北朝鮮が持っていった上半期のコインハッキング被害の3分の2 — 二つの集計を混ぜずに読む

訂正(2026-09-11): ① 調査機関2社(TRM Labs・Blockaid)の集計が本文のリストでまた混ざっていたので直しました(秘密鍵の窃取7億8900万ドル・74%は、TRMではなくBlockaid側の数字です)。② 4月の2件をラザルスとその下部組織トレーダートレイターがやったとまとめて書いた文を削りました。TRMはドリフトの攻撃者をトレーダートレイターとは別の北朝鮮の組織とみており、どの組織かはまだ調査中だと述べています。③ TRMの76%(4月30日の資料)と66%(7月1日の資料)の差を、期間の違いだけで説明していた部分を直しました。7月の資料は、同じ4月時点を71%と書き直しています。④ 引用した資料の中に見つけられなかった累計67億5000万ドルと、2025年の年間20億ドル台という推計を削り、米財務省の発表文を出典に加えました。⑤ 「取引所のセキュリティが強くなったので攻撃がDeFiへ移った」という説明は、引用したTRMの資料と向きが逆なので削りました。コールドウォレットの比率でサービスを選べという助言も、比べられる公開資料がないので削りました。⑥ 2026-09-11の追加訂正: TRMの2025年の数字2つを本文に並べて書きました。2025年12月の資料は1年分を15億ドル以上という下限だけで示し、2026年7月の資料は2025年の上半期だけで約17億ドルと書いています。この2つは互いに間違っているわけではありませんが、つなげて読んではいけません。⑦ TRMが勧めた項目を原文どおり三つに減らしました(ハードウェアによる署名、鍵の管理、大きな金額の送金での複数人による承認)。前の版にあった「資産の保管体制」は原文にありません。⑧ 2025年の被害額の書き方を原文どおり、27億ドルを超え、北朝鮮の取り分は半分をはるかに超えるに戻しました。初回公開日(2026-08-02)は維持します。

「北朝鮮が上半期のハッキング被害の3分の2を持っていった」という文をよく見かける。では、この値はどの機関が、何で割って計算したものなのか。集計の違う2社の数字を、混ぜずに並べて見る。

何が起きたのか

• 4月1日、ソラナを基盤とする分散型の先物取引所ドリフト(Drift)から、約2億8500万ドル相当の暗号資産が流出した。
• 4月18日、イーサリアムを基盤とするプロトコル、ケルプDAO(KelpDAO)からさらに約2億9200万ドルが盗まれた。
• 2件を足すと5億7700万ドルだ。TRM Labsが推定した北朝鮮の取り分6億4300万ドルの約90%にあたる。小さなハッキングが多かったからではなく、大きな攻撃の数件に集中した構造だ、という意味である。
• TRM Labsは、インフラ・運用の侵害が窃取された金額全体の約76%を占めたと明らかにした。件数で見ると約15%にすぎない。インフラ・運用の侵害とは、コードの穴ではなく、秘密鍵(財布を開ける合言葉のような鍵)やアカウントのように、人とシステムのアクセス経路をねらうやり方だ。件数は少なくても、1件あたりの被害がはるかに大きいという意味である。

2件の背後を一つにまとめて書くことはできない。TRM Labsは4月30日の資料で、2件とも北朝鮮とつながっているとみた。ただしドリフトの攻撃者はトレーダートレイター(TraderTraitor)とは別の北朝鮮の組織と評価し、どの組織かはまだ調査中だと書いた。ケルプDAOの方は、盗んだあとにお金を洗う手口がトレーダートレイターがいつも使ってきた手口と似ていると説明した。ラザルス(Lazarus)は、米財務省が2019年9月に制裁の対象に指定した際、北朝鮮の偵察総局とつながる組織だと明らかにした名前だ。しかし2026年4月の2件をラザルスがやったと特定した資料は、この記事では確認できなかった。北朝鮮は、こうした分析を公に否定してきた。この記事は、誰がやったのかを直接検証していない。調査機関がそう評価した、という事実を伝えるだけだ。裁判所が確定させた判断とは違う。

同じ期間、違う二つの集計 — 混ぜると生じる誤り

この件を扱った韓国内の報道でいちばんよく出てくる誤りがある。TRM Labsの総額にBlockaidの比率をくっつけることだ。二つの機関は集計した件数も金額も違うので、割るもとになる基準も違う。

比率から分母を逆に計算してみると

読者が自分で試せる検算がある。VOAが伝えたBlockaidの数字では、秘密鍵の窃取は7億8900万ドルで、その比重は74%だ。7億8900万ドルを0.74で割ると約10億7000万ドルになる。同じ記事の「約11億ドル」と、四捨五入の範囲で合う。一方、同じ7億8900万ドルをTRMの9億7200万ドルで割ると約81%になり、74%と合わない。比率と総額が互いに合わないなら、その二つは別の集計から来た数字だ。

同じ理由で、TRMの資料の中でも何月の資料かを見なければならない。さきほど見た76%は、侵害のやり方ごとの取り分だった。いま話している76%は北朝鮮の取り分なので、互いに違う数字だ。TRMが4月30日に出した「北朝鮮が2026年のハッキング被害額の76%をわずか2件で持っていった」という資料は、2026年1月1日〜4月30日の累計を基準に割った値である。ところが7月1日の上半期の資料は、同じ4月時点を振り返って「4月まで71%」と書き直した。つまり76%(4月末)と66%(6月末)の差は、期間だけでは説明できない。その間にTRMが内部の集計を直した可能性も入っている。76%が71%に変わった理由を明らかにした説明は、この記事では見つけられなかった。同じ機関の数字でも、発表の回が違えばそのままつなげることはできない、という意味だ。

なぜこのお金が重要なのか

米財務省は2022年5月6日、暗号資産のミキサー(お金の流れをかき混ぜて追跡を難しくするサービス)への制裁を発表した際、こう記した。「強力な米国・国連の制裁の圧力の中で、北朝鮮は、暗号資産の取引所や金融機関をねらったサイバー窃取を含む違法な活動に頼り、違法な大量破壊兵器(WMD)・弾道ミサイル計画の資金を調達してきた」。調査機関も同じ方向で見ている。制裁で正規の外貨稼ぎがふさがれた状況で、ハッキングが迂回の資金源の役割を果たしている、というものだ。

規模の流れはこうだ。TRM Labsは2025年12月18日の資料で、その年の世界のハッキング被害が27億ドルを超え、そのうち半分をはるかに超える取り分を北朝鮮が持っていったとみた。この資料が出た日までの集計である。1年が終わったあとに確定させた数字ではない。同じ資料は、2025年の1年だけで15億ドル以上を北朝鮮とつながる活動として指摘した。2026年上半期の6億4300万ドルは、これより小さい。ただし半年分なので、1年分と同じ場所に置いて比べることはできない。前の版にあった累計67億5000万ドルと2025年の年間20億ドル台という推計は、引用したTRMのページに見つけられなかったので削った。

ここで押さえておくことが一つある。TRMの2026年上半期の報告書は、2025年の上半期だけで約17億ドルと書いた。ところが2025年12月の資料は、その年の全体を15億ドル以上とだけ書いている。「以上」は下限なので、二つの値が互いに間違っていると言うことはできない。ただし12月の資料だけを見ると、1年の規模を実際より小さく読みやすい。だからこの二つの値をつなげて、年間の流れとして読んではいけない。さきほど76%と66%を扱うときに使った規則が、ここにもそのまま当てはまる。

参考までに、よく引用される「2023年29.7%(3億4040万ドル)」は、2023年第3四半期までに積み上がった値だ。1年分の確定した数字と同じ行に並べてトレンドの線を引くと、実際より小さく見えてしまう。

韓国も例外ではない。国内最大の取引所アップビット(Upbit)は2019年、34万2000ETH(当時約580億ウォン)を奪われた。2025年11月27日にも、約445億ウォン相当の暗号資産が外部へ流出する攻撃を受けた。科学技術情報通信部の関係者は「6年前と同じ日に同じやり方でハッキングされたのは、同じ北朝鮮の組織の仕業である可能性が大きい」と述べた。これは政府とセキュリティ業界の推定だ。裁判所が確定させた判断ではない。

数字で見る — 金額は減ったが

金額が減った理由は、攻撃の件数が減ったからではない。2026年上半期の件数は207件だった。TRMはその差の理由を「エコシステムの残りの部分で、2025年より大型の窃取が少なかった」ことに求めている。続けて「窃取された金額が減ったからといって、より安全になった環境と誤解してはならない」と念を押した。つまり総額が減ったことは、脅威が減ったという意味ではない。大きな事件があったかなかったかで変わる値である。

争点 — 脅威は減ったのか、より精密になったのか

セキュリティ業界は、金額が減ったことを脅威が減ったと読んではならないと強調する。根拠は、さきほど見た構造だ。インフラ・運用の侵害は件数では15%にすぎなかったが、金額の76%をつくった。コードの穴を探すやり方よりも、鍵の管理と人をねらうやり方の方がはるかに大きな被害を生む、という意味である。

反対に、金額が減ったことを制裁とセキュリティ強化の成果と見る見方もある。ただし前の版が根拠に挙げた「取引所のセキュリティが強くなったので、攻撃がDeFi(仲介する会社なしにプログラムで動く金融サービス)へ移った」という説明は、引用したTRMの資料と向きが逆なので削った。TRMは2025年12月の資料で、北朝鮮の標的がブリッジ(異なるブロックチェーンをつなぐ橋の役割をするサービス)から、人をだます手口に弱い中央集権型のサービスの方へ移ったとみた。中央集権型のサービスは、ブリッジ一つよりはるかに大きな被害を出しうる点を理由に挙げた。結局、いま公開されている資料だけでは、金額が減った主な理由を見分けることはできない。北朝鮮がこうした分析そのものを否定している点も、あわせて見る必要がある。

これから — 何を見ておくべきか

三つを見ておく価値がある。第一に、標的がブリッジから中央集権型のサービスへ移ったというTRMの観察(2025年12月)が続くかどうかだ。第二に、インフラ・運用の侵害の比重が高いまま保たれるかどうかだ。そうであれば、守りの焦点はコードの点検よりも、鍵の管理と、内部の人をねらうだましへの対応に移らなければならない。第三に、下半期の集計で、とても大きな単一の事件がまた出てくるかどうかだ。

個人の利用者が、この統計だけで「どのサービスがより安全か」を選ぶのは難しい。取引所ごとのコールドウォレット(インターネットから切り離しておく財布)の比率を比べられる公開資料がないからだ。TRMが上半期の報告書で勧めたのは三つだ。ハードウェアで行う署名、しっかりした鍵の管理、そして大きな金額を動かすときに複数の人がそろって承認することである。コードの点検よりも、実際にお金を守る統制に重きを置け、という意味だ。これは個人が選べる項目ではなく、サービスが備えるべき項目である。この記事は、特定のサービスや資産についての投資判断を勧めるものではない。

この記事が確認できなかったこと

• Blockaidの原文の報告書 — 55%・74%という数字は、VOAの報道を通じて確認した。Blockaidが直接出した報告書の原文は開けなかった。総額が「約11億ドル」なのか10億7000万ドル台なのかも、原文と突き合わせる必要がある。
• TRMが4月時点の比重を直した理由 — 4月30日の資料の76%が、7月1日の資料で71%に変わった理由(集計の修正なのか、割るもとになる基準が変わったのか)を明らかにした説明を見つけられなかった。
• 2025年の1年分の確定した数字 — TRMは「15億ドル以上」という下限だけを明らかにした。ほかの機関が出した20億ドル台の推計は、今回の訂正では機関が直接出した資料で確認できなかったため、本文から削った。
• アップビットの2025年の事件の詳細 — 奪われた資産の種類の数と、移された外部アドレスの数は、今回の検討では機関が直接出した資料で確認できなかったため、本文から削った。
• OFACの制裁に関わる累計の資金洗浄の規模 — 制裁の公告の原文を確認できなかったため、本文から削った。

この記事は、上の「出典」の資料をもとに、nuloqがAIツールの助けを借りてまとめたものです。2026年9月11日の訂正のときに直接開いて読んだ資料は、TRM Labsの2026年7月1日の上半期報告書、2026年4月30日の資料、2025年12月18日の長期トレンドの資料と、米財務省の2022年5月6日の発表文です。Blockaidの原文の報告書は開けなかったため、関連する数字はすべてVOAの報道が伝えた値として書きました。2026年9月11日の追加訂正では、TRMの7月1日の上半期報告書と12月18日の資料をもう一度開き、2025年上半期の約17億ドル、「27億ドルを超え」「半分をはるかに超える」という書き方、勧告の三項目を原文で確認しました。誰がやったのかについての分析は調査機関の判断であり、裁判所が確定させたものではありません。集計の数字は、機関と集計の時点によって変わります。投資判断の根拠ではなく、情報を伝えることが目的であり、誤った内容が確認されれば直します。