北朝鮮のハッカーが2024年5月にDMM Bitcoinから3億800万ドルのビットコインを盗んだと政府機関が発表

日本と米国の当局はこれまで、2024年5月に仮想通貨会社DMM Bitcoinから3億800万ドル相当の仮想通貨が盗まれたのは北朝鮮のサイバー攻撃者の仕業だとしていた。

Japanese and U.S. authorities have formally linked the theft of cryptocurrency to the tune of $308 million from cryptocurrency company DMM Bitcoin in May 2024 to North Korean cyber actors.

日本と米国の当局は、2024年5月に仮想通貨会社DMM Bitcoinから3億800万ドルが盗まれた仮想通貨の盗難事件と、北朝鮮のサイバー攻撃者によるものとを正式に関連付けた。

"The theft is connected to TraderTraitor threat activity, also known as Jade Sleet, UNC4899, and Slow Pisces," the agencies stated. "Multiple employees of the same company at once are frequently targeted by TraderTraitor activity with the use of social engineering."

「この盗難は、Jade Sleet、UNC4899、Slow Piscesとしても知られるTraderTraitorの脅威活動に関連している」と当局は述べた。 「同じ会社の複数の従業員が、ソーシャル エンジニアリングを使用した TraderTraitor 活動の標的になることがよくあります。」

The Federal Bureau of Investigation, the Department of Defense Cyber Crime Center, and the National Police Agency of Japan are credited with issuing the warning. It's interesting to note that DMM Bitcoin stopped operating earlier this month.

連邦捜査局、国防総省サイバー犯罪センター、日本の警察庁が警告を発したとされている。興味深いのは、DMM Bitcoin が今月初めに運営を停止したことです。

TraderTraitor is a group of persistent threat activities connected to North Korea that has targeted Web3 businesses in the past, luring victims into downloading cryptocurrency apps that contain malware and ultimately enabling theft. It has been active since at least 2020 and is known for its activities.

TraderTraitor は、北朝鮮に関連する持続的な脅威活動のグループで、過去に Web3 ビジネスをターゲットにし、被害者を誘導してマルウェアを含む暗号通貨アプリをダウンロードさせ、最終的には盗難を可能にしました。少なくとも2020年から活動しており、その活動で知られています。

The hacking team has carried out a number of attacks in recent years that make use of social engineering campaigns centered on employment or reaching out to potential targets under the guise of working together on a GitHub project, which then results in the deployment of malicious npm packages.

ハッキング チームは近年、雇用を中心としたソーシャル エンジニアリング キャンペーンを利用したり、GitHub プロジェクトでの共同作業を装って潜在的なターゲットに連絡したりする多数の攻撃を実行しており、その結果、悪意のある npm パッケージが展開されています。 。

The group is perhaps best known, though, for its penetration and unauthorized access to JumpCloud's systems last year in order to target a select group of downstream customers.

しかし、このグループはおそらく、昨年、下流顧客の選ばれたグループを標的として、JumpCloud システムに侵入し、不正アクセスを行ったことで最もよく知られている。

The FBI documented an attack chain in which the threat actors contacted an employee at Ginco, a software company for cryptocurrency wallets based in Japan, in March 2024, posing as a recruiter and providing them with a URL to a malicious Python script hosted on GitHub as part of a supposed pre-employment test.

FBI は、2024 年 3 月に、脅威アクターが日本に本拠を置く仮想通貨ウォレットのソフトウェア会社、Ginco の従業員に連絡し、採用担当者を装い、GitHub でホストされている悪意のある Python スクリプトへの URL を提供した一連の攻撃を文書化しました。想定される雇用前テストの一部。

The victim, who had access to Ginco's wallet management system, copied the Python code to their personal GitHub page, which ultimately resulted in their compromise.

被害者は、Ginco のウォレット管理システムにアクセスでき、Python コードを個人の GitHub ページにコピーし、最終的に侵害につながりました。

The adversary proceeded to the next stage of the attack in mid-May 2024, exploiting session cookie information to impersonate the compromised employee and successfully gaining access to Ginco's unencrypted communications system.

攻撃者は 2024 年 5 月中旬に攻撃の次の段階に進み、セッション Cookie 情報を悪用して侵害された従業員になりすまして、Ginco の暗号化されていない通信システムへのアクセスを取得することに成功しました。

"In late-May 2024, the actors likely used this access to manipulate a legitimate transaction request by a DMM employee, resulting in the loss of 4,502.9 BTC, valued at $308 million at the time of the attack," the agencies said. "The stolen funds ultimately moved to TraderTraitor-controlled wallets."

「2024年5月下旬、攻撃者らはこのアクセスを利用してDMM従業員による正当な取引リクエストを操作した可能性が高く、その結果、攻撃当時3億800万ドルに相当する4,502.9BTCが損失した」と当局は述べた。 「盗まれた資金は最終的にTraderTraitorが管理するウォレットに移動しました。」

The disclosure follows Chainalysis's assertion that North Korean threat actors were responsible for hacking DMM Bitcoin, with the attackers targeting infrastructure vulnerabilities to make unauthorized withdrawals.

この開示は、北朝鮮の脅威アクターがDMM Bitcoinのハッキングに関与しており、攻撃者はインフラストラクチャの脆弱性を狙って不正出金を行っているというチェイナリシスの主張に続くものである。

"The attacker moved millions of dollars' worth of crypto from DMM Bitcoin to several intermediary addresses before eventually reaching a Bitcoin CoinJoin Mixing Service," the blockchain intelligence firm said.

「攻撃者は数百万ドル相当の暗号通貨をDMM Bitcoinからいくつかの中間アドレスに移動させ、最終的にBitcoin CoinJoin Mixing Serviceに到達した」とブロックチェーン情報会社は述べた。

"After successfully mixing the stolen funds using the Bitcoin CoinJoin Mixing Service, the attackers moved a portion of the funds through a number of bridging services, and finally to HuiOne Guarantee, an online marketplace tied to the Cambodian conglomerate, HuiOne Group, which was previously exposed as a significant player in facilitating cybercrimes."

「ビットコイン CoinJoin ミキシング サービスを使用して盗んだ資金を混合することに成功した後、攻撃者は資金の一部を多数のブリッジ サービスを通じて移動させ、最終的にはカンボジアの複合企業である HuiOne Group と提携したオンライン マーケットプレイスである HuiOne ギャランティに移動させました。サイバー犯罪を促進する重要な役割を果たしていることが暴露されました。」

The development also occurs as the AhnLab Security Intelligence Center (ASEC) has disclosed that Andariel, a North Korean threat actor operating within the Lazarus Group, is deploying the SmallTiger backdoor in attacks targeting South Korean asset management and document centralization solutions.

この開発は、Lazarus Group 内で活動する北朝鮮の脅威アクターである Andariel が、韓国の資産管理および文書一元化ソリューションを標的とした攻撃に SmallTiger バックドアを導入していることを AhnLab セキュリティ インテリジェンス センター (ASEC) が明らかにしたことと同時に発生しました。