北朝鮮は2018年末、ある“強奪”を実行に移した。この秘密主義国家のために働くハッカーたちが暗号資産（仮想通貨、暗号通貨）の取引所に侵入し、2億5,000万ドル（約270億円）以上に相当する暗号通貨を引き出したのだ。
犯行がどこで行われたのかは、現時点では不明である。しかし、盗み出した資金を北朝鮮内に移すために採用された複雑なスキームについては、解明が始まっている。
犯行の中心には、ふたりの中国人がいた。名前は田寅寅（ティアン・インイン）と李家東（リー・ジャードン）は、米連邦捜査局（FBI）や米国土安全保障省（DHS）、米国内国歳入庁（IRS）の調査の末に、この犯罪行為に関与したとして米国政府から3月に起訴された。
ただし、このふたりが法廷に引き出されることは考えづらい。中国からの引き渡しはされないだろうし、ふたりが米国や、引き渡す可能性がある国を自ら訪れることはないだろう。それでも今回の起訴は、米国の法執行機関と情報当局が、対立国のネット上の行為に関して公然と対抗しようとする最新の動きと言える。
マルウェアを利用して取引所に侵入
ふたりの罪状は、複雑な資金洗浄スキームを実行したというものだ。この資金洗浄では1億ドル（約108億円）以上に相当する暗号資産が大量の口座間で動かされ、結果としてめちゃくちゃな痕跡が残された。この過程では、北朝鮮のインフラを使ってアップルのiTunesギフトカード8,823枚が144万8,694ドル（約1.6億円）で購入されたほか、偽のIDの作成や、トランザクションの複雑なネットワークの構築が見られた。
米国政府は、2億5,000万ドルが奪われた犯行の詳細を明らかにした上で、資金洗浄の共謀と、無許可の送金事業の罪でふたりを起訴した。北朝鮮関係者が関与したとされている暗号資産取引所のハッキングは、この事件を含めて4件あり、いちばん新しいものは国連が非難している。うち1件では、韓国の暗号資産取引所「Youbit」がハッキング後に破産を申請した。
今回の始まりはマルウェアだった。18年半ばのこと、ハッキングされた暗号資産取引所の職員が、ある潜在顧客とメールでやりとりしていた際に、マルウェアをダウンロードしたのだ。このマルウェアが取引所のインフラに入り込み、取引所への遠隔アクセスと、暗号資産のウォレットを制御する秘密鍵へのアクセスが可能になった。その結果が、約2億5,000万ドル相当が抜き出された大騒動である。
米国の裁判文書によると、9,400万ドル（約100億4,100万円）相当の1万777.94ビットコイン（BTC）と、1億3,100万ドル（約144億円）相当の21万8,790イーサリアム（ETH）が盗み出された。ほかに、ドージコイン（Dogecoin）、リップル（Ripple）、ライトコイン（Litecoin）、イーサリアム・クラシックなど5種類の暗号資産が盗まれた。
追跡を困難にした手法
一方、北朝鮮では共謀者のひとりが、このハッキングされた暗号資産取引所に関する情報を調査していた。裁判文書によると、この共謀者は「ハッキング」「Gmailハッカー拡張機能」「フィッシングキャンペーンのやり方」などのほか、おそらくとりわけ重要なことに、「大量のETHをBTCに両替する方法」を調べていた。さらに裁判文書によると、暗号資産取引所のハッキングに関与したと考えられている「北朝鮮の共謀者たち」は、米軍と北朝鮮軍の関係や金正恩についても調査していた。
暗号資産の動きは、かなり匿名性が高い。このため法執行機関は、個人を特定するために行動パターンを解析するサードパーティー企業を使った。しかし、1万ビットコインを含む大量の暗号資産を動かせば、記録は残る。なによりブロックチェーンは、すべてを記録する。米国の主張によると、北朝鮮の共謀者たちは行動を隠すために、「ピールチェーン」と呼ばれる手法を使ったという。
ピールチェーンは理論としてはシンプルな手法だが、かなり複雑にもなりうる。多額の暗号資産が入っている1つの口座から、少しだけ別の口座に移す。この行動をいくつもの口座間で繰り返すことで、何百何千もの口座を通過することになり、追跡が難しくなる。
米国政府はこう書いている。「北朝鮮の共謀者たちは、BTCの足跡をわかりにくくして監視を減らすため、4つの異なる取引所に対する『ピールチェーン』として、複数の新しいBTCアドレスと大量の自動化トランザクションを展開した」
北朝鮮がつくった「新しい会社」の正体
さらに米国政府によると、北朝鮮の共謀者たちは行動を隠すもうひとつの取り組みとして、盗んだ暗号資産を使って新しい会社を準備していた。Celas LLCという会社とドメインのために、企業向けメールサーヴィスを12カ月分購入したのだ。そしてこの会社で、暗号資産取引ソフトウェアをダウンロード提供した。
ところが、サイバーセキュリティ企業が18年にこのファイルを調べたところ、別の話が判明した。そこにはマルウェアが含まれていて、個人情報が盗み出されていたのだ。共謀者たちは、このソフトウェアをダウンロードさせるために、大量のフィッシングメールを送信していた。
起訴状には、「北朝鮮の共謀者たちはフィッシングキャンペーンのために、さまざまなメールプラグインを使った」と書かれている。具体的には、IPアドレスとブラウザーの情報を含む開封確認を見ることができるツールのほか、署名をプロのような出来栄えにするツール、書いた文章が「完璧な英語」になると謳う編集ツールなどが使われていた。
Celas LLCを本物の会社らしく見せるため、プロダクトを担当するスタッフメンバーの偽アカウントが、Twitter、LinkedIn、Facebookで作成された。架空の従業員のひとり「ワーリー・ダーウィッシュ」は、ロッテルダム大学の学位があるとされていた。
暗躍していたハッカー集団の存在
北朝鮮とつながりのある個人が偽の暗号資産企業をつくったのは、これが初めてではない。『WIRED』US版は19年、北朝鮮とつながりのあるスタートアップMarine Chainについて報じている。この会社は海運業と提携した新たな暗号資産を提供すると主張していた。
安全保障筋によると、当時は北朝鮮のエリートハッキング集団である「APT38」が、10億ドル以上を盗み出していた。このハッカーたちは、そうして核兵器の開発継続によって経済と貿易の面で厳しい制裁を受けている北朝鮮の財政を助けていたのだ。
ある情報筋はこのとき、次のように語っている。「APT38が盗んだ資金は、北朝鮮のGDPのかなりの割合に相当するものだった。それが北朝鮮のミサイルと核兵器の開発プログラムに注がれているという点で、安全保障専門家の見方は一致している」
しかし、暗号資産取引所を巡るハッキングと資金洗浄に関しては不手際があり、これが最終的に事件の解明につながった。「VPNサーヴィスを使ってアドレスが隠されていたものの、捜査でログインをさかのぼり、北朝鮮国内のIPアドレスにたどりつくことができた」と、当局者は話している。
iTunesのギフトカードも活用
盗まれた1万777ビットコインのうち1万500ビットコイン以上は、4つの暗号資産取引所に入金されている。また、北朝鮮とつながりのある個人が、その取引所の登録時に身元確認を回避しようとした。
裁判文書内の写真を見ると、確認時に行われた「下手な加工」を見ることができる。白いTシャツを着ている同じ体に、画像を加工してさまざまな顔をかぶせたものが取引所に提出されている。
起訴された田と李のふたりは、資金洗浄で果たしたとされる役割を隠蔽するために偽名を使っていた。米国政府によると、ふたりとも「政府のID番号と中国の電話番号」をもつ中国人だという。
使われたユーザー名のなかに、「snowsjohn」と「khalees」があった。ふたりは18年7月から19年4月の間に、暗号資産取引所で強奪された2億5,000万ドルに結びつく暗号資産のトランザクション、1億81万2,842.54ドル（約107億8,000万円）相当を処理していた。
米国政府は起訴状で、「田寅寅と李家東は、こうした仮想通貨を法定通貨に換金し、顧客に送金して手数料を得ていた」と述べている。ふたりは盗まれた暗号資産を従来の法定通貨に変えていたほか、資金の動きを隠す方法のひとつとしてiTunesのギフトカードを購入していた。
グローバルな金融システムの深刻な脅威に
ふたりの身元は、彼らが作成した暗号資産のアカウントが現実世界の銀行にリンクされたことから、明らかになった。また、このふたりは相互に暗号資産を送り合っていた。
米連邦検察官のティモシー・シアは起訴にあたり、「取引所のハッキングと、関連する北朝鮮関係者のための資金洗浄は、グローバルな金融システムの安全と保全に対する深刻な脅威になっている」と述べている。
「今回のような起訴をきっかけに、パートナーシップと協力を通じた法の執行により、国内外の違法行為が明らかになることが認識されるべきだ。不法行為の責任者が起訴されること、また、たとえ仮想通貨のかたちであっても、不正な資金は押収されることが認識されるべきである」
TEXT BY MATT BURGESS
TRANSLATION BY RYO OGATA/GALILEO