーン監査​

2025 年の最大の教訓は、セキュリティがブロックチェーンを超えてソフトウェアスタック全体に及ぶということです。取引所は、自社のコードに適用するのと同様の厳格さでベンダーとの関係を監査しなければなりません。Bybit のハッキングは、取引所の脆弱性ではなく、侵害されたサードパーティのインフラストラクチャが原因で成功しました。

人的要因の防御​

フィッシング攻撃や安全なパスワード管理に関する継続的なトレーニングが義務化されました。ヒューマンエラーは依然として侵害の主な原因であるためです。セキュリティの専門家は、セキュリティプロセス管理の弱点を特定するために、定期的なレッドチームおよびブルーチーム演習を推奨しています。

耐量子コンピューティングへのアップグレード​

さらに先を見据えると、耐量子計算機暗号（PQC）や量子セキュア・ハードウェアが重要な将来の防御策として浮上しています。コールドウォレット市場の 2026 年から 2033 年にかけての予測 CAGR 15.2% は、セキュリティの進化に対する機関投資家の信頼を反映しています。

今後の展望​

Chainalysis が 2025 年のレポートで述べた締めくくりの警告は、業界全体に響くはずです。「既知の攻撃が 74% 減少したにもかかわらず達成された 2025 年の記録的なパフォーマンスは、私たちが目にしているのは彼らの活動の最も目に見える部分に過ぎない可能性を示唆しています。2026 年の課題は、北朝鮮関連のアクターが Bybit 規模の事件を再び引き起こす前に、これらの影響力の大きい活動を検出し、防止することです。」

北朝鮮は、制裁回避と兵器資金の調達を目的とした国家支援のハッカーが、業界の防御を上回る可能性があることを証明しました。累計 67 億 5,000 万ドルという金額は、単に盗まれた暗号資産を意味するのではなく、ミサイル、核プログラム、そして体制の存続を象徴しています。

暗号資産に関わる業界にとって、2026 年はセキュリティ変革の年でなければなりません。漸進的な改善ではなく、資産の保管、アクセス、転送方法の根本的な再構築が必要です。Lazarus Group は、昨日のベストプラクティスが今日の脆弱性であることを示しました。

かつてないほど重大な局面を迎えています。

---

ブロックチェーンインフラの保護には、絶え間ない警戒と業界をリードするセキュリティ対策が必要です。BlockEden.xyz は、多層防御セキュリティアーキテクチャを備えたエンタープライズグレードのノードインフラを提供し、開発者や企業が進化する脅威に耐えうる基盤の上に構築できるよう支援します。

暗号資産のマネーロンダリングは 2025 年に 820 億ドルにまで爆発的に増加しました。これはわずか 5 年前の 100 億ドルから 8 倍の増加です。しかし、真のストーリーはその驚異的な金額ではありません。それは金融犯罪自体の「産業化」です。プロの洗浄ネットワークは現在、洗練された Telegram ベースのマーケットプレイスを通じて毎日 4,400 万ドルを処理しており、北朝鮮は核計画の資金調達のために暗号資産の窃盗を武器化しました。さらに、世界的な詐欺を可能にするインフラは、合法的な暗号資産の普及よりも 7,325 倍も速いスピードで成長しています。アマチュアの暗号資産犯罪者の時代は終わりました。私たちは今、組織化され、プロフェッショナル化されたブロックチェーン犯罪の時代に入っています。

2025 年のクリスマスイブ、仮想通貨界の多くの人々が休暇を過ごしている中、攻撃者は Trust Wallet の Chrome 拡張機能に悪意のあるアップデートをプッシュしました。48 時間以内に、2,520 個のウォレットから 850 万ドルが消失しました。数千人のユーザーのシードフレーズが、日常的なテレメトリデータを装って密かに収集されていました。しかし、これは孤立した事件ではありませんでした。それは、数週間にわたって仮想通貨開発エコシステム全体に広がっていたサプライチェーン攻撃の集大成だったのです。

『デューン 砂の惑星』のサンドワームにちなんで名付けられた Shai-Hulud キャンペーンは、2025 年で最も攻撃的な npm サプライチェーン攻撃を象徴しています。この攻撃は 700 以上の npm パッケージを侵害し、27,000 以上の GitHub リポジトリを感染させ、487 の組織にわたる約 14,000 の開発者シークレットを露出させました。被害総額は 5,800 万ドルを超える仮想通貨に上り、仮想通貨史上、開発者を標的とした最もコストのかかる攻撃の一つとなりました。

サプライチェーンワームの解剖学​

ユーザーに悪意のあるソフトウェアをダウンロードさせる一般的なマルウェアとは異なり、サプライチェーン攻撃は開発者がすでに信頼しているツールを汚染します。Shai-Hulud キャンペーンは、ほぼすべての仮想通貨ウォレット、DeFi フロントエンド、Web3 アプリケーションを含む、ほとんどの JavaScript 開発を支えるパッケージマネージャーである npm を武器化しました。

攻撃は 2025 年 9 月の第 1 波から始まり、約 5,000 万ドルの仮想通貨盗難をもたらしました。しかし、オペレーションの真の巧妙さを示したのは、11 月の「The Second Coming（再来）」でした。11 月 21 日から 23 日にかけて、攻撃者は Zapier、ENS Domains、AsyncAPI、PostHog、Browserbase、Postman を含む主要プロジェクトの開発インフラを侵害しました。

伝播メカニズムは優雅でありながら恐ろしいものでした。Shai-Hulud が正当な npm パッケージに感染すると、プリインストールスクリプトによってトリガーされる 2 つの悪意のあるファイル（setup_bun.js と bun_environment.js）を注入します。インストール後にアクティブ化される従来のマルウェアとは異なり、このペイロードはインストールが完了する前、さらにはインストールが失敗した場合でも実行されます。開発者が何かがおかしいと気づく頃には、彼らの認証情報はすでに盗まれています。

このワームは、侵害された開発者によって維持されている他のパッケージを特定し、悪意のあるコードを自動的に注入して、新しい侵害されたバージョンを npm レジストリに公開します。この自動化された伝播により、攻撃者の直接的な介入なしにマルウェアが指数関数的に広がることが可能になりました。

開発者シークレットからユーザーウォレットへ​

侵害された npm パッケージと Trust Wallet ハックの関連性は、サプライチェーン攻撃がいかにして開発者からエンドユーザーへと連鎖するかを明らかにしています。

Trust Wallet の調査により、11 月の Shai-Hulud 発生時に開発者の GitHub シークレットが露出していたことが判明しました。この露出により、攻撃者はブラウザ拡張機能のソースコード、そして極めて重要なことに、Chrome ウェブストアの API キーへのアクセス権を手に入れました。これらの認証情報を武器に、攻撃者は Trust Wallet の内部リリースプロセスを完全にバイパスしました。

2025 年 12 月 24 日、Trust Wallet の開発者ではなく、攻撃者によって公開された Trust Wallet Chrome 拡張機能のバージョン 2.68 が Chrome ウェブストアに登場しました。悪意のあるコードは、拡張機能に保存されているすべてのウォレットを反復処理し、各ウォレットに対してニーモニックフレーズの要求をトリガーするように設計されていました。ユーザーがパスワードまたは生体認証で認証したかどうかにかかわらず、シードフレーズは正当な分析データを装って、攻撃者が制御するサーバーに密かに持ち出されました。

盗まれた資金の内訳は以下の通りです：ビットコインで約 300 万ドル、イーサリアムで 300 万ドル以上、その他ソラナや各種トークンが少額でした。数日以内に、攻撃者は中央集権型取引所を通じて資金の洗浄を開始しました。ChangeNOW へ 330 万ドル、FixedFloat へ 34 万ドル、KuCoin へ 44 万 7,000 ドルが送金されました。

デッドマンズスイッチ​

おそらく最も不気味なのは、Shai-Hulud マルウェアの「デッドマンズスイッチ」メカニズムです。ワームが GitHub や npm で認証できない場合、つまり伝播と持ち出しのチャネルが切断された場合、ユーザーのホームディレクトリにあるすべてのファイルを消去します。

この破壊的な機能には複数の目的があります。検出の試みを罰し、攻撃者の足跡を隠す混乱を引き起こし、防御側がコマンドアンドコントロール（C2）インフラを遮断しようとした場合の交渉材料となります。適切なバックアップを維持していない開発者にとって、クリーンアップの失敗は、認証情報の盗難に加えて壊滅的なデータ損失を招く可能性があります。

攻撃者は心理的な巧妙さも示しました。Trust Wallet が侵害を発表した際、同じ攻撃者がその後のパニックを利用したフィッシングキャンペーンを開始し、「ウォレットの確認」のためにリカバリーシードフレーズの入力を求める偽の Trust Wallet ブランドのウェブサイトを作成しました。一部の被害者は 2 度被害に遭いました。

インサイダーの疑問​

Binance の共同創設者である Changpeng Zhao (CZ) は、Trust Wallet の不正利用は「十中八九」内部関係者、またはデプロイ権限に事前にアクセスできた人物によって実行されたと示唆しました。Trust Wallet 自身の分析では、攻撃者が 2025 年 12 月 8 日以前に開発者のデバイスを制御したか、デプロイ権限を取得した可能性があることが示唆されています。

セキュリティ研究者は、国家が関与している可能性を示唆するパターンを指摘しています。クリスマスイブというタイミングは、セキュリティチームの手が薄くなる連休中に攻撃するという、一般的な高度標的型攻撃（APT）の手口に従っています。Shai-Hulud キャンペーンの技術的な巧妙さと規模、そして迅速な資金洗浄は、典型的な犯罪組織を超えたリソースがあることを示唆しています。

ブラウザ拡張機能が特異的に脆弱である理由​

Trust Wallet の事件は、クリプトセキュリティモデルにおける根本的な脆弱性を浮き彫りにしました。ブラウザ拡張機能は、ウェブページの読み取りや変更、ローカルストレージへのアクセス、そして暗号資産ウォレットの場合は数百万ドルに相当する鍵の保持といった、非常に強力な権限を持って動作します。

攻撃対象領域（アタックサーフェス）は広大です：

• 更新メカニズム: 拡張機能は自動更新されるため、たった一つの侵害されたアップデートがすべてのユーザーに届いてしまいます。
• API キーのセキュリティ: Chrome ウェブストアの API キーが漏洩すると、誰でもアップデートを公開できてしまいます。
• 信頼の前提: ユーザーは公式ストアからのアップデートは安全であると思い込んでいます。
• 休暇時期のタイミング: 休暇中のセキュリティ監視の低下により、攻撃者の滞在時間（ドウェルタイム）が長くなります。

クリプトユーザーに対するブラウザ拡張機能への攻撃は、これが初めてではありません。過去の事例には、VS Code 拡張機能を標的にした GlassWorm キャンペーンや、FoxyWallet Firefox 拡張機能の詐欺などがあります。しかし、Trust Wallet の侵害は金額ベースで最大規模であり、サプライチェーンの侵害がいかに拡張機能攻撃の影響を増幅させるかを証明しました。

Binance の対応と SAFU の前例​

Binance は、影響を受けた Trust Wallet ユーザーに対し、「ユーザーのための安全資産基金（SAFU）」を通じて全額を補償することを認めました。この基金は、2018 年の取引所ハッキングの後に設立されたもので、セキュリティインシデントによるユーザーの損失をカバーするために、取引手数料の一部を予備として保持しています。

補償を決定したことは重要な前例となりますが、同時に責任の所在に関する興味深い問いを投げかけています。Trust Wallet は、影響を受けた期間中に単にウォレットを開いただけで、ユーザーに直接的な落ち度がないにもかかわらず侵害されました。しかし、根本的な原因は開発者のインフラを侵害したサプライチェーン攻撃であり、それはさらに npm における広範なエコシステムの脆弱性によって可能になったものでした。

Trust Wallet の即時対応には、新しいバージョンのリリースを 2 週間ブロックするためのすべてのリリース API の期限切れ処理、悪意のあるデータ流出ドメインのレジストラへの報告（その結果、迅速な停止措置が取られました）、およびクリーンなバージョン 2.69 のプッシュが含まれていました。12 月 24 日から 26 日の間に拡張機能のロックを解除したユーザーには、直ちに新しいウォレットに資金を移動するようアドバイスされました。

クリプトエコシステムへの教訓​

Shai-Hulud キャンペーンは、Trust Wallet をはるかに超えるシステム的な脆弱性を露呈させました：

開発者向け​

依存関係を明示的に固定する。 preinstall スクリプトの悪用が成立するのは、npm install が任意のコードを実行できるためです。既知のクリーンなバージョンに固定することで、自動アップデートによって侵害されたパッケージが導入されるのを防ぐことができます。

シークレットは侵害されたものとして扱う。 2024 年 11 月 21 日から 2025 年 12 月の間に npm パッケージをプルしたプロジェクトは、認証情報が漏洩したと想定すべきです。これは、npm トークン、GitHub PAT、SSH キー、およびクラウドプロバイダーの認証情報の無効化と再生成を意味します。

適切なシークレット管理を実装する。 アプリストアの公開のような重要なインフラのための API キーは、プライベートリポジトリであっても、バージョン管理システムに保存すべきではありません。ハードウェアセキュリティモジュール（HSM）や専用のシークレット管理サービスを使用してください。

フィッシング耐性のある MFA を強制する。 標準的な二要素認証は、巧妙な攻撃者によってバイパスされる可能性があります。YubiKey のようなハードウェアキーは、開発者や CI/CD アカウントに対してより強力な保護を提供します。

ユーザー向け​

ウォレットインフラを分散させる。 すべての資金をブラウザ拡張機能に入れたままにしないでください。ハードウェアウォレットはソフトウェアの脆弱性から隔離されており、シードフレーズを侵害された可能性のあるブラウザに一切さらすことなくトランザクションに署名できます。

アップデートが悪意のあるものである可能性を想定する。 ソフトウェアを便利にする自動更新モデルは、同時に脆弱性も生みます。セキュリティ上重要な拡張機能については自動更新を無効にし、新しいバージョンを手動で確認することを検討してください。

ウォレットのアクティビティを監視する。 異常なトランザクションを通知するサービスを利用することで、侵害を早期に察知し、攻撃者がウォレット全体を空にする前に損失を抑えられる可能性があります。

業界全体向け​

npm エコシステムを強化する。 npm レジストリは Web3 開発にとって重要なインフラですが、ワームのような拡散を防ぐための多くのセキュリティ機能が欠けています。コード署名の義務化、再現可能なビルド、パッケージ更新の異常検知などは、攻撃者の障壁を大幅に高めることができます。

ブラウザ拡張機能のセキュリティを再考する。 拡張機能が自動更新され、広範な権限を持つ現在のモデルは、多額の資産を保持するためのセキュリティ要件と根本的に相容れません。サンドボックス化された実行環境、ユーザーによる確認を伴うアップデートの遅延、権限の削減などが役立つ可能性があります。

インシデント対応を調整する。 Shai-Hulud キャンペーンは、クリプトエコシステム全体の数百のプロジェクトに影響を与えました。より良い情報共有と連携した対応があれば、侵害されたパッケージが特定されるにつれて被害を限定できたはずです。

クリプトにおけるサプライチェーンセキュリティの未来​

暗号資産業界は歴史的に、スマートコントラクトの監査、取引所のコールドストレージ、ユーザー向けのフィッシング対策にセキュリティの努力を集中させてきました。Shai-Hulud キャンペーンは、最も危険な攻撃が、クリプトユーザーが直接やり取りすることのない、しかし使用するすべてのアプリケーションの基盤となる侵害された開発ツール（インフラ）から来る可能性があることを示しています。

Web3 アプリケーションが複雑になるにつれて、その依存関係グラフは拡大します。各 npm パッケージ、各 GitHub アクション、各 CI/CD 統合は、潜在的な攻撃ベクトルとなります。Shai-Hulud への業界の対応が、これが一度限りの警鐘となるか、あるいはクリプトインフラへのサプライチェーン攻撃の時代の始まりとなるかを決定するでしょう。

現時点では、攻撃者は特定されていません。盗まれた Trust Wallet の資金のうち約 280 万ドルが依然として攻撃者のウォレットに残っており、残りは中央集権型取引所やクロスチェーンブリッジを通じて洗浄されています。広範な Shai-Hulud キャンペーンによる以前の 5,000 万ドル以上の盗難被害の大部分は、ブロックチェーンの仮名性の深淵へと消えていきました。

サンドワームはクリプトの基盤深くに潜り込んでいます。それを根絶するには、業界が初期から当たり前だと思ってきたセキュリティの前提を再考する必要があるでしょう。

---

安全な Web3 アプリケーションを構築するには、堅牢なインフラが必要です。BlockEden.xyz は、監視機能と異常検知機能が組み込まれたエンタープライズグレードの RPC ノードと API を提供し、開発者がユーザーに影響が出る前に異常なアクティビティを特定できるよう支援します。API マーケットプレイスを探索して、セキュリティ重視の基盤の上に構築を始めましょう。

2025 年には、個人ウォレットの侵害が 158,000 件に急増し、80,000 人の被害者に影響を及ぼしました。その結果、個人ウォレットからだけで 7 億 1,300 万ドルが盗まれました。これは取引所のハッキングやプロトコルのエクスプロイトではなく、単純なフィッシングメールを遥かに超える巧妙な攻撃によって、一般の暗号資産ユーザーが貯蓄を失っていることを意味します。個人ウォレットの侵害は現在、盗まれた暗号資産総額の 37% を占めており、2022 年のわずか 7.3% から増加しています。メッセージは明確です。暗号資産を保有しているなら、あなたは標的であり、昨日の保護戦略ではもはや不十分なのです。

2025年上半期だけで、攻撃者は暗号資産プロトコルから23億ドル以上を流出させました。これは2024年全体の合計を上回っています。アクセス制御の脆弱性だけで、その被害の16億ドルを占めています。2025年2月の Bybit ハッキング（14億ドルのサプライチェーン攻撃）は、最大級の取引所であっても依然として脆弱であることを証明しました。2026年を迎える今、スマートコントラクト監査業界は最も重要な局面に立たされています。進化を遂げるか、それともさらに数十億ドルが攻撃者のウォレットに消えていくのを静観するかです。

2025 年 2 月 21 日、北朝鮮のハッカーがドバイを拠点とする取引所 Bybit から、わずか約 30 分間で 15 億ドル の暗号資産を盗み出しました。これは史上最大の暗号資産窃盗事件であるだけでなく、もし Bybit が銀行であったなら、ギネス世界記録に登録されている史上最大の銀行強盗事件として記録される規模のものです。

この攻撃は、スマートコントラクトのバグを悪用したり、プライベートキーを総当たり攻撃（ブルートフォース）したりしたものではありませんでした。その代わりに、ハッカーはサードパーティのウォレットプロバイダーに所属する 1 人の開発者のノート PC を乗っ取り、数週間にわたって辛抱強く待機し、Bybit の従業員が日常的な内部送金に見える操作を承認する瞬間を狙って実行されました。何かがおかしいと誰かが気づいた時には、500,000 ETH が北朝鮮のラザルス・グループ（Lazarus Group）が制御する複雑なウォレットの迷宮へと消え去っていました。

これは、この事件がいかにして起こったのか、なぜ重要なのか、そして 2025 年における暗号資産セキュリティの現状について何を明らかにしているのかという物語です。

攻撃：忍耐と精度のマスタークラス​

Bybit のハッキングは、単なる強行突破ではありませんでした。それは数週間にわたって展開された外科手術のような作戦でした。

フェーズ 1：開発者の侵害​

2025 年 2 月 4 日、Safe{Wallet}（Bybit が多額の送金の安全を確保するために利用していた、広く普及しているマルチシグネチャ・ウォレットプラットフォーム）の開発者が、"MC-Based-Stock-Invest-Simulator-main" という一見正当な Docker プロジェクトをダウンロードしました。このファイルは、おそらく求人の機会や投資ツールを装ったソーシャルエンジニアリング攻撃を通じて届けられたと考えられます。

悪意のある Docker コンテナは直ちに攻撃者が制御するサーバーへの接続を確立しました。そこからハッカーは、開発者のワークステーションから AWS セッショントークン（Safe{Wallet} のクラウドインフラストラクチャへのアクセスを許可する一時的な認証情報）を抽出しました。

これらのトークンを使用することで、攻撃者は多要素認証を完全にバイパスしました。彼らは今、Safe{Wallet} の中核へとアクセスする鍵を手に入れたのです。

フェーズ 2：休止状態のコード​

攻撃者はすぐに動くのではなく、Safe{Wallet} のウェブインターフェースに巧妙な JavaScript コードを注入しました。このコードは Bybit を明確にターゲットとして設計されており、Bybit の従業員が Safe アカウントを開き、トランザクションを承認しようとしていることを検知するまで休止状態を保つようになっていました。

ここでの巧妙さは驚くべきものです。Safe{Wallet} アプリケーション全体は、他のすべてのユーザーに対しては通常通り機能していました。Bybit だけが標的にされていたのです。

フェーズ 3：強奪​

2025 年 2 月 21 日、Bybit の従業員は、コールドウォレット（安全なオフラインストレージ）からウォームウォレット（アクティブな取引のため）への日常的な送金プロセスを開始しました。これには、承認された担当者による複数の署名（マルチシグと呼ばれる標準的なセキュリティ慣行）が必要でした。

署名者がトランザクションを承認するために Safe{Wallet} を開いた際、インターフェースには正しい送金先アドレスが表示されているように見えました。しかし、悪意のあるコードはすでにコマンドを別のものに差し替えていました。従業員たちは知らず知らずのうちに、Bybit のコールドウォレット全体を空にするトランザクションを承認してしまったのです。

数分のうちに、約 15 億ドル 相当の 500,000 ETH が攻撃者の制御下にあるアドレスに流れ込みました。

技術的な悪用：Delegatecall​

鍵となった脆弱性は、Ethereum の delegatecall 関数でした。これは、あるスマートコントラクトが別のコントラクトのコードを自身のストレージコンテキスト内で実行することを可能にするものです。攻撃者は Bybit の署名者を騙して、ウォレットのコントラクトロジックを悪意のあるバージョンに変更させ、事実上ハッカーに完全な制御権を与えてしまいました。

これは Ethereum や Safe{Wallet} のコアプロトコルのバグではありませんでした。信頼された従業員がトランザクションを検証・承認する瞬間、つまり「人間レイヤー」に対する攻撃だったのです。

北朝鮮のラザルス・グループ：世界で最も収益を上げるハッカー集団​

攻撃から 24 時間以内に、ブロックチェーン調査員の ZachXBT は、このハッキングを北朝鮮のラザルス・グループに断定する証拠を Arkham Intelligence に提出しました。FBI は 2025 年 2 月 26 日にこの帰属を裏付けました。

ラザルス・グループ（TraderTraitor や APT38 としても知られる）は、北朝鮮の偵察総局の傘下で活動しています。彼らは個人の利益を求める犯罪集団ではありません。その収益が北朝鮮の核兵器や弾道ミサイル計画の資金源となる、国家が支援する活動です。

その数字は驚愕に値します：

• 2025 年だけで：北朝鮮のハッカーは 20.2 億ドル の暗号資産を窃盗
• Bybit の割合：15 億ドル（北朝鮮による 2025 年の全窃盗額の 74% がこの単一の攻撃によるもの）
• 2017 年以降：北朝鮮は 67.5 億ドル 以上の暗号資産を窃盗
• 2024 年対比：盗まれた金額は前年比 51% 増加

北朝鮮は、2025 年に世界中で盗まれた全暗号資産の 59% 、および全取引所侵害事件の 76% を占めています。他の追随を許さない圧倒的な脅威となっています。

暗号資産窃盗の産業化​

北朝鮮を際立たせているのは、その規模だけではなく、作戦の巧妙さです。

技術的悪用を凌駕するソーシャルエンジニアリング​

2025 年の主要なハッキング事件の大部分は、技術的な脆弱性ではなく、ソーシャルエンジニアリングを通じて実行されました。これは根本的な変化を表しています。ハッカーはもはや、主にスマートコントラクトのバグや暗号技術的な弱点を探しているわけではありません。彼らは「人」をターゲットにしています。

ラザルス・グループの工作員は、暗号資産企業の内部に IT 労働者として入り込んでいます。幹部になりすますこともあります。開発者にマルウェアを含む求人の案内を送ることもあります。Bybit への攻撃は、開発者が偽の株式投資シミュレーターをダウンロードしたことから始まりました。これは典型的なソーシャルエンジニアリングの手法です。

中国のランドリーネットワーク（The Chinese Laundromat）​

暗号資産を盗み出すことは、課題の半分に過ぎません。発覚することなく、それを使用可能な資金に換金することは、同じくらい複雑です。

北朝鮮は直接キャッシュアウトするのではなく、捜査官が「中国系コインランドリー（Chinese Laundromat）」と呼ぶ、地下銀行、OTC ブローカー、貿易ベースの洗浄仲介者からなる広大なネットワークにマネーロンダリングを外部委託しています。これらの主体は、複数のチェーン、法域、決済ルートにわたって盗まれた資産を洗浄します。

Bybit のハッキングから 1 か月も経たない 2025 年 3 月 20 日までに、CEO の Ben Zhou 氏は、ハッカーがすでに盗まれた ETH の 86.29% を、複数の仲介ウォレット、分散型取引所（DEX）、クロスチェーンブリッジを通じてビットコインに変換したと報告しました。大規模な盗難に続く 45 日間の洗浄サイクルは、予測可能なパターンとなっています。

こうした努力にもかかわらず、Zhou 氏は盗まれた資産の 88.87% が追跡可能であると指摘しました。しかし、「追跡可能」であることは「回収可能」であることを意味しません。資金は、米国や国際的な法執行機関と協力関係にない法域へと流れています。

Bybit の対応：攻撃下での危機管理​

侵害の発見から 30 分以内に、CEO の Ben Zhou 氏が指揮を執り、X（旧 Twitter）でリアルタイムの状況報告を開始しました。彼のメッセージは率直なものでした。「Bybit はソルベント（支払能力がある）です。今回のハッキングによる損失が回収できなくても、すべての顧客資産は 1 対 1 で裏付けられており、損失をカバーできます」

同取引所は 12 時間以内に 35 万件以上の出金リクエストを処理しました。これは、壊滅的な損失にもかかわらず、業務が通常通り継続されることをユーザーに示すシグナルとなりました。

緊急資金調達​

72 時間以内に、Bybit は Galaxy Digital、FalconX、Wintermute などのパートナーから緊急資金調達を行い、447,000 ETH を確保して予備資金を補充しました。Bitget は出金を滞りなく継続させるために 40,000 ETH を貸し付け、Bybit はこれを 3 日以内に返済しました。

サイバーセキュリティ企業の Hacken はプルーフ・オブ・リザーブ（準備金証明）の監査を実施し、Bybit の主要資産が 100% 以上の担保で裏付けられていることを確認しました。この透明性は、この規模の危機においては前例のないものでした。

バウンティプログラム（賞金制度）​

Zhou 氏は「Lazarus に対する宣戦布告」を表明し、凍結資産につながる情報に対して最大 10% の報酬を提供するグローバルなバウンティプログラムを開始しました。年末までに、Bybit は資金の追跡や回収に協力した貢献者に対し、218 万 USDT を支払いました。

市場の下した評価​

2025 年末までに、Bybit の世界的なユーザー数は 8,000 万人を超え、1 日あたりの取引高は 71 億ドルを記録し、暗号資産現物取引所で第 5 位にランクされました。この危機対応は、壊滅的なハッキングをいかに生き残るかというケーススタディとなりました。

2025 年：暗号資産の盗難額が 34 億ドルに達した年​

Bybit のハッキングは大きく報じられましたが、それはより広範なパターンの一部に過ぎませんでした。2025 年の暗号資産の総盗難額は 34 億ドルに達し、過去最高を記録、3 年連続の増加となりました。

主要な統計：

• 2023 年：20 億ドルの盗難
• 2024 年：22 億ドルの盗難
• 2025 年：34 億ドルの盗難

北朝鮮のシェアは、全暗号資産盗難の約半分から 60% 近くまで拡大しました。北朝鮮（DPRK）は、より少ないインシデントでより大きな盗難を成功させており、その効率性と巧妙さが増していることを示しています。

教訓：セキュリティはどこで失敗したのか​

Bybit のハッキングは、単一の取引所をはるかに超える重大な脆弱性を浮き彫りにしました。

サードパーティのリスクは死活問題​

Bybit 自体にセキュリティの不備があったわけではありません。不備があったのは Safe{Wallet} です。しかし、その結果を被ったのは Bybit でした。

暗号資産業界は複雑な依存チェーンの上に構築されています。取引所はウォレットプロバイダーに依存し、ウォレットプロバイダーはクラウドインフラに依存し、クラウドインフラは個々の開発者のワークステーションに依存しています。このチェーンのどこか一箇所でも侵害されれば、壊滅的な連鎖反応を引き起こす可能性があります。

コールドストレージだけでは不十分​

業界では長年、コールドウォレットがセキュリティの黄金基準とされてきました。しかし、Bybit の資金は盗まれた当時、コールドストレージに保管されていました。脆弱性は、資金を移動させるプロセス、つまりマルチシグが保護するために設計された「人間による承認ステップ」にありました。

送金がルーチン化すると、署名者は誤った安心感を抱き、承認を重要なセキュリティ上の決定ではなく、単なる形式的な手続きとして扱うようになります。Bybit への攻撃は、まさにこの行動パターンを突いたものでした。

UI（ユーザーインターフェース）は単一障害点​

マルチシグのセキュリティは、署名者が承認内容を検証できることを前提としています。しかし、取引の詳細を表示するインターフェースが改ざんされていれば、検証は無意味になります。攻撃者は署名者に一つのことを見せながら、別のことを実行させました。

署名前にシミュレーションを行い、従業員が承認前に実際の送金先をプレビューできるようにしていれば、この攻撃を防げた可能性があります。また、多額の出金に対して遅延を設定し、追加のレビュー時間を設けることも有効だったでしょう。

ソーシャルエンジニアリングは技術的セキュリティを凌駕する​

世界で最も洗練された暗号技術によるセキュリティを備えていても、たった一人の従業員が誤ったファイルをダウンロードするだけで、そのすべてをバイパスできてしまいます。暗号資産セキュリティの弱点は、技術的なものではなく、ますます人間的なものになっています。

規制および業界への影響​

Bybit のハッキングは、すでに規制の枠組みを再構築しつつあります。

以下の項目が義務化されることが予想されます：

• 鍵管理のためのハードウェアセキュリティモジュール（HSM）
• リアルタイムの取引監視と異常検知
• 定期的な第三者機関によるセキュリティ監査
• 強化された AML（マネーロンダリング防止）フレームワークと、多額送金時の取引遅延

セキュリティとコンプライアンスは、市場へのアクセスのための必須条件になりつつあります。強力な鍵管理、権限設計、信頼できるセキュリティフレームワークを実証できないプロジェクトは、銀行パートナーや機関投資家から遮断されることになるでしょう。

業界にとっての意味​

Bybit のハッキングは、不都合な真実を浮き彫りにしました。つまり、暗号資産のセキュリティモデルの強度は、その運用における最も弱いリンクと同じでしかないということです。

業界は、ゼロ知識証明、しきい値署名、セキュアエンクレーブといった暗号技術によるセキュリティに多額の投資を行ってきました。しかし、攻撃者が人間を騙して悪意のあるトランザクションを承認させることができれば、どれほど洗練された暗号技術も無意味になります。

取引所にとって、メッセージは明確です。セキュリティの革新は、テクノロジーの枠を超え、運用プロセス、サードパーティのリスク管理、継続的な従業員トレーニングにまで及ぶ必要があります。定期的な監査、共同の脅威インテリジェンスの共有、およびインシデント対応計画は、もはやオプションではありません。

ユーザーにとっても、教訓は同様に厳しいものです。最も洗練されたセキュリティを備えた最大の取引所でさえ、侵害される可能性があるということです。セルフカストディ、ハードウェアウォレット、分散型の資産保管は、利便性は劣るものの、依然として最も安全な長期戦略です。

結論​

北朝鮮の Lazarus Group は、暗号資産の窃盗を産業化しました。彼らは 2017 年以来 67 億 5,000 万ドル以上を盗み出しており、2025 年はこれまでで最も成功した年となっています。Bybit のハッキングだけで、1 回のオペレーションで 15 億ドルを奪ったことは、あらゆる諜報機関が羨むような能力を示しています。

暗号資産業界は、無限の忍耐力、高度な技術力、そして報復を恐れない国家支援のハッカーとの軍拡競争の真っ只中にあります。Bybit への攻撃が成功したのは、斬新なエクスプロイトによるものではなく、攻撃者がコードではなく人間こそが最も弱いリンクであることを理解していたためです。

業界が運用のセキュリティを暗号技術のセキュリティと同じ厳格さで扱うようにならない限り、これらの攻撃は続くでしょう。問題は、再び 10 億ドル規模のハッキングが起こるかどうかではなく、「いつ」起こるか、そして標的となった組織が Bybit と同じくらい効果的に対応できるかどうかです。

---

この記事は教育目的のみであり、財務アドバイスと見なされるべきではありません。暗号資産取引所やウォレットを利用する際は、常に自身で調査を行い、セキュリティを最優先してください。