北朝鮮のハッカーがDMM取引所からビットコイン3億ドルを盗んだと警察が発表

5月にはDMM Bitcoinから約482億円相当のビットコインが不正に吸い上げられた。

Around ¥48.2 billion JPY (approximately $306 million USD) in Bitcoin was unlawfully siphoned from DMM Bitcoin in May. The Tokyo entity is a cryptocurrency exchange that operates under the major IT firm DMM.com.

5月にDMM Bitcoinからビットコイン約482億円（約3億600万ドル）が不正に吸い上げられた。東京法人は大手IT企業DMM.com傘下で運営する仮想通貨取引所です。

On December 24, the National Police Agency (NPA) announced that the North Korean cyberattack group TraderTraitor was responsible for the attack. The investigation was carried out by the Metropolitan Police Department and NPA, in cooperation with the American Federal Bureau of Investigation (FBI).

警察庁は12月24日、北朝鮮のサイバー攻撃集団「TraderTraitor」が今回の攻撃を行ったと発表した。捜査は警視庁と警察庁がアメリカ連邦捜査局（FBI）の協力を得て実施した。

TraderTraitor’s Phishing Tactics

TraderTraitor のフィッシング戦術

According to the NPA, attackers from TraderTraitor posed as recruiters on the business-focused social networking site LinkedIn in late March. They contacted an employee of Ginco (Tokyo), which manages the cryptocurrency wallet system for DMM Bitcoin.

NPA によると、TraderTraitor の攻撃者は 3 月下旬、ビジネスに特化したソーシャル ネットワーキング サイト LinkedIn で採用担当者を装いました。 ＤＭＭビットコインの仮想通貨ウォレットシステムを運営するＧｉｎｃｏ（東京）の社員に連絡した。

The attackers sent messages with URLs, attempting to entice the employee to click the link. When clicked, the link infected the employee’s computer with a virus.

攻撃者は URL を含むメッセージを送信し、従業員にリンクをクリックさせようとしました。このリンクをクリックすると、従業員のコンピュータがウイルスに感染しました。

After mid-May, the attackers used the employee’s credentials to gain unauthorized access to the Ginco system. They were able to modify the system, altering both the amounts and destinations of cryptocurrency transfers, which resulted in the theft.

5 月中旬以降、攻撃者は従業員の資格情報を使用して、Ginco システムに不正にアクセスしました。彼らはシステムを改変して、暗号通貨の送金金額と送金先の両方を変更することができ、その結果、盗難が発生しました。

Investigating the Theft

盗難の捜査

The stolen funds were eventually transferred to digital wallets controlled by TraderTraitor. Investigations confirmed that the accounts used to contact the employee and the connections for the malicious program were both managed by TraderTraitor.

盗まれた資金は最終的にTraderTraitorが管理するデジタルウォレットに送金されました。調査の結果、従業員への連絡に使用されたアカウントと悪意のあるプログラムへの接続は両方とも TraderTraitor によって管理されていたことが確認されました。

In response, the NPA, together with the National Center of Incident Readiness and Strategy for Cybersecurity, issued a public attribution statement directly naming North Korea and TraderTraitor and condemning both entities. The NPA also issued a warning, highlighting the rise in cryptocurrency thefts attributed to North Korea.

これに応じて、NPAは国家サイバーセキュリティ事件対応戦略センターと共同で、北朝鮮とTraderTraitorを直接名指しし、両団体を非難する公開声明を発表した。警察庁も北朝鮮による仮想通貨盗難の増加を強調し、警告を発した。

Following the breach, DMM Bitcoin raised ¥55 billion with support from group companies to guarantee the full amount of the stolen funds to users. However, the company announced its closure on December 2 due to continuing restrictions on services.

流出後、DMM Bitcoinはグループ企業の支援を受けて550億円を調達し、流出した資金の全額をユーザーに保証した。しかし、同社はサービス制限が続いているため、12月2日に閉鎖を発表した。

Naming the Culprits

犯人の名指し

Public attribution is an effort to publicly name countries or organizations suspected of involvement in cyberattacks. It aims to prevent further damage and deter future attacks. The United States was the first to carry out public attribution in 2014. Japan has done so previously in cases involving China and North Korea. This case was Japan’s eighth instance.

公開帰属とは、サイバー攻撃への関与が疑われる国や組織の名前を公開する取り組みです。さらなる被害を防ぎ、将来の攻撃を抑止することを目的としています。米国は2014年に初めて公的帰属を実施した。日本はこれまでに中国と北朝鮮が関係する事件でも実施してきた。この訴訟は日本で８件目の訴訟となった。