盗まれた暗号資産、30億ドル以上が凍結

BTC----

ChainalysisとEllipticによると、ステーブルコイン発行体、米国の法執行機関、ブロックチェーン分析企業、ネットワーク、取引プラットフォームが連携した対応により、攻撃から数日以内に、報告されている63億ドルのBinance盗難に関連する約28億～30億ドル相当の暗号資産が凍結または押収された。

対応は、発行体がアドレスをブラックリスト登録して送金を停止できるステーブルコインに集中した。Tetherは15億6700万USDT超を凍結し、Circleは約8億2300万ドル相当のUSDCをブロックした。これにより、盗まれたステーブルコイン保有額のうち23億ドル超が攻撃者の手の届かないところに置かれた。Ellipticは、同社が確認した凍結または押収額が約28億5000万ドルに達し、推定総損失額は64億3000万ドルだったと述べた。

この介入の規模は、回収努力が単一企業の内部統制よりも、公開ブロックチェーン全体での迅速な連携にますます依存していることを示している。残る盗まれた暗号資産の多くはETHやBTCなどの資産で構成されており、これらには残高を直接凍結できる発行体が存在しない。

ステーブルコイン発行体は数分以内に動いた

Tetherの措置は凍結資産の最大部分を占めた。同社は、資金がブロックチェーン追跡で攻撃者の主要なEthereumウォレットと特定された場所に到達した後、15億6700万USDT超に関わる送金をブロックした。当初の報道では約11億8000万USDTの凍結が確認され、17分後に攻撃者に関連する4つのアドレスに影響する2回目の措置が続いた。

Circleは同じ事案に関連する8億ドル超のUSDCを凍結し、報告された合計額は約8億2300万ドルに達した。提供資料によると、USDCの措置はTetherの最初の凍結から約3分後に続き、法執行機関と連携して行われた。

USDTとUSDCの凍結を合わせると、盗まれた資産のうち特定されたステーブルコインの約94%をカバーし、主にEthereumとTRONに集中していた。この結果は、中央発行のステーブルコインを盗む攻撃者が直面する実務上の限界を示している。つまり、秘密鍵を支配できても、発行体がウォレットをブラックリスト登録すれば移転可能性は失われ得る。

FBI、この作戦をTraderTraitorに帰属

FBIのサイバー犯罪部門は、10月31日付の公示で、この窃盗をTraderTraitorの名称で活動する北朝鮮のグループによるものと特定した。同局は、600以上のEthereumアドレス、約20のBitcoinアドレス、1つのSolanaアドレスがこの活動に関連していると特定した。

帰属特定を受け、FBI、米シークレットサービス、IRS刑事捜査局は、インフラ事業者や暗号資産業者に対し、リストされたウォレットおよび関連アドレスに関連する取引を遮断するよう求めた。要請はTHORChainノード、リモートプロシージャコール（RPC）運営者、インスタントスワップサービス、DeFiプロトコル、ブロックチェーン分析企業、仮想資産サービス事業者に及んだ。

米シークレットサービスは、事件発生から数分以内に業界関係者と連携したと述べた。また、ワシントンD.C.とカリフォルニア中央地区の連邦検察官が司法省の各部門とともに携わっていたと述べた。

北朝鮮のハッキング活動は、追跡を困難にするため、迅速な資産スワップ、ブリッジ取引、多数の新規作成ウォレットに繰り返し依存してきた。今回の場合、最初の凍結の速さにより、ステーブルコイン残高のかなりの割合がそのプロセスを通じて移動するのを防いだようだ。

追跡対象は数百から数千のウォレットに拡大

ブロックチェーン情報企業のElliptic、Chainalysis、TRM Labs、SlowMistはアドレスデータを収集し、盗まれた資産の動きを監視した。Ellipticはダウンロード可能なブラックリストを公開し、捜査員が新しいウォレットを通じた取引を追うにつれて、数百から数千、後に数万のアドレスに拡大した。

Chainalysisは、東部時間11月3日午前11時30分頃までに約28億ドルが凍結されたと報告した。同社は、捜査員が資産の特定と遮断のため業界パートナーと手掛かりを共有したと述べる一方、攻撃者が数千のアドレスを使用しているため、その後数週間で数万に拡大する可能性があると警告した。

TRM Labsは、2025年のBybit侵害や2026年4月のKelpDAO事件と比較したパターンを挙げ、TraderTraitorへの帰属に高い確信を持っていると述べた。SlowMistは、外部所有アカウントが一時的にスマートコントラクトコードを使用できるようにするイーサリアム標準、EIP-7702を含む攻撃手順を説明した。SlowMistによると、攻撃者はホットウォレットのトークンを標的とした一括窃取でこの手法を使う前に、数時間にわたり予行演習を行った。

報告された攻撃は、2025年2月にBybitから盗まれた約15億ドルを4倍以上上回り、記録上最大の暗号資産窃取となる。この比較は、攻撃者が複数のチェーンや資産タイプに分散した数十億ドルから開始する場合、運用上の課題がどれほど大きくなるかも示している。

ネットワークは緊急ガバナンス権限を発動した

ArbitrumとOptimismは、ガバナンス主導の緊急措置を用いて、攻撃者が管理するアドレスからトークンを凍結用ウォレットへ移した。Arbitrumのセキュリティ・カウンシルは10月30日、約8,426 ETHと約7,456万ARBを移管した。提供資料では、これらの資産価値は約3,050万ドルとされている。

Optimismのガバナンスは約4,400万OPを移し、その価値は約500万ドルとされた。これらの介入は合計約3,500万ドルに達し、ガバナンス構造が緊急管理を承認した場合、一部のレイヤー2ネットワークはベースレイヤーネットワークより直接的に行動できることを示している。

World Liberty Financialは別途、攻撃に関連する資産を凍結した。これには約2,700万ドル相当のUSD1と約200万ドル相当のWLFIが含まれる。同組織は、影響を受けた資産の処理についてBitGoと協力する計画だと述べた。

こうした措置は窃取が進行中の間に資産を保全できるが、緊急権限をセキュリティ・カウンシル、ガバナンス投票者、トークン発行者に委ねることにもなる。大規模エクスプロイトへの防御をネットワークが設計する中で、このトレードオフはますます顕在化している。

DeFiプロトコルは借入資金を封じ込めた

攻撃者はまた、プロトコルレベルの制限が適用される前に、盗んだ資金を分散型金融で使用した。オンチェーンデータによると、約6,000万USDTがAave V3に預け入れられ、その後、当時約4,460万ドル相当の約19,762 WETHが借り入れられた。

Aaveはこれに対し、V3とV4上のDAO運営による数百の市場リザーブで新規預け入れと借り入れを一時停止した。引き出し、返済、清算は引き続き可能で、ユーザーはポジションを縮小し、既存市場の健全性を維持できる一方、侵害された担保に関連する新たなエクスポージャーは停止された。

OKX、Coinbase、Bybitを含む中央集権型プラットフォームも、侵害されたウォレットからの送金を阻止する措置に参加した。依然として移動可能な資産は、特に特定される前にOTCデスク、ミキシングサービス、取引所のオフランプに到達した場合、より困難な回収経路をたどることになる。

攻撃者は約42万ETHと18,270 BTCの管理を依然として保持していると報じられた。提供資料では、これらの価値は約24億ドルとされている。USDT、USDC、ガバナンス管理下のトークンとは異なり、ビットコインとイーサはトークン発行者によって凍結できない。その回収は、追跡、資産差し押さえ、または資金が規制対象サービスに入り、そのサービスが行動する用意または義務がある地点を特定することに依存するだろう。