北朝鮮の暗号資産ハッカーが偽のラップトップによってライブで捕まった

北朝鮮の工作員が、セキュリティ研究者が仕掛けた「開発者のラップトップ」に誘い込まれた後、生中継でカメラに捉えられました。この映像は、ラザルス関連の一団が正規のAI採用ツールとクラウドサービスを使用して、米国の暗号資産求人パイプラインに溶け込もうとする様子を捉えています。

この国家支援サイバー犯罪の進化は、BCA LTD、NorthScan、およびマルウェア分析プラットフォームANY.RUNの研究者によってリアルタイムで捉えられたと報告されています。

北朝鮮の攻撃者を捕捉

Hacker Newsは、協調的な囮作戦において、チームが「ハニーポット」（正規の開発者のラップトップを装った監視環境）を展開し、ラザルスグループを誘い込んだ方法を共有しました。

その結果得られた映像は、北朝鮮の部隊、特にFamous Chollima部門が、単にターゲットの人事部門に雇用されることで従来のファイアウォールをバイパスする方法について、業界に最も明確な視点を提供しています。

この作戦は、研究者が開発者のペルソナを作成し、「Aaron」として知られるリクルーターのエイリアスからの面接依頼を受け入れたときに始まりました。標準的なマルウェアペイロードを展開する代わりに、リクルーターはターゲットをWeb3セクターで一般的なリモート雇用の取り決めに誘導しました。

研究者が「ラップトップ」へのアクセスを許可したとき（実際には米国ベースのワークステーションを模倣するように設計された厳重に監視された仮想マシン）、工作員はコードの脆弱性を悪用しようとはしませんでした。

代わりに、彼らは一見模範的な従業員としての存在感を確立することに焦点を当てました。

信頼の構築

制御された環境内に入ると、工作員は侵入するよりも溶け込むことに最適化されたワークフローを実証しました。

彼らは、Simplify CopilotやAiApplyなどの正規の求人自動化ソフトウェアを利用して、洗練された面接回答を生成し、大規模に申請フォームに入力しました。

この西洋の生産性ツールの使用は、国家アクターが企業の採用を効率化するために設計されたまさにAI技術を活用して、それらを打ち負かそうとしていることを示す、不穏なエスカレーションを浮き彫りにしています。

調査により、攻撃者はAstrill VPNを通じてトラフィックをルーティングして自分の位置を隠し、盗まれたIDに関連する2段階認証コードを処理するためにブラウザベースのサービスを使用していたことが明らかになりました。

最終目標は即時の破壊ではなく、長期的なアクセスでした。工作員はPowerShellを介してGoogle Remote Desktopを固定PINで構成し、ホストが権限を取り消そうとしても、マシンの制御を維持できるようにしました。

そのため、彼らのコマンドは管理的なもので、ハードウェアを検証するためのシステム診断を実行していました。

本質的に、彼らはウォレットに即座に侵入しようとはしていませんでした。

代わりに、北朝鮮人は信頼される内部関係者として自分たちを確立し、内部リポジトリやクラウドダッシュボードにアクセスするための位置づけを行っていました。

数十億ドルの収益源

この事件は、雇用詐欺を制裁対象の政権の主要な収益源に変えた、より大きな産業複合体の一部です。

多国間制裁監視チームは最近、平壌関連のグループが2024年から2025年9月の間に約28億3000万ドルのデジタル資産を盗んだと推定しています。

この数字は北朝鮮の外貨収入のおよそ3分の1を占め、サイバー窃盗が主権的な経済戦略になっていることを示唆しています。

この「人間層」攻撃ベクトルの有効性は、2025年2月のBybit取引所の侵害中に壊滅的に証明されました。

その事件では、TraderTraitorグループに起因する攻撃者が、侵害された内部認証情報を使用して外部送金を内部資産移動として偽装し、最終的にコールドウォレットスマートコントラクトの制御権を獲得しました。

コンプライアンスの危機

ソーシャルエンジニアリングへのシフトは、デジタル資産業界に深刻な責任危機をもたらします。

今年初め、HuntressやSilent Pushなどのセキュリティ企業は、BlockNovasやSoftGlideを含むフロント企業のネットワークを文書化しました。これらの企業は有効な米国企業登録と信頼できるLinkedInプロフィールを持っています。

これらの組織は、技術評価を装って開発者に悪意のあるスクリプトをインストールさせることに成功しています。

コンプライアンス責任者や最高情報セキュリティ責任者にとって、課題は変異しています。従来の本人確認(KYC)プロトコルはクライアントに焦点を当てていますが、ラザルスのワークフローは厳格な「従業員を知る」基準を必要とします。

司法省はすでに取り締まりを開始し、これらのITスキームに関連する774万ドルを押収していますが、検出の遅れは依然として高いままです。

BCA LTDの囮作戦が示すように、これらの行為者を捕まえる唯一の方法は、受動的な防御から積極的な欺瞞へとシフトし、脅威アクターが財務へのアクセス権を与えられる前に、彼らの手法を明らかにするよう強制する制御された環境を作ることかもしれません。