バイナンス事件：北朝鮮、厚遇で育てる精鋭ハッカー、巧妙な「二次資金洗浄」、国際社会の対応と限界
今回のバイナンス事件は、北朝鮮が国家的に育成してきたサイバー人材と、暗号資産を利用した資金獲得活動が結び付いた重大な事件である。
現状（2026年11月時点）
2026年10月29日、世界最大級の暗号資産交換業者であるバイナンスで、総額約63億4,000万ドル（約9,500億円規模、為替レートにより変動）の暗号資産が不正に流出する大規模サイバー攻撃が発生した。被害額は暗号資産の窃取事件として過去最大級であり、金融機関や暗号資産業界だけでなく、国家安全保障の観点からも重大な問題となっている。
10月31日、米連邦捜査局（FBI）は、この事件について北朝鮮が関与したと公式に発表した。FBIは今回のサイバー活動を「トレーダートレイター」と呼び、米国シークレットサービスや内国歳入庁の捜査部門と連携して資金の追跡を進めている。
この事件が特に注目される理由は、単に巨額の暗号資産が盗まれたからではない。攻撃者が数カ月にわたって企業内部への侵入経路を準備し、従業員の端末や開発環境、内部システムを段階的に侵害したうえで、最終的に資産を管理する仕組みそのものを悪用した点にある。
バイナンスが11月3日に公表した暫定調査では、流出額は約63億4,000万ドル、凍結・阻止された資産は約28億5,000万ドルとされている。同社は被害に遭った利用者の資産を会社資金で補填する方針を示し、影響を受けたトークンの約98％について補充を進めたと説明した。ただし、資産の補填と盗難資産の回収は別の問題であり、攻撃による損失の全容や資金の最終的な行方は、引き続き調査が必要である。
北朝鮮による暗号資産窃取は、今回突然始まったものではない。過去にも暗号資産交換業者や分散型金融サービスを標的とした大規模攻撃が確認されており、国連加盟国や米国などの関係機関は、こうした活動が北朝鮮の外貨獲得や制裁回避に利用されていると指摘してきた。
今回の事件は、北朝鮮のサイバー攻撃能力が、単純なシステム侵入や情報窃取の段階を超え、金融インフラの内部構造を理解したうえで、複数の技術と人的工作を組み合わせる高度な作戦へと発展していることを示している。国家が関与するサイバー犯罪が、国際金融システムに対する直接的な脅威になっているのである。
事件の概要と手口の高度化
今回の攻撃は、単独のハッカーが脆弱性を発見して短時間で資金を奪ったという単純な構図ではない。バイナンスの説明によれば、攻撃者は複数の従業員を標的にし、開発用端末や社内システムへの侵入を積み重ねながら、最終的に暗号資産を管理する内部の署名機能にアクセスした。
特徴的なのは、技術的な侵入だけでなく、人間の心理や企業の採用活動を利用した点である。攻撃者は正規の求人活動を装い、従業員に接触したうえで、採用面接や技術課題を装った不正なプログラムを実行させた。これは、企業の防御システムを正面から突破するのではなく、従業員自身に侵入の入口を開かせる手法である。
バイナンスの公表内容によると、2026年6月には、従業員が人工知能関連の開発ツールを導入する過程で、改変されたソフトウェアが利用された事例があった。さらに9月には、別の従業員が求人活動を装った接触を受け、オンライン面接の後、技術課題として提示された不正なプログラムを業務用端末にダウンロードしていた。
このプログラムには、当時の端末防御機能では検知できなかった高度な不正コードが含まれていたとされる。攻撃者は、従業員の端末を足掛かりにして関係者の情報や認証情報を取得し、ウォレット関連の開発・運用環境へと侵入範囲を広げていった。
また、攻撃者は侵入後に社内の人工知能ツールも悪用し、複数の技術者の端末や権限に接近したと説明されている。人工知能そのものが攻撃の原因だったというより、侵害された端末から利用可能な社内機能を探索し、アクセス範囲を拡大するための手段として利用された点が重要である。
この一連の動きから分かるのは、攻撃者が企業のシステム構成や従業員の役割を事前に調査し、どの人物を侵害すれば重要な権限に到達できるのかを計算していた可能性である。企業の情報システムに対する攻撃でありながら、実態は人的情報の収集、心理的誘導、端末侵害、認証情報の窃取、内部権限の悪用を組み合わせた長期的な作戦だった。
こうした手法は、一般に標的型攻撃やサプライチェーン攻撃と呼ばれる脅威と重なる。特に暗号資産業界では、開発者や運用担当者が持つ権限が極めて大きく、1台の端末や1つの認証情報が、巨額の資産を管理するシステムへの侵入口になり得る。
超高速の犯行とシステムの悪用
今回の攻撃では、複数の暗号資産ネットワークにまたがって不正送金が実行された。10月29日、攻撃者はバイナンスの複数のホットウォレットから資産を移動させ、XRP、ソラナ、ビットコイン、イーサリアムなど、多種類の暗号資産を攻撃者側のアドレスへ送金した。
特に重要なのは、攻撃者が通常の出金手続きを経ずに資産を移動させる仕組みを利用したことである。バイナンスの説明では、攻撃者は社内のウォレット署名サービスに不正アクセスし、通常の出金管理を迂回する形で送金を実行した。
イーサリアム上では、2025年に導入されたアカウントの実行権限を委任する仕組み「EIP-7702」が悪用された。この仕組みは、本来、利用者がスマートコントラクトに一定の処理権限を委ねるための正規の機能だが、今回の攻撃では不正な権限設定によって、攻撃者がウォレット内の資産を移動させられる状態を作り出した。
ここで問題となったのは、暗号資産の秘密鍵そのものを直接盗み出す必要がなかった点である。正規の署名・認証機構を利用しながら、その機構が許可する実行権限を不正に設定することで、資産管理の仕組みを攻撃者側に利用されたのである。
バイナンスは複数者計算方式によるウォレット管理を採用していた。この方式では、秘密鍵を単一の場所に保管せず、複数の参加者や端末に分散させて署名処理を行うため、秘密鍵の単独流出を防ぐ効果がある。しかし、今回のように不正な権限設定がブロックチェーン上で成立すると、秘密鍵を管理する通常の仕組みだけでは直ちに攻撃を停止できない場合がある。
実際、バイナンスは出金停止などの措置を講じたものの、すでにブロックチェーン上に設定された不正な実行権限を解除する必要があった。通常のウォレット管理を停止するだけでは不十分であり、追加の取引を通じて不正な権限を取り消す作業が必要になった。この対応の難しさが、被害の拡大を食い止めるまでに時間を要した一因となった。
この事件が示した教訓は、暗号資産の安全性が秘密鍵の管理だけでは確保できないということである。署名システム、端末の認証情報、スマートコントラクトの実行権限、社内の開発環境、外部ソフトウェアの安全性を一体として管理しなければ、複数の防御策を備えていても重大な被害を防げない可能性がある。
また、今回の攻撃は、企業内部に侵入してから実際の資産窃取に至るまで、数カ月にわたる準備が行われていたとされる。つまり、資金流出が発生した数時間だけを見ても事件の本質は理解できず、侵入前の情報収集から内部権限の取得、送金、資金洗浄までを一連の作戦として分析する必要がある。
巧妙な「二次資金洗浄（マネーロンダリング）」
今回の事件で、窃取そのものと同じくらい深刻なのが、その後に進められている資金洗浄である。暗号資産を盗み出すことが最終目的ではなく、盗んだ資産を追跡困難な形に変換し、最終的に現実の経済圏で利用できる資金へ転換することが重要になる。
北朝鮮のサイバー犯罪組織は、過去の事件でも複数の暗号資産や交換サービスを組み合わせ、資金の出所を隠す手法を繰り返してきた。今回も、窃取直後から資産の分割、交換、異なるブロックチェーンへの移動などが確認されており、単純な送金とは異なる組織的な資金洗浄が進行している。
暗号資産分析企業エリプティックが11月9日に公表した分析によると、今回の資金洗浄には16のブロックチェーン、36以上の関連サービス、2万以上のウォレット、少なくとも6万5,000件の取引が関係している。これは、盗難資産が短期間に膨大な数の取引へ分散され、複数の経路を通じて移動していることを意味する。
資金洗浄の第一段階では、盗難資産を複数のウォレットに分割する。大量の資産を単一のアドレスに保管していれば、捜査機関や交換業者による追跡・凍結が容易になるため、資産を細分化して管理することには、追跡を複雑にする狙いがある。
第二段階では、異なる暗号資産への交換や、複数のブロックチェーンをまたぐ移動が行われる。例えば、あるネットワークで盗まれた資産を別のネットワーク上の資産に変換すると、捜査側は異なる台帳や交換サービスの取引記録を照合しなければならない。
第三段階では、複数の利用者の資金を混合するサービスや、分散型交換所などが利用される。こうしたサービスは本来、利用者のプライバシー保護や金融取引の利便性を目的としているが、犯罪者が利用すると、資金の流入元と流出先の関係を見えにくくする効果を持つ。
さらに、今回の事件では、暗号資産をいったん別の資産へ交換した後、再び別のネットワークへ移す動きも確認されている。エリプティックの分析では、ビットコインの混合サービスや匿名性を高める資金プールに加え、利用者が作成した独自の暗号資産を取引経路に組み込む事例も報告されている。
重要なのは、これらの手法が必ずしも新しい技術ではないという点である。個々の手法は以前から存在していたが、複数のサービスを組み合わせ、膨大な取引を自動化することで、資金追跡に必要な時間と人的資源を増大させている。
11月9日時点の同社の推計では、盗難資産のうち約30億ドル相当が関連アドレスに残っているとされる一方、資金洗浄が進んでいる資産については、すでに一部が仲介ネットワークへ移動した可能性も指摘されている。ただし、ブロックチェーン上で資産が移動したことと、北朝鮮が現実の通貨として自由に使用できる状態になったことは同義ではない。
ここに暗号資産犯罪の重要な特徴がある。取引記録は公開されているため、資金の移動を技術的に追跡できる場合が多いが、最終的な受取人の身元や実際の換金先を特定することは容易ではない。
米連邦捜査局は、盗難資産の多くがイーサリアムに交換され、その後、分散型金融サービスや即時交換サービスなどを経由して、さらに資金洗浄される可能性があると警告している。また、関連するウォレットアドレスを公開し、暗号資産交換業者や関連事業者に対して、資金の凍結や取引の遮断への協力を求めている。
今回の資金洗浄は、北朝鮮のサイバー犯罪が単なる窃盗ではなく、盗難後の資産管理、移動、換金までを含む一貫した国家的な収益獲得活動として機能している可能性を示している。
北朝鮮による「精鋭ハッカー」の育成システムと厚遇
北朝鮮のサイバー攻撃能力を理解するには、個々のハッカーの技術力だけでなく、その人材を生み出す国家の教育・選抜・配置制度を分析する必要がある。
北朝鮮は、経済制裁によって通常の外貨獲得手段が制限されるなか、情報技術分野を国家戦略上の重要領域として位置付けてきた。特に、国外の金融機関や暗号資産関連企業を標的とするサイバー活動は、比較的少ない物理的設備で大きな経済的利益を得られる手段として重視されている。
2026年11月6日付のロイター通信の報道では、北朝鮮が中学生の段階から数学や情報技術に優れた人材を選抜し、将来のサイバー要員として育成する仕組みが紹介された。元教育関係者や脱北者、専門家の証言によれば、毎年およそ150〜200人の有望な生徒が選ばれ、専門教育を受けるとされる。
この数字は北朝鮮政府が公式に公表した統計ではなく、関係者の証言に基づく推計である。しかし、若年段階から優秀な人材を発掘し、国家の必要とする専門分野へ重点的に投入するという制度の存在は、北朝鮮のサイバー戦略を理解するうえで重要な情報となる。
北朝鮮のサイバー人材育成は、一般的な学校教育だけで完結するものではない。基礎学力の高い生徒を専門教育機関へ進学させ、さらに成績や適性に応じて、軍や情報機関に関係する専門組織へ配置する段階的な仕組みがあると報告されている。
選抜とエリート教育
選抜の対象となるのは、数学、論理的思考、情報処理などに優れた生徒である。サイバー攻撃には、プログラムの作成能力だけでなく、複雑なシステムの構造を理解し、予想外の問題に対処する高度な分析能力が求められるため、基礎学力の段階から人材を選別する合理性がある。
専門教育では、一般的なプログラミングや情報処理に加え、暗号技術、通信、ネットワーク、外国語などの能力が重視される。ロイター通信が紹介した関係者の証言では、暗号資産の仕組みや外国製機器の解析など、実際のサイバー作戦に結び付く専門分野も教育対象になっているという。
また、外国語教育は重要な位置を占める。国外の企業や金融機関を標的にする場合、技術文書を理解するだけでなく、外国人を装った連絡や採用活動、オンライン上の交渉などを行う必要があるからだ。
こうした教育は、技術者を育てるだけでなく、国外の社会や企業文化に適応できる人材を育成することにもつながる。今回のバイナンス事件で確認された偽の採用面接や従業員への接触も、技術的な知識と対人工作能力を組み合わせた活動として理解できる。
高校段階を経た優秀な人材は、国内の有力大学などで専門教育を受け、さらに選抜を経て軍や情報機関に関係するサイバー部門へ進むとされる。全員が攻撃要員になるわけではなく、一般的なソフトウェア開発や国外企業向けの情報技術業務に振り分けられる人材もいる。
この点は重要である。北朝鮮のサイバー人材は、すべてが金融機関への侵入や暗号資産窃取を直接担当するわけではなく、情報収集、ソフトウェア開発、国外での収益獲得、資金移動など、異なる役割を担う人材が組み合わされていると考えられる。
したがって、北朝鮮のサイバー能力は、一部の天才的なハッカーに依存するものではない。教育機関、軍・情報機関、国外の活動拠点、資金管理を担うネットワークが連動することで、継続的な作戦遂行能力を生み出している点に本質がある。
破格の厚遇と特権
北朝鮮が優秀なサイバー人材を確保するうえで、教育と並んで重要なのが、選抜された人材に対する特別待遇である。一般国民の生活水準が厳しく制限されている同国において、国家に貢献する高度技術者には、相対的に恵まれた生活環境や経済的な報酬が与えられると報告されている。
ロイター通信が紹介した脱北者や専門家の証言によれば、優秀なハッカーには、平壌市内の広い住宅、外貨による報奨金、海外渡航などの特権が与えられる場合がある。こうした待遇は、一般国民との格差が大きい北朝鮮社会において、非常に強い動機付けになる。
特に平壌での居住資格は、単なる住宅の提供以上の意味を持つ。政治的・社会的な地位と結び付きやすく、教育、医療、生活環境などの面でも地方住民より有利な条件を得られる可能性があるからだ。
また、海外での活動に従事する技術者は、国外で得た報酬の一部を国家に納めることを求められる一方、一定の収入や生活上の利益を得る場合がある。ただし、こうした待遇の具体的な水準や適用範囲は、所属組織や任務によって異なり、すべてのサイバー要員が同じ特権を享受しているわけではない。
一方、特別待遇には厳しい義務も伴う。国外で活動する要員には収益目標が課され、長時間労働や厳格な監視、活動報告などが求められるとされる。国家から与えられる優遇は、自由な生活を保障するものではなく、国家の収益獲得と安全保障上の目的に従属する対価という側面が強い。
ここには、北朝鮮特有の人材管理の構造がある。一般社会では得られない待遇を与えることで忠誠心と競争意識を高める一方、組織から離脱することを困難にし、技術と労働力を国家の利益に結び付けているのである。
北朝鮮のサイバー人材育成は、教育による技術力の向上だけでは説明できない。選抜された人材に対する経済的報酬、社会的地位、国家による管理を組み合わせた制度こそが、長期にわたって専門人材を確保する基盤になっている。
組織的体制の長期化
北朝鮮のサイバー攻撃能力を支えているのは、個々の技術者の能力だけではない。人材の選抜と教育、軍・情報機関による統制、国外での活動、盗難資産の管理と換金までを連動させる組織的な仕組みである。
今回のバイナンス事件でも、攻撃の準備から実行、資金洗浄までを一連の活動として捉える必要がある。米連邦捜査局は、今回の活動を「トレーダートレイター」と呼び、北朝鮮によるサイバー活動として特定したが、実際の作戦には複数の要員や技術的な役割が関与したと考えられる。
北朝鮮のサイバー活動を代表する組織として知られるのが、ラザルスと呼ばれる集団である。米国などの政府機関や情報セキュリティー企業は、同集団を北朝鮮の国家的なサイバー作戦と関連付けてきた。
ただし、ラザルスとトレーダートレイターを単純に同一組織とみなすことには注意が必要である。これらの名称は、捜査機関や民間分析機関が攻撃活動の特徴、使用された技術、関連する資金移動などを基に分類したものであり、北朝鮮内部の正式な組織図をそのまま示すものではない。
北朝鮮のサイバー部門は、一般に軍や情報機関と結び付いた複数の組織から構成されると考えられている。国外への侵入や情報収集、金融機関への攻撃、暗号資産の窃取、国外企業を装った収益獲得など、それぞれの活動に異なる専門要員が配置されている可能性が高い。
こうした分業体制には大きな利点がある。攻撃対象の選定、侵入経路の確保、内部情報の窃取、資金の移動といった工程を専門化することで、一つの部門がすべての技術を保有する必要がなくなり、作戦全体の効率を高められる。
また、要員の一部が国外で活動することにより、北朝鮮国内のネットワークだけでは得られない情報や技術を獲得できる。国外の通信環境や企業の業務慣行に接することで、標的となる組織の内部事情を把握しやすくなるからだ。
このような国外活動は、正規の情報技術業務を装う場合もある。北朝鮮の技術者が第三国の企業に身元を偽って就職し、報酬を国家側へ送金する活動は、米国や国連関係機関によって繰り返し警告されてきた。通常の雇用活動に見えるため、企業側が本人の所属や資金の流れを見抜くことは容易ではない。
さらに、国外で得られた資金や技術情報は、次の作戦に活用される可能性がある。サイバー攻撃で得た資金が人材育成や設備整備に使われ、強化された能力が新たな攻撃を生み出すという循環が形成されれば、国家のサイバー活動は長期的に維持される。
この構造は、単発の犯罪集団とは異なる。一般的な犯罪組織は、摘発や資金源の遮断によって活動が縮小する場合があるが、国家が人材育成と組織維持を担う場合、個々の要員や活動拠点が摘発されても、別の人員や経路によって作戦を継続できる可能性がある。
北朝鮮のサイバー戦略が厄介なのは、このような組織的な継続性にある。特定のハッカーを逮捕したり、一部のウォレットを凍結したりするだけでは、教育制度や組織的な指揮系統、国家による活動支援そのものを解体することは難しい。
北朝鮮の「狙い」と今後の展望
北朝鮮が高度なサイバー攻撃能力を国家戦略として維持する最大の理由は、経済的利益と安全保障上の利益を同時に獲得できることにある。国際制裁によって通常の貿易や金融取引が制限されるなか、国外の金融機関や暗号資産事業者から資金を獲得する活動は、北朝鮮にとって重要な外貨獲得手段になっている。
従来、北朝鮮の外貨獲得は、石炭や鉱物資源の輸出、海外労働者の派遣、武器取引などに依存してきた。しかし、国連安全保障理事会の制裁強化や各国による監視の厳格化によって、こうした従来型の収益源には制約が生じている。
一方、サイバー攻撃には、物理的な輸送手段や国境を越える貨物取引が必要ない。インターネットを通じて国外の企業や金融機関を標的にでき、攻撃が成功すれば短期間で巨額の資産を獲得できる可能性がある。
特に暗号資産は、従来の銀行送金とは異なる仕組みで国境を越えて移動するため、国家間の金融監視を回避しようとする主体にとって魅力的な対象となる。もちろん、取引記録が公開されることや、発行企業が特定資産を凍結できることなど、暗号資産にも追跡・制限の仕組みは存在する。
北朝鮮にとって重要なのは、こうした制約を理解したうえで、複数の暗号資産や交換サービスを利用して資金の移動経路を複雑化することである。今回のバイナンス事件で確認された大規模な資金分散は、その能力を示す事例といえる。
国家予算（特に核・ミサイル開発）の補填
北朝鮮のサイバー犯罪による収益を考える際、最も重要な問題の一つが核・ミサイル開発との関係である。北朝鮮は国際社会から厳しい経済制裁を受けながらも、核兵器や弾道ミサイルの開発を継続しており、そのための資金や技術の確保が国家的な優先課題になっている。
米国政府や国連関係機関は、北朝鮮がサイバー攻撃によって獲得した資金を、軍事計画を含む国家活動に利用していると繰り返し指摘してきた。暗号資産の窃取は、制裁対象となる通常の貿易や金融取引を通じずに外貨を得る手段として、北朝鮮の資金調達戦略に組み込まれていると考えられる。
ただし、今回のバイナンス事件で盗まれた資金が、そのまま核・ミサイル開発に投入されたと確認されたわけではない。盗難資産の移動経路を追跡できても、最終的な国家予算への組み込みや、特定の兵器開発計画への支出までを直接証明することは難しい。
より正確には、サイバー攻撃による収益が北朝鮮の外貨獲得能力を高め、国家財政の制約を緩和することで、核・ミサイル開発を含む国家的な優先事業を間接的に支えていると評価するのが妥当である。
この点で、暗号資産窃取は単なる経済犯罪ではなく、国際的な制裁体制の実効性を損なう安全保障上の問題となる。制裁によって資金や物資の調達を制限しても、サイバー空間を通じて巨額の資金が獲得されれば、その効果は部分的に弱められる可能性がある。
また、北朝鮮のサイバー活動は資金獲得だけに限定されない。外国政府や企業への情報収集、軍事技術に関する情報窃取、重要インフラへの侵入能力の獲得なども、国家戦略上の目的として考えられる。
つまり、北朝鮮のサイバー戦略には、経済的利益、軍事的利益、外交的な交渉力の確保という複数の目的が存在する。今回のバイナンス事件は、そのうち経済的利益の獲得が極端な規模で実行された事例と位置付けられる。
今後の展望
今後、北朝鮮のサイバー攻撃は、暗号資産交換業者だけでなく、銀行、決済事業者、投資会社、金融システムの基盤を担う企業へと標的を広げる可能性がある。特に、巨額の資産を集中管理する事業者や、複数の金融サービスを接続するシステムは、攻撃に成功した場合の経済的利益が大きい。
また、人工知能の普及によって、攻撃者が利用できる技術の幅も広がっている。標的企業の情報収集、不正プログラムの作成支援、偽装文書の生成、多言語による接触などが効率化されれば、少数の要員でも大規模な攻撃を準備できるようになる。
今回の事件でも、バイナンスの社内人工知能ツールが侵入後の活動に利用されたと説明されている。ただし、盗難資産の移動を人工知能が自律的に指揮した証拠は確認されておらず、実際には人間の攻撃者が自動化された処理を組み合わせていたとみるべきである。
さらに、北朝鮮は国際社会の対策強化に応じて、攻撃対象や侵入方法を変更していくと考えられる。一つの交換業者に対する攻撃が困難になれば、比較的防御の弱い関連企業や業務委託先、ソフトウェア開発会社などを経由する可能性がある。
2026年11月3日には、北朝鮮の金与正氏が米国による関与認定を否定し、政治的な挑発だと批判した。北朝鮮政府が関与を認めない姿勢を維持することは、国家責任を追及する国際的な取り組みを難しくする要因にもなっている。
今後の焦点は、北朝鮮がサイバー攻撃によって獲得できる資金をどこまで維持できるか、そして国際社会がその資金の移動と換金をどこまで阻止できるかにある。攻撃者の技術力だけでなく、資金洗浄に協力する国外の仲介者やネットワークを遮断できるかどうかが、対策の成否を左右する。
国際社会の対応とその「限界」
今回のバイナンス事件は、北朝鮮による国家関与型のサイバー犯罪に対して、国際社会がどこまで実効性のある対抗措置を講じられるかを問う事件となった。米国の捜査機関が北朝鮮の関与を公表したことで、単なる企業への不正侵入ではなく、国家による資金獲得活動としての側面が明確になった。
しかし、攻撃主体を特定することと、盗まれた資金を回収すること、さらに攻撃を実行した人物や指揮者を処罰することは、それぞれ別の課題である。今回の事件は、サイバー犯罪の捜査において、技術的な追跡能力が向上しても、国家間の法制度や外交関係、強制執行の権限が障壁となることを示している。
米連邦捜査局は2026年10月31日、北朝鮮の「トレーダートレイター」による犯行と認定し、関連する暗号資産アドレスを公表した。米国は、シークレットサービスや内国歳入庁の捜査部門と連携し、民間の暗号資産事業者に対して、関連資産の凍結や不正取引の遮断への協力を求めている。
今回の対応で注目されるのは、政府機関だけでなく、暗号資産交換業者、ブロックチェーン分析企業、資産発行企業、分散型金融サービスなどが対策の担い手になっていることである。従来の国際犯罪捜査では、警察や司法当局が中心的な役割を果たしてきたが、暗号資産犯罪では民間企業が保有する技術情報や取引管理権限が不可欠になっている。
国際連携と追跡・保全の動き
今回の事件では、ブロックチェーン分析企業エリプティックやトレース・アール・エム・ラボなどが、盗難資産の移動を追跡し、関連するウォレットや取引経路を分析している。こうした企業は、公開された取引記録を解析することで、資産がどのアドレスからどのアドレスへ移動したのか、どの交換サービスを経由したのかを調べることができる。
エリプティックの11月1日時点の分析では、盗難資産約64億3,000万ドルのうち、約28億5,000万ドル相当が凍結または保全されたとされる。これは当初の被害額の約44％に相当するが、凍結・保全された資産がすべて被害者に返還されたことを意味するわけではない。
資産の凍結において重要な役割を果たすのが、テザーやサークルなどのステーブルコイン発行企業である。ステーブルコインは法定通貨の価値に連動するよう設計された暗号資産であり、発行企業が特定のアドレスを凍結できる機能を備えている場合がある。
この機能が利用されれば、犯罪者が資産を保有していても、対象アドレスからの送金や交換を制限できる。つまり、ブロックチェーン上で資金の所在を把握するだけでなく、実際に資金を動かせなくすることが可能になる。
一方、ビットコインなどの分散型資産には、中央管理者が存在しない。特定のアドレスを政府の命令だけで停止させることはできず、資産の移動を防ぐには、交換業者や関連サービスが自主的に取引を遮断するか、資産を管理する秘密鍵を押収する必要がある。
今回の事件では、米国の捜査機関が公表した関連アドレスを基に、世界各地の交換業者や関連事業者が監視を強化することが求められた。国境を越えた資金移動に対して、各国の捜査機関と民間企業が同時に対応することが、資産保全の成否を左右する。
また、国際的な情報共有も重要である。ある国の交換業者が不審な送金を検知しても、その資産が別の国の事業者に移動すれば、単独の捜査機関だけでは対応できない。取引情報やウォレット情報を迅速に共有し、複数の国や企業が同じ資産を同時に監視する体制が必要になる。
このような協力は、暗号資産犯罪に対する新しい国際捜査の形を示している。国家の捜査機関が法的な権限を担い、民間企業が技術的な追跡と資産管理を担うことで、従来の国際刑事司法だけでは対応しにくかった問題を補完しているのである。
国際対応における「限界」
国際社会が対応を強化しても、北朝鮮のサイバー犯罪を完全に阻止できない理由は、技術面、制度面、外交面のそれぞれに存在する。資金の移動を追跡できても、最終的な受取人を特定できなければ、犯罪組織の中核に到達することは難しい。
また、各国の法制度には違いがあり、暗号資産の凍結や没収、犯罪収益の返還に必要な手続きも統一されていない。ある国で犯罪資産と認定されても、別の国では同じ証拠だけで直ちに資産を差し押さえられるとは限らない。
匿名性と脱中央集権の壁
暗号資産の取引記録は公開されている場合が多く、送金元と送金先の関係を追跡できる。しかし、ウォレットのアドレスだけでは、実際に誰がその資産を管理しているのかを直接確認できない。
犯罪者は複数のウォレットを使い分け、資産を細分化し、異なる暗号資産や交換サービスを経由させることで追跡を難しくする。さらに、利用者の本人確認を十分に行わないサービスや、匿名性を高める仕組みが利用されれば、資金の最終的な受取人を特定する作業は一段と複雑になる。
脱中央集権型の交換サービスも大きな課題である。中央管理者が存在する交換業者であれば、捜査機関が法的手続きを通じて取引停止や情報開示を求められるが、管理主体が分散しているサービスでは、命令を執行する相手そのものが明確でない場合がある。
一方、ステーブルコインのように発行企業が資産凍結機能を持つ場合は、一定の対抗措置が可能である。つまり、暗号資産がすべて追跡不能というわけではなく、資産の種類や管理構造によって、凍結や回収の可能性は大きく異なる。
今回の事件でも、約28億5,000万ドル相当の資産が凍結・保全された一方、攻撃者は凍結機能を持たない資産や複数のネットワークを利用して資金移動を継続している。技術的な追跡能力が高まっても、すべての資産を同じ方法で停止できないという構造的な問題が残っている。
外交的・政治的足並みの乱れ
国際社会の対応を難しくしているもう一つの要因が、北朝鮮問題をめぐる大国間の対立である。特に、国連安全保障理事会では、北朝鮮に対する制裁の監視や強化について、米国、日本、韓国などとロシア、中国の間に意見の相違が存在する。
象徴的な出来事が、2024年3月のロシアによる国連制裁専門家パネルの任期延長決議への拒否権行使である。これによって、2009年から活動してきた専門家パネルは同年4月30日に任期を終了し、国連安全保障理事会の枠組みにおける独立した制裁監視機能が弱まった。制裁そのものが終了したわけではないが、違反事例の調査や報告を担う専門機関が失われたことは大きな後退だった。
これを受け、米国、日本、韓国、英国、フランス、ドイツ、オーストラリアなど11カ国は、2024年10月に多国間制裁監視チームを設立した。同チームは、北朝鮮による制裁違反や制裁回避の実態を調査し、その結果を公表することで、国際社会の監視機能を補完することを目的としている。
しかし、この仕組みは国連安全保障理事会の正式な専門家パネルと同じ権限を持つものではない。参加国による調査や情報共有は可能でも、すべての国に対して資料提出や現地調査を強制できるわけではない。
さらに、ロシアと北朝鮮の軍事・外交関係が強化されていることも、国際的な制裁の実効性を弱める要因となる。北朝鮮の資金調達活動を制限しようとする国々と、北朝鮮との関係を重視する国々の間で、対応の足並みがそろわないのである。
物理的な強制力の欠如
サイバー犯罪への対抗措置には、物理的な強制力の問題もある。米国の捜査機関が北朝鮮のハッカーを特定したとしても、その人物が北朝鮮国内にいる場合、米国の警察官が直接逮捕することはできない。
通常の国際犯罪であれば、容疑者が第三国に移動した際に、現地当局との協力や犯罪人引き渡し制度を利用できる場合がある。しかし、北朝鮮の国家機関に所属する要員が国内で保護されている場合、こうした手段はほとんど機能しない。
また、北朝鮮政府が国家関与を否定し、捜査への協力を拒否すれば、証拠を直接入手したり、指揮命令系統を解明したりすることも難しくなる。国家が関与するサイバー犯罪では、犯罪者個人の摘発だけでなく、国家そのものに対する外交的・経済的な圧力が必要になる。
しかし、経済制裁の強化にも限界がある。すでに厳しい制裁を受けている北朝鮮に追加制裁を科しても、サイバー攻撃を実行する組織や国外の仲介者に十分な打撃を与えられるとは限らないからだ。
さらに、サイバー攻撃に対して軍事的な報復を行うことは、国際法上の正当性や攻撃主体の認定、被害の規模などを慎重に検討する必要がある。攻撃の証拠があっても、直ちに軍事的な対抗措置を実施できるわけではない。
今後の展望
今後の国際社会の対応では、犯人の特定や盗難資産の追跡だけでなく、北朝鮮が資金を獲得するための仕組み全体を遮断する取り組みが重要になる。
第一に、暗号資産交換業者やステーブルコイン発行企業の国際連携を強化する必要がある。不正なウォレットの情報を迅速に共有し、資金が換金される前に凍結する体制が求められる。
第二に、北朝鮮の国外活動を支える仲介者や協力企業への対策が必要である。偽装された技術者の雇用、報酬の送金、国外での資金管理などを監視し、国家に資金が還流する経路を遮断することが重要になる。
第三に、企業側の防御体制を強化しなければならない。従業員の端末管理、採用活動の本人確認、開発環境の権限管理、暗号資産の出金承認などを見直し、内部への侵入が巨額の資産流出につながらない仕組みを構築する必要がある。
第四に、国連の制裁監視機能を補完する多国間協力を強化する必要がある。特定の国々だけでなく、北朝鮮と経済関係を持つ第三国も含めて情報共有を進めなければ、制裁回避の経路を完全に把握することは難しい。
今回の事件が示したのは、サイバー犯罪が国家の経済政策や安全保障政策と結び付いた場合、従来の警察活動や金融制裁だけでは十分に対応できないという現実である。国際社会には、技術的な防御、金融監視、外交的圧力、法執行を組み合わせた長期的な対応が求められている。
まとめ
今回のバイナンス事件は、北朝鮮が国家的に育成してきたサイバー人材と、暗号資産を利用した資金獲得活動が結び付いた重大な事件である。約63億4,000万ドルという巨額の資産が流出したことは、暗号資産業界の防御体制の問題だけでなく、国家が関与するサイバー犯罪が国際金融システムに及ぼす脅威の大きさを示している。
事件の本質は、単純なシステム侵入や秘密鍵の窃取ではない。攻撃者は企業の従業員を標的にした人的工作、開発環境への侵入、内部の署名システムの悪用、ブロックチェーン上の権限操作を組み合わせ、巨額の資産を短時間で移動させた。
さらに、盗難後の資金洗浄では、数万規模のウォレットと複数のブロックチェーン、交換サービスなどが利用された。攻撃の成功だけでなく、その後の資産移動までを組織的に進める能力が、北朝鮮のサイバー活動の大きな特徴となっている。
一方、北朝鮮の攻撃能力は、個々のハッカーの才能だけで成り立っているわけではない。若年段階から数学や情報技術に優れた人材を選抜し、専門教育を施し、軍・情報機関に関連する組織へ配置する国家的な人材育成体制が、その基盤になっている。
優秀な技術者に対する住宅、報奨金、社会的地位などの優遇措置は、国家への貢献を促す動機付けとして機能する。ただし、その裏側には厳格な監視や収益目標、長時間労働なども存在すると報告されており、単純なエリート優遇制度として理解することはできない。
北朝鮮にとってサイバー攻撃は、制裁下で外貨を獲得するための重要な手段である。とりわけ暗号資産の窃取によって得られる資金は、国家財政の制約を緩和し、核・ミサイル開発を含む国家的な優先事業を間接的に支える可能性がある。
ただし、今回の盗難資金が核兵器やミサイルの開発費に直接投入されたと確認されたわけではない。国家の資金獲得能力を高めることと、特定の軍事計画への支出を証明することは区別する必要がある。
国際社会は、米国の捜査機関による犯行認定、暗号資産分析企業による追跡、交換業者や資産発行企業による凍結などを通じて対応している。約28億5,000万ドル相当の資産が凍結・阻止されたというバイナンスの発表は、官民連携が一定の成果を上げたことを示している。
しかし、北朝鮮国内にいる実行犯や指揮者を逮捕することは困難であり、国際的な制裁監視にも政治的な分断が存在する。資産の追跡が可能であっても、最終的な受取人の特定、換金の阻止、国家による再発防止の実現には、依然として大きな壁がある。
今回の事件から導かれる結論は、サイバー犯罪への対策を個別企業の情報セキュリティー問題に限定してはならないということである。国家による人材育成、国外活動、資金洗浄、制裁回避までを一体として捉え、国際的な金融監視と法執行、企業防御を連動させる必要がある。
事件の本質と国際社会への教訓
第一の教訓は、企業の内部にいる人間が最大の侵入経路になり得るという点である。高度な防御システムを導入していても、従業員が偽の採用活動や不正なソフトウェアに誘導されれば、攻撃者に正規の業務環境を利用される危険がある。
企業は、従業員教育だけでなく、開発用端末の管理、外部ソフトウェアの検証、認証情報の保護、重要操作の複数人承認を徹底しなければならない。特に巨額の暗号資産を管理する企業では、内部の署名システムに不正アクセスされた場合でも、資産移動を単独で実行できない仕組みが必要である。
第二の教訓は、秘密鍵の分散管理だけでは十分ではないという点である。今回の事件では、複数者計算方式による管理を採用していたにもかかわらず、不正な実行権限の設定によって資産移動が可能になった。秘密鍵を盗まれないことと、正規の権限を悪用されないことは、別々に対策しなければならない。
第三の教訓は、盗難資産の追跡と凍結を迅速に行うための国際協力の重要性である。暗号資産は国境を越えて短時間で移動するため、各国の捜査機関や交換業者が個別に対応していては、資産が換金される前に阻止することが難しくなる。
第四の教訓は、北朝鮮のサイバー活動を犯罪者個人の摘発だけで解決することはできないという点である。人材育成から国外での活動、資金の管理までを国家が支えている場合、実行犯の一部を特定しても、組織全体の能力は残り続ける。
したがって、今後は攻撃を受けた企業の防御力を高めると同時に、北朝鮮の資金獲得経路や国外の協力者、資金洗浄に利用されるサービスへの対策を強化する必要がある。サイバー空間での防御と国際金融秩序の維持を、別々の政策として扱わないことが重要である。
参考・引用リスト
政府機関・国際機関
1. 米連邦捜査局（2026年10月31日）
北朝鮮によるバイナンスへの約60億ドル超の暗号資産窃取に関する公式発表。犯行主体の認定、資金洗浄に使用された関連アドレス、民間事業者への協力要請。
2. 日本国外務省（2026年）
多国間制裁監視チームの活動状況、北朝鮮のサイバー活動および国外情報技術労働者に関する報告。
3. 多国間制裁監視チーム（2025年10月）
北朝鮮のサイバー攻撃、暗号資産窃取、国外情報技術労働者による制裁回避活動に関する調査報告。
4. 米国・日本・韓国政府（2025年1月14日）
北朝鮮による暗号資産窃取と官民連携による対策についての共同声明。
5. 米国務省など11カ国（2024年10月16日）
国連制裁専門家パネルの活動終了を受けた多国間制裁監視チーム設立に関する共同声明。
暗号資産分析・専門機関
6. バイナンス（2026年11月3日）
事件の初期調査結果、被害額約63億4,000万ドル、凍結・阻止資産約28億5,000万ドル、攻撃経路、対応状況。
7. エリプティック（2026年11月）
盗難資産の移動、複数のブロックチェーン、ウォレット、交換サービスを利用した資金洗浄の分析。
8. チェイナリシス（2026年10月30日）
北朝鮮との関連性、資産移動、凍結状況、資金洗浄の手法に関する分析。
報道機関・専門家の証言
9. ロイター通信（2026年11月6日）
北朝鮮のサイバー人材育成制度、若年層の選抜、専門教育、報奨金、住宅などの優遇措置に関する脱北者・専門家の証言。
10. ＡＰ通信（2026年11月）
バイナンス事件の被害規模、攻撃手法、北朝鮮との関連性、暗号資産業界への影響に関する解説。
11. 聯合ニュース（2026年11月1日）
米連邦捜査局による北朝鮮の関与認定と、盗難資産の追跡・資金洗浄に関する報道。