日米豪独、暗号資産窃盗を北朝鮮のWaterPlumグループによるものと特定

日本の警察庁は9月18日、United States、Australia、Germanyと共に、広範な暗号資産窃盗キャンペーンを、Contagious Interviewとしても知られる北朝鮮が支援するサイバーグループWaterPlumによるものと公に帰属させた。公式発表によると、同グループは100カ国以上の少なくとも30,000台の機器に感染させ、約7,000件の暗号資産ウォレットの記録を盗み、少なくとも約1.7 billion yenのデジタル資産を移動させたという。

4カ国共同による帰属の特定

この声明は日本、United States、Australia、Germanyによって共同で発表され、WaterPlumを朝鮮労働党中央委員会軍需工業部第313th総局の指揮下に置いている。警察庁は、これらの知見は民間企業から提供された情報や、関東管区警察局サイバー部門および都道府県警察による捜査から得られたものだと述べた。グループ名とその指揮構造を特定することで、4カ国政府は世界中のIT技術者や企業に対し、数カ月間にわたって展開されているキャンペーンへの防御を強化するよう警告している。

WaterPlumキャンペーンの規模

WaterPlumは偽の求人情報でIT技術者を標的にしており（この手法は勧告の中でContagious Interviewの手口に関連付けられている）、マルウェアを送り込んで暗号資産ウォレットを空にする。警察庁の推定では、日本を含む100以上の国と地域で少なくとも30,000台の機器が感染し、約7,000件のウォレット記録が盗まれ、少なくとも約1.7 billion yen — およそ$11.5 million — の暗号資産が移動された。この開示は、既に57カ国の1,640社に被害を与えている北朝鮮のサイバー作戦の長期的なパターンに合致する。

ノートPCファームと北朝鮮のIT労働者

勧告では、北朝鮮のIT労働者が政権のためにどのように外貨を稼いでいるかについても詳しく説明されている。日本の警察は、北朝鮮のIT労働者によって遠隔操作され、暗号資産を含む数100 million yenを海外に送金していた国内の「laptop farms」を初めて特定したと発表した。日本の暗号資産交換業者は別途、北朝鮮のIT労働者からエンジニア職への応募を受け、面接中にその活動を検知したと報告した。この警告は、Hyperliquidで追跡されたLazarus関連のBitcoin販売を含む、最近の他の北朝鮮による暗号資産活動を受けたものである。

なぜこの帰属特定が重要なのか

この共同発表は、4カ国政府による北朝鮮のサイバーグループの公表という珍しい協調的な動きであり、暗号資産の窃盗を孤立した犯罪ではなく、国家安全保障および経済的脅威として位置づけている。取引所、ウォレット、開発者にとっての実質的な教訓は、心当たりのない求人や勧誘メッセージをセキュリティリスクとして扱い、リモート採用を慎重に審査することである。警察庁はIT技術者や民間企業に対し、勧告を確認しセキュリティ対策を強化するよう促した。