セキュリティのプレイブックは変わりました。
ブルートフォース攻撃は依然として存在しますが、現在のより鋭い脅威は産業化されたスリーパーエージェントモデルのように見えます。
悪意のある行為者がチーム、ワークフロー、アクセスシステムの内部に入り込み、最もクリーンな瞬間を待って攻撃を仕掛けるのです。
それにより、採用は単なる人材探しではなくなりました。新しい技術者の採用は、実際の財務リスクを伴う信頼の決断となります。1人の開発者が侵害されるだけで、あるいは1人の契約者の審査が不十分であったり、内部者の経路が存在するだけで、オンボーディングの書類が数百万ドルのTVL（Total Value Locked）流出に変わる可能性があります。
スマートコントラクトの監査に莫大な資金が費やされていますが、今日最も壊滅的なセキュリティ侵害は人的バックドアです。これは、どんなソフトウェア監査でも発見も防止もできない直接的な経路です。
あらゆる脆弱性の悪用
暗号資産取引所や分散型金融（DeFi）プロトコルにとって、新しい採用はすべて高レバレッジ取引のようなものです。その担保はユーザーの資産とブランドの評判です。
悪名高いラザルス・グループのような北朝鮮の国家支援グループは、スリーパーエージェント戦略を産業化しました。彼らの戦術は、暗号業界の中枢を狙う精巧な偽リクルーターの罠へと進化しています。
暗号業界のリモートファースト文化は、この戦略をさらに効果的にしています。唯一のセキュリティファイアウォールは人事部（HR）だからです。その結果、HR部門はこれらの工作員がどのように技術的防御を回避してチームに侵入しているかを迅速に学ぶ必要があります。
彼らは、資産やブランドだけでなく、ビジョンを守るためにゼロトラスト採用プロセスを構築しなければなりません。
プロトコルから人へ
Chainalysisによると、北朝鮮の脅威グループは2025年に20億2,000万ドル相当の暗号資産を盗み、これは前年比51％増という記録的な数字でした。その多くは内部者のようなアクセスに起因しています。
新しい戦略は上流侵入（Upstream Infiltration）です。
企業に侵入する代わりに、彼らは単に求人に応募します。内部に入ると、熟練した工作員は簡単に内部ネットワークをマッピングし、すべてのホットウォレットを特定できます。その結果、資金の損失だけでなく、プロトコルのロジック全体が覆されることになります。
この変化は、取引所やプロトコルのセキュリティを再定義したソーシャルエンジニアリングやインフラ操作による壊滅的な事例で最もよく示されています。
2025年2月、ラザルス・グループはBybitが依存していたインフラの開発環境を侵害しました。彼らはウォレットインターフェースに悪意のあるコードを注入し、オペレーターに「通常の送金」に見せかけたブラインド署名を行わせました。
その結果、15億ドルの損失という記録的な被害が発生し、重大な脆弱性が浮き彫りになりました。取引所のセキュリティは、デプロイメントパイプラインを管理する人間の誠実さと同じ強さしかありません。
2026年4月には、Kelpの分散型自律組織（DAO）が、ラザルスのサブグループTraderTraitorに関連する2億9,200万ドルの攻撃を受けました。調査の結果、攻撃者は貢献者としてプロジェクトに潜入していたことが判明しました。
彼らはプロトコルの検証プロセスを汚染し、悪意のあるインフラへのフェイルオーバーを強制しました。
これは、分散化されていても中核の貢献者が侵害されればハッキング不可能ではないという厳しい現実を示しています。プロトコルは開発者の誠実さと同じだけ不変であるという痛烈な教訓です。
罠の構造
侵入は最初のZoom通話よりもずっと前から始まっています。
-
攻撃者は完全なデジタル履歴を作り上げ、最も懐疑的なリクルーターをも納得させる実績の証拠を提供します。
-
工作員は偽のベンチャーキャピタル（VC）や採用会社を利用して1年間の経歴を構築することがよくあります。これには技術ブログ、LinkedInの推薦、GitHubのコミットなどが含まれます。
彼らは履歴書を送るだけでは終わりません。代わりに、AIで強化された精巧なデジタルライフを提示し、一流の暗号ネイティブのように見せかけます。
他のケースでは、工作員が有名な取引所やVC企業のリクルーターを装い、プロジェクトの現職開発者に技術テストを伴う求人を持ちかけます。実際にはそれがマルウェアを配布するための罠なのです。
これはVeltrix Capitalのケースで起きたことです。これは実際の採用会社ではなく、暗号開発者を偽の応募プロセスに誘い込み、ソーシャルエンジニアリングプロジェクトを開始するために設計されたものでした。
トロイの木馬としてのコーディングテスト
技術評価フェーズは、暗号プロジェクトのウォレットセキュリティへの究極の侵入口です。通常の採用フローでは、候補者がリード開発者にレビュー用のリポジトリを送るのが一般的です。
-
依存関係の汚染：ReversingLabsの研究者は、graphalgo（PyPI上）やbigmathutils（npm上）など、これらの課題で使用される悪意のあるパッケージを特定しました。
-
ペイロード：採用担当者やリード開発者が候補者のコードを確認するためにnpm installを実行した瞬間、post-installスクリプトが実行されます。
-
結果：リモートアクセス型トロイの木馬（RAT）、多くの場合BeaverTailインフォスティーラーの亜種が展開されます。これにより、MetaMaskブラウザ拡張機能を確認し、セッションクッキーを即座に流出させます。
マルウェアの配布は完了し、攻撃者は内部のSlack、GitHub、プロダクション環境へのアクセス権を獲得します。
通話中の警告サインを見抜く
北朝鮮の工作員を見抜くには、技術スキルを超えて、Zoom通話中の不一致点に注目する必要があります。
-
詳細な技術ディスカッション中にカメラをオンにできないという技術的トラブルや低帯域幅の言い訳が続く場合は注意。
-
リアルタイムのAI音声クローンや応答の奇妙な遅延にも敏感であること。これは、1人が会話を担当し、別の人物が裏で技術的回答を送っている声と内容の不一致の兆候です。
-
シニアRust候補者がDeFiの基本概念を即興でホワイトボード説明できないなど、明らかなスキルと成熟度の不一致がある場合。チームに相談しないと対応できないなら、本人ではない可能性があります。
-
最後に、候補者の動きと照明が一致しない静的またはぼやけた背景フィルターにも注意。これらの視覚的不一致は、リアルタイムのディープフェイクソフトウェアによるものです。
人間のバグ
組織は、財務を人的バグから守るためにゼロトラスト採用フレームワークを導入する必要があります。このフレームワークでは、内部権限を付与する前に厳格で多層的な検証を行う必要があります。
ゼロトラスト採用フレームワークは、信頼に基づく採用を排除し、証明されるまで資格を有効としないセキュリティ強化型の検証サイクルに置き換えます。プロジェクトは、リアルタイムで身元を確認しスキルを検証することで、高度な偽装応募者の脅威を無力化します。
Web3では、すべての採用がプロトコルの管理への投資であり、その結果、組織のマルチシグ署名者が増えることになります。ハッカーの戦略が複雑化する中、リモートHR部門はセキュリティ侵害に関する教育を継続し、契約を発行する前に厳格な検証を実施する必要があります。
ゼロトラスト採用を実施する方法
ソーシャル・オペレーショナル・セキュリティ（Social OpSec）は、チームのデジタルフットプリントを浄化するための防御フレームワークです。これにより、国家支援の攻撃者が公開データを収集して組織的侵害を設計することを防ぎます。
プロトコルの採用パイプラインは、ステークホルダーの資産を守るためにスマートコントラクトと同じくらい安全でなければなりません。そのために、次のステップを即座に実施することが推奨されます。
-
本人確認を最優先：候補者の身元を政府発行のIDと照合するために、ライブID認証サービス（JumioやClearなど）を使用します。これは最初のビデオ通話中にリアルタイムで行う必要があります。
-
サンドボックス化された技術評価：候補者のコードをローカルマシンで実行しないでください。GitpodやReplitなどの隔離された一時的なクラウド環境を使用してコードを確認・実行します。これは、リスクのあるミントにバーンウォレットを使うのと同じ考え方です。
-
ライブ・カメラオンでのコーディング：持ち帰り課題をライブのインタラクティブなホワイトボードやコーディングセッションに置き換えます。これにより、候補者が裏でチームに作業を委託することを防ぎます。
-
依存関係の監査：外部リポジトリを確認する前に、package.jsonなどの設定ファイルをスキャンし、不明またはダウンロード数の少ないパッケージを確認します。これらは正規ツールのタイポスクワット版である可能性があります。
ファイアウォールの向こう側
2026年において、セキュリティはもはや最高技術責任者（CTO）だけの責任ではなく、人事部から始まります。
Kelp DAOやBybitの事例は、最も堅牢な技術体制であっても、1人の信頼された人間が侵害されるだけで崩壊することを示しています。ゼロトラスト採用モデルは、新しい採用者がビジョンを構築するために存在し、それを破壊しないことを保証します。
すべての採用を数百万ドル規模の取引と同じ厳格さで扱うことが、長期的なプロトコルの存続を確保する唯一の方法です。
Toobitで暗号資産を購入する方法
Toobitで暗号資産を購入するには、アカウントを作成し、本人確認を完了して「暗号を購入」に進みます。トークンを選択し、支払い方法を選び、購入を確定します。取引が完了すると、資産はスポットアカウントに表示されます。
おめでとうございます。これでToobitで暗号資産を購入する方法を理解しました！
