北朝鮮は、FBIがTraderTraitorとして追跡している北朝鮮のサイバー活動による攻撃だと認定したことを受け、約63億ドルに上るBinanceの暗号資産窃盗について責任を否定した。
北朝鮮の高官で、指導者の金正恩氏の妹でもある金与正氏は、国営メディアが11月3日に伝えた声明で疑惑を否定した。ブロックチェーン分析企業のChainalysisとTRM Labsも、この攻撃をTraderTraitorによるものと認定している。
暗号資産取引所やコンプライアンスチームにとって、当面の課題は、盗まれた資金へのエクスポージャーを特定し、調査が続く間、その移動を制限することだ。
「FBIは、北朝鮮に支援されたハッキング組織がこの事件に関与したという情報を得たと主張し、DPRKを『サイバー犯罪国家』に仕立てようとしている」と金与正氏はKCNAが伝えた声明で述べた。
Binanceの対応アップデートは、北朝鮮が責任を負うとしたFBIの認定を認めつつ、調査は継続中だとしている。
同取引所は、損失を補填するのに十分な資金を確保し、代替となるトークン資産を購入していると述べた。これらの資産の補充は、盗まれた暗号資産の回収とは別の問題だ。
証拠が示すこと
FBIは述べたところでは、同局と米国シークレットサービスおよびIRS犯罪捜査部門のパートナーは、TraderTraitorの攻撃者が盗んだ資産を主にイーサ（ETH）に換えていることを確認した。FBIの公開警告は、今回の認定を裏付ける証拠の詳細を明らかにしていない。
Chainalysisは述べており、同社が開示した最も強力な証拠は、盗まれたBinance資金とBitgetからの窃盗による収益が混在していたことだという。同社のBitget調査では、3億8700万ドルの攻撃を9月24日とし、北朝鮮の攻撃者によるものと認定している。
ブロックチェーンの記録からは資金の移動状況が分かるが、取引だけでアドレスを管理する現実世界の人物や組織を特定できるわけではない。捜査当局は、取引分析を取引所の記録やその他の情報と組み合わせ、攻撃元の特定を裏付けることができる。
TRM Labsは述べたところでは、オンチェーンとオフチェーンの双方の情報を使って、攻撃元を特定できたという。同社は利用した具体的なオフチェーン情報の内容を明らかにしていないが、「この判断には高い確信がある」としている。また、調査の進展に伴い、さらに情報を提供すると述べた。
暗号資産セキュリティチームが確認すべきこと
FBIの警告は、暗号資産サービスプロバイダーやその他の民間組織に対し、窃盗に関連するアドレス、またはそこから派生したアドレスが関わる取引をブロックするよう促している。取引所やコンプライアンスチームにとって実務上の出発点となるのは、それらのアドレスをスクリーニングシステムや取引履歴と照合することだ。
チームは該当する一致を調査し、取引記録を保存したうえで、セキュリティおよびコンプライアンスのプロセスを通じて調査結果をエスカレーションすべきだ。アドレスが特定される前にエクスポージャーが発生していた可能性があるため、過去の活動を確認することが重要になる。捜査当局が追加の調査結果を公表するのに合わせ、スクリーニングの管理策も更新する必要がある。
防止策では、開発者のアクセスにも注意が必要だ。北朝鮮による別の工作では、開発者を侵害する偽の採用・面接プロセスや暗号資産窃取マルウェアを隠すブロックチェーンのスマートコントラクトを使っていた。こうした事例は、採用担当者から提供されたコードを精査し、開発者のワークステーション上の認証情報を保護する必要性を浮き彫りにするものだが、Binanceの攻撃者がどのようにアクセスを得たかを示すものではない。
組織は、自社サービス内の活動をブロックすることと、ブロックチェーン全体で資産を凍結することを区別すべきだ。取引所は自社プラットフォーム上の活動を制限でき、一部のトークン発行者は自らのトークンを凍結できる。こうした管理策があっても、すべてのノード運営者がネットワーク全体で送金を阻止できるわけではない。
TRM Labsは、窃盗に先立ち、少額のTornado Cashからの出金が攻撃者の運用ウォレットに資金を供給していたと報告した。この発見が示すのは攻撃の準備であり、盗まれたBinance資金がその後、同サービスを通じて引き出されたことを示すものではない。
Binanceの事件は、凍結された資金、回収された資産、補充された準備資産を区別することの重要性も浮き彫りにしている。凍結は資産の移動を制限できるが、被害者に資産を返還することにはならない。補充とは不足した資産を置き換えることであり、必ずしも盗まれた資金を取り戻すことを意味しない。
FBIの警告は業界の協力を求めているが、それ自体がすべての暗号資産関連組織に一律の法的義務を課すものではない。コンプライアンスチームは、自社の業務と管轄区域にどの義務が適用されるかを判断すべきだ。捜査当局が攻撃元の特定と資金回収の全体像を明らかにし続ける間も、エクスポージャーを評価し、管理策を強化することはできる。
続きを読む：「Liquid Networkからの窃盗と盗まれたビットコインの一部返還」は、回収に関する主張では、返還された資産と依然として未回収の損失を区別する必要がある理由を示している。