北朝鮮、今年上半期の世界の暗号資産ハッキング被害の3分の2を独占

世界で最も効果的な国家背景ハッキング組織は、依然として北朝鮮だ——今年の数字がそれを裏付けている。

何が起きているか

サンフランシスコを拠点とするブロックチェーン分析会社TRMラボの報告書によると、北朝鮮系ハッカーは2026年上半期に世界で発生した暗号資産ハッキング被害額(約11億ドル)のうち6億4300万ドルを奪った。割合は55~66%、最初の4カ月だけに絞れば76%まで上がるとの分析もある。

• 4月1日、ソラナ基盤の分散型先物取引所ドリフト(Drift)から2億8500万ドル相当が流出した。
• 同月末、イーサリアム基盤の担保融資プロトコル、ケルプDAO(KelpDAO)からさらに2億9200万ドルが盗まれた。
• この2件だけで北朝鮮の取り分6億4300万ドルの約9割を占める——多数の小規模攻撃ではなく、少数の大型攻撃に集中する構造だ。
• 全体の被害を見ると、コードの脆弱性ではなく秘密鍵窃取が7億8900万ドル(全体の74%)を占め、鍵管理や従業員を狙うソーシャルエンジニアリング攻撃が主力になっている。

攻撃の背後には、北朝鮮偵察総局傘下とされるハッキング組織ラザルス(Lazarus)とその下部組織トレーダートレイター(TraderTraitor)がいるとされる。北朝鮮はTRMラボによるこの帰属分析を公式に否定している。

なぜこの資金が重要なのか——背景

TRMラボや米財務省は、北朝鮮が盗んだ暗号資産のかなりの部分が核・ミサイル計画の資金に充てられていると評価してきた。国際制裁により正規の外貨調達が阻まれる中、暗号資産のハッキングが事実上の迂回資金源になっているというのだ。米財務省の外国資産管理局(OFAC)は昨年、北朝鮮のサイバー資金洗浄ネットワークに関わる個人・団体を制裁対象に指定し、これらがハッキングと海外IT人材派遣を通じて30億ドル以上を洗浄したとみている。

推移を見るとこうなる。TRMラボの集計では、北朝鮮は2016年以降、累計67億5000万ドル相当のデジタル資産を盗んだ。2023年第3四半期までは世界の被害額の29.7%(3億4040万ドル)だったが、2025年には世界の被害額20億6000万ドルの約60%まで比重が拡大した。特に2025年2月、取引所バイビット(Bybit)で起きた約15億ドル規模のハッキングは、業界史上最大の単一ハッキング事件として記録されている。

韓国も例外ではない。国内最大の取引所アップビット(Upbit)は2019年、580億ウォン相当のイーサリアムをラザルスに奪われ、2025年11月27日にはソラナなど24種の暗号資産445億ウォン相当が165の外部アドレスに流出する攻撃を再び受けた。いずれも政府とセキュリティ業界はラザルスを背後と見ている。

数字で見る

2026年上半期の被害額だけを見ると、前年同期より減っている。

減少の主因は攻撃件数そのものの減少ではなく、2025年のバイビット15億ドルのような突出した単発事件がなかったことにあるとの分析が多い。一方、世界の被害額に占める北朝鮮の比重は依然として圧倒的だ。

争点——脅威は減ったのか、精密化したのか

TRMラボをはじめとするセキュリティ業界は、金額の減少を「脅威が減った兆候と読むべきではない」と強調する。むしろ攻撃の精密度が上がった根拠は複数ある。被害の74%がコードの欠陥ではなく秘密鍵窃取・ソーシャルエンジニアリングから生じ、ドリフトやケルプDAOへの攻撃のように偵察段階でAIツールを活用した形跡も見つかっている。無差別に複数の標的を叩いていたかつての手法から、少数の標的を精密に狙う手法へと進化したとの評価だ。

反対に、金額の減少を制裁やセキュリティ強化の成果と見る向きもある。取引所がコールドウォレットの比率を高め、マルチシグ体制を導入したことで大手取引所への直接侵入が以前より難しくなり、その結果、比較的セキュリティの弱いDeFiプロトコルへと標的が移ったというのだ。北朝鮮がTRMラボの帰属分析そのものを否定していることから、国際社会の対応が正確な脅威評価に基づいているかをめぐる論争も続いている。

今後——何を見ておくべきか

注目点は3つある。第一に、標的が中央集権型取引所からDeFiへ、さらにどこへ移るのか——セキュリティが相対的に手薄な新領域が次の標的になる可能性が高い。第二に、偵察・ソーシャルエンジニアリングの段階でAI活用が実際にどれだけ増えているか——これは検知・防御戦略そのものを見直すべき兆候だ。第三に、米国などの追加制裁と国際協調が実際の窃取・資金洗浄規模をどれだけ縮小させるかだ。

韓国の立場では、アップビットが2度も標的になったという事実自体が警告だ。国内取引所・DeFiサービスの利用者は、多要素認証とコールドウォレット保管比率の高いサービスを優先し、大口の入出金時には取引所の異常取引通知に注意する必要がある。政府・業界レベルでは、秘密鍵管理と内部者を狙うソーシャルエンジニアリングへの対応が次の防衛線の核心になるとみられる。

本稿は上記「出典」に掲載されたTRMラボの報告書と国内外の公開報道をもとに、nuloqが独自に分析・作成したものであり、AIツールの助けを借りて執筆しました。特定の投資判断の根拠ではなく情報提供を目的としており、数値は調査機関・集計時点によって異なる場合があります。誤りが確認された場合は訂正します。