ソウル市警察がChainalysisの支援により390億ウォンの暗号資産犯罪組織を解体

要点 パンデミック初期に台頭した中国語話者向けマネーロンダリングネットワーク（Chinese Money Laundering Network: CMLN）は、現在では既知の暗号資産マネーロンダリングの中心的な担い手となっており、過去5年間に不正な暗号資産資金のおよそ20％を処理したと推計されます。このCMLNへの流入の伸びは、2020年以降の中央集権型取引所への不正流入の伸びと比べて7,325倍のスピードです。 CMLNは2025年に161億ドルを処理しており、1,799以上のアクティブウォレットで1日あたり約4,400万ドルに相当します。 Chainalysisは、CMLNエコシステムの中に6種類の明確に異なるサービス形態が存在し、それぞれに固有のオンチェーン上の行動パターンがあることを特定しました。Black Uやギャンブル系サービスは、大口トランザクションを複数の少額に分割して検知を回避する一方、相対取引型（Over-the-Counter、OTC）サービスは少額トランザクションをまとめて大口に集約し、資金を統合します。 HuioneやXinbiのような担保プラットフォームは、マネーロンダリング業者が集まるハブとして機能しますが、基盤となる取引活動自体を管理しているわけではないため、本分析の集計指標には含めていません。法執行機関による取締りは一定の打撃を与えてきたものの、業者は別のチャネルへと移動するだけであることが多く、洗浄オペレーター本人を直接的に狙う必要性が浮き彫りになっています。 The Chainalysis 2026 Crypto Crime Report Reserve your copy 不正なオンチェーンのマネーロンダリングエコシステムは、ここ数年で劇的に拡大しており、2020年の100億ドルから2025年には820億ドル超へと増加しました。[1] この大幅な総額の伸びは、暗号資産へのアクセス性と流動性の高まりに加え、マネーロンダリングがどのような手口で、誰によって行われているかという点で、構造的な変化が起きていることを反映しています。 下のチャートが示すとおり、中国語話者向けマネーロンダリングネットワーク（CMLN）は、既知の不正なマネーロンダリング活動に占める割合を2025年には約20％まで高めています。この地域的な結び付きは、当社が観測するオフランプ（暗号資産から法定通貨などへの出口）のパターンからも裏付けられます。例えば、本レポートの詐欺に関する章で述べたように、CLMNは現在、pig butchering（ロマンス詐欺）スキームで盗まれた資金の1割超を継続的に洗浄するまでに拡大しており、同時に中央集権型取引所の利用が一貫して減少しています。これは、取引所が資金を凍結できることが一因と考えられます。 他のマネーロンダリング先と比較すると、2020年以降、特定されたCMLNへの流入額の増加ペースは、中央集権型取引所への流入に比べて7,325倍、分散型金融（DeFi）への流入に比べて1,810倍、不正アクター同士のオンチェーン上の資金移転に比べて2,190倍となっています。CMLNだけがオンチェーンマネーロンダリングを支える存在というわけではありませんが、中国語話者向けのTelegramベースサービスは、属性が明らかになっている世界全体のオンチェーンマネーロンダリングのなかで、非常に大きな比率を占めるようになっています。その結果、オンチェーン・オフチェーンを問わず、幅広い犯罪活動から生じた資金がこうしたサービスを通じて処理されています。 ここ数カ月の制裁指定や勧告を含むマネーロンダリング支援ネットワークへの一連の法執行措置により、世界中の被害者に影響を与える国家安全保障上の脅威が改めて明らかになりました。これには、米国財務省のOffice of Foreign Assets Control（OFAC）および英国HM Treasury傘下のOffice of Financial Sanctions Implementation（OFSI）によるPrince Groupの制裁指定、Financial Crimes Enforcement Network（FinCEN）がHuione Groupを主要なマネーロンダリング懸念先と指定した最終規則、さらにFinCENによる中国系マネーロンダリングネットワークに関する勧告などが含まれます。 こうした主要なマネーロンダリング媒介者は、近ごろ正当な形でより多くの注目を集めていますが、本章では初めて、これら大規模な地下マネーロンダリングネットワークが暗号資産をどのように利用しているかを詳しく分析し、そのエコシステムの規模を明らかにします。これらのマネーロンダリングネットワークは複数のプラットフォーム上で公然と活動しており、大量処理が可能な産業レベルの処理能力、高い業務継続性、そして高度な技術力を備えた複雑かつ多層的なオペレーションを展開しています。 161億ドル規模に達したCMLN 当社は、CMLNエコシステムを構成するサービスとして6つの明確に異なるタイプを特定しており、次のセクションでそれぞれを詳しく見ていきます。これらのサービス全体で、2025年にCMLNへ流入した資金は161億ドルに達しました。数年前まではごく一部の主体に限られていたこれらのネットワークは急拡大しており、2025年には1,799を超えるアクティブなオンチェーンウォレットが確認されています。 これらのオペレーションがスケールするスピードも、同様に大きな懸念材料です。各サービス種別について、そのカテゴリーで最初に資金を受け取ったアドレスを起点とし、累計で10億ドルを処理するまでに要した期間を比較すると、驚くほど短い立ち上がり時間と、サービスごとの顕著な違いが浮かび上がります。Black Uサービスはわずか236日でこの水準に到達した一方で、working level brokerは843日、OTCサービスは1,136日を要しました。cash mule（1,277日）やmoney motion service（1,790日）は相対的にペースが遅く、playing insiderサービスは、まだ10億ドルの閾値には達していません。全体として、CMLNエコシステムは2025年時点で1日あたり約4,400万ドルを処理している計算になります。 こうしたネットワークが短期間で急拡大している事実は、オフチェーンの犯罪ネットワークと強く結び付いていることを示しています。これほど大きな成長は、多額の資金プールが動員されない限り実現し得ないからです。また、オンチェーンとオフチェーンの両方にまたがる高度なオペレーション基盤が存在することも明らかになります。このエコシステムの中心には、CMLNの活動を支える要となっている中央集権型マーケットプレイスであるGuarantee platformが位置しています。 Centre for Finance…

※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 これまでのフィッシングは、偽メールの作りが粗く、誤字の目立つ偽ドメインも多く、被害が一部にとどまることが少なくありませんでした。 ところが、PhaaS（Phishing-as-a-Service：フィッシング アズ ア サービス）の登場で状況が一変しました。少額の利用料で既製のフィッシングキットを使い、本物そっくりの Microsoft 365 ログインページを用意し、短時間で認証情報の窃取に着手できます。高度な技術がなくても実行できる点が、拡大の要因になっています。 RaccoonO365 は、その典型例です。2024年7月以降、このキットにより少なくとも94か国で5,000件の Microsoft 資格情報が窃取されました。医療機関も標的となり、悪用されれば患者の安全や診療に悪影響が及ぶおそれがあります。運営は Telegram を通じて行われ、メンバーは800人超、受け取った暗号資産は少なくとも10万米ドルと報告されています。 先月、Microsoft はHealth-ISAC、Cloudflare、などのパートナーと連携し、RaccoonO365 に関係する338件のドメインを民事手続に基づき差し押さえるなど、法的・技術的な措置を講じました。これにより、攻撃者側の主要インフラに打撃を与えることができました。報道ではドメイン差押えとインフラの解体が強調されています。一方で、Chainalysis Reactorを用いた取引追跡が証拠の裏付けに資し、民事による差押えの実行を支えた側面もあります。 ブロックチェーン上の支払い記録 フィッシングキットを購入すると、ブロックチェーン上に取引記録が残ります。これらの記録は、運営者の活動拡大を評価する際の指標の一つとなり得ます。 Microsoft の Digital Crimes Unit（DCU）の捜査官は、フィッシングキットを試験的に購入し、実際の動きの確認を目的とした送信テストを段階的に実施しました。 「あるキットでは、代金支払い後に運営者からチップを求められました」と捜査官は振り返ります。違法な取引でありながら、日常の商取引に似たやり取りが行われている実情がうかがえます。 サービス運営者の一度の誤りが決定的な手がかりに やり取りの途中、相手方は最初に Tron（USDT）のウォレットアドレスを示しましたが、誤りに気づき Ethereum のアドレスを送り直しました。この切り替えにより、両アドレスの関連が見え、特定に向けた重要な手がかりとなりました。 このトランザクションが、RaccoonO365と既知のインフラや特定の利用者との関連を示す突破口となりました。 資金の流れを可視化 本件は、Microsoft の DCU にとって節目となる事案でした。Reactor により、クロスチェーンの資金移動（トランザクション）を法廷提出を想定した時系列で整理し、複雑なスキームも関係者が追いやすい形で可視化できました。 「本件では、暗号資産のトレーシングが不正行為を特定の個人へ結びつける上で極めて重要な役割を果たしました。Chainalysis Reactor のようなツールを活用し、パターンを解明するとともに、攻撃者が犯罪収益を送った取引所を特定しました。」— Maurice Mason, Principal Cybercrime Investigator, Microsoft DCU サービス化するサイバー犯罪（PhaaS) RaccoonO365 は、PhaaS 型のサイバー犯罪の一例です。既製のフィッシングキットが広く流通し、国境を越えて拡大しやすく、専門知識がなくても扱えるよう提供されています。 今回の官民連携では、産業界・政府・技術パートナーが連携し、数千人に被害が及んだ脅威に対して、停止や拡大抑止を狙った対応が進められました。 Microsoft…

※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 北朝鮮（DPRK）のIT労働者は、世界中のIT企業に潜入し収益を得続けています。その収益は暗号資産で受け取られることが多く、北朝鮮の大量破壊兵器や弾道ミサイルの製造資金となっています。過去数年にわたり、米国財務省外国資産管理局（OFAC） や韓国外交部（MOFA）などの規制当局は、これらのスキームを可能にする個人や組織に対し、制裁措置を講じてきました。制裁の指定には、暗号資産のアドレスが識別子として含まれることも多くなっています。 Chainalysisは、北朝鮮IT労働者スキームを対象とした制裁指定への暗号資産アドレスの追加や、この脅威に関するオープンソース情報を綿密に追跡しています。当社は、北朝鮮が暗号資産を活用して収益を生み出し、資金を移動・集約し、メインストリームの取引所で架空アカウントを使ったり、規制されていない可能性の高い相対取引（OTC）業者を活用して収益を洗浄する手口を監視しています。 最近の規制執行には、2025年8月のOFAC制裁が含まれています。これは、北朝鮮のChinyong Information Technology Cooperation Company（Chinyong、別名Jinyong IT Cooperation Company）への支払いを仲介したロシア国籍者を対象としたものです。Chinyongは、2023年5月にOFACおよび韓国外交部によって、海外で北朝鮮IT労働者を雇用したとして制裁を受けています 。 2023年初頭には、OFACがKorea Kwangson Banking Corp（KKBC）の代表であるSim Hyon Sop（Sim）を制裁対象とし、暗号資産アドレスも指定されました。Simは、北朝鮮IT労働者の収益の一部を含む数千万ドルの暗号資産を受け取っています。また、相対取引業者のLu Huaying（Lu、UAE在住中国人）も、北朝鮮政権のためにIT労働者資金の洗浄に関与したとして制裁対象となっています 。 これらの活動は、暗号資産に大きく依存し収益の獲得と洗浄を行う複雑なネットワークを浮き彫りにしています。そのため、法執行機関による摘発の機会も生まれています。米国司法省（DOJ）の最新の差し押さえ命令が示すように、高度なブロックチェーン分析により、IT労働者による不正な資金洗浄ネットワークを検知・撲滅するための独自の洞察と実効的な手段が提供されています。 本ブログでは、北朝鮮IT労働者が収益を得て洗浄するためのネットワーク・仕組み・運営方法について解説します。こうしたネットワークを理解することで、法執行機関や規制当局、民間企業はオンチェーンでのIT労働者活動を検知し、大量破壊兵器（WMD）プログラムへ資金が流れるのを阻止することが可能となります。 暗号資産による収益の獲得 北朝鮮IT労働者は通常、Chinyongなどの仲介業者を通じて海外に派遣され、世界中のIT企業に応募します。彼らは、仮想プライベートネットワーク（VPN） 、偽造・盗難身分証、AI音声・顔認証技術など、さまざまなオブフスケーション（隠蔽）手法を駆使し、居場所や身元を隠します。 雇用後は、安定した価値を持ち、OTC業者に人気の高いステーブルコインでの支払いを求めます。北朝鮮IT労働者の支払い用アドレスに関連するオンチェーン活動を調査すると、これらのウォレットにはほぼ毎月5000ドル程度の定期的な支払いが確認され、給与支払いであることが示唆されています。 ブロックチェーン技術による収益の隠蔽 給与支払い後、北朝鮮IT労働者は複数の資金洗浄手法を用いて暗号資産を移動します。IT労働者や資金洗浄者がオンチェーン上で資金の起点と終点を切断する方法のひとつが、チェーンホッピングやトークンスワップです。分散型取引所（DEX）やブリッジ・プロトコルなどのスマートコントラクトを活用し、資金の追跡を困難にしています 。 下記のChainalysis Reactorグラフでは、分散型プロトコルやブリッジ、一般的な取引所が資金の流れの隠蔽に活用されている様子が分かります。 北朝鮮IT労働者は資金洗浄プロセスを円滑に進め、最終的に北朝鮮へ送金するため、仲介者も活用します。DOJの資金差し押さえ命令によれば、IT労働者の支払い資金は他の犯罪収益や北朝鮮IT労働者の資金と混ぜ合わせ（レイヤリング）、偽の身分証でメインストリーム取引所にアカウントを開設した政権関係者へ送金されます。 北朝鮮の資金洗浄者は偽身分証で取引所アカウントを開設していますが、他国で活動する者は本名で開設するケースも見られます。DOJの命令によれば、Simは偽ロシア身分証を使い、Luは自分の名前とUAEの居住カードでFTX（現在は閉鎖済み）のアカウントを開設しました。 A duplicate of the Russian identification paperwork utilized by Kim to open accounts, as per the DOJ civil forfeiture. 資金差し押さえ命令では、北朝鮮IT労働者の資金がChinyongの代表であるKim Sang…

※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 近年、暗号資産を狙った詐欺はますます個人を標的とする傾向が強まっており、その頻度と被害の深刻さが大きくなっています。こうした詐欺の多くは、高額資産を保有している方や、頻繁に暗号資産トランザクションを行う方をターゲットとしています。 「ロマンス詐欺（Pig Butchering）」や「承認フィッシング（Approval Phishing）」といった大規模な詐欺手法は、既に被害者に莫大な損失をもたらしてきました。 これらに加え、最近では「アドレスポイズニング攻撃（Address Poisoning Attacks）」と呼ばれる新たなタイプの暗号資産詐欺も増加傾向にあります。 これらの新旧さまざまな詐欺手法は、暗号資産ウォレットの保有者に重大な脅威を与えており、一層の警戒が必要とされています。 アドレスポイズニング攻撃とは アドレスポイズニング攻撃は、カスタマイズされたオンチェーンインフラストラクチャを悪用し、被害者から資金を詐取する、特に悪質な暗号資産詐欺手法です。手口はシンプルですが、非常に効果的です。 攻撃者は、まず標的となるユーザーのトランザクションパターンを分析し、頻繁に使用されるアドレスを特定します。 次に、その標的が最も多くやりとりしているアドレスに酷似した暗号資産アドレスを、アルゴリズムを用いて大量に生成し、そっくりのアドレスを作り出します。 攻撃者は生成した偽アドレスから、少額かつ一見無害なトランザクションを標的のウォレットに送信します。この行為によって、被害者のアドレス帳や取引履歴が「汚染」(ポイズニング)されます。 攻撃者の狙いは、被害者が今後送金を行う際に、利便性のためトランザクション履歴から宛先を選択し、誤って似せて作られた偽アドレスに送金してしまうことにあります。 このようなアドレスポイズニング攻撃は、ランサムウェアをはじめとした他のサイバー犯罪と同様、一般的に「プラグアンドプレイ」型として設計されています。ダークネットマーケットではアドレスポイズニングツールキットが簡単に入手でき、広く宣伝されています。ツールキットは分かりやすいインターフェースを備えており、技術的な専門知識が乏しくても高度な詐欺を実行できる設計となっています。 ツールキットには、標的のウォレットでよく使用されるアドレスを模倣した見せかけアドレスの自動生成機能や、少額送金を自動化するスクリプト、そしてブロックチェーンの取引履歴を悪用して被害者を欺くための詳細な手順が含まれています。 画像は、そのようなツールキットの購入を希望する個人の事例です。 多くの販売業者は、包括的なチュートリアルやステップ・バイ・ステップのガイド、加えて暗号化されたメッセージングプラットフォームを通じたカスタマーサポートなど、追加サービスも提供しています。これらのツールキットの取引は、主に暗号資産で行われています。 こうしたツールキットの広範な入手可能性により、詐欺師が参入しやすくなり、暗号資産分野におけるアドレス・ポイズニング攻撃の増加に寄与しています。 当社の2024年暗号資産犯罪中間レポートパート2でも詳細に取り上げた通り、2024年最大級の詐欺事件のひとつとして、5月3日に発生したアドレス・ポイズニング攻撃があります。この事件では、匿名の「クリプト・ホエール(暗号資産クジラ)」が一時的に約6,800万ドル（約70億円相当）のWBTCを失う寸前までいきましたが、最終的には攻撃者が資金を被害者に返還しました。 今後も当社ではこの事例がオンチェーン上でどのように展開したかを分析し、この種の詐欺をどのように低減できるか検証していきます。 アドレスポイズナー、大口保有者(クジラ)を標的に 本事案は、2024 年 5 月 3 日 9 時 14 分（UTC）に、被害者（アドレス：0x1E227）からEthereumブロックチェーン上の一見無害と思われるアドレス（0xd9A1b）への初回送金から始まりました。このトランザクションは、「テスト送金」と考えられます。テスト送金は、オンチェーンで多額の資産を移動する際の一般的なベストプラクティスとしてよく実施されています。 被害者は、そのわずか数分後に2回目の送金を行いました。この際、被害者は詐欺師が管理するアドレス「0xd9A1c」に気付かず送金しており、最初の6文字のみを参照した場合、正規の「0xd9A1」と見間違えてしまう危険がありました。 この取引により、被害者は約68,000,000ドル相当のWrapped Bitcoin（WBTC）を詐欺師に送金しました。 その後、UTC 14時44分までに、詐欺師はビットコイン（BTC）の価格上昇による評価益も加味され、71,000,000ドル相当のWBTCをオンチェーン上の別のアドレスに移動させました。 事件発生後の数日間、被害者は少額のEther（ETH）を用いた複数のトランザクションに交渉メッセージを埋め込み、盗難資金のうち少なくとも61,000,000ドルの返還を求める交渉を試みました。 (あなたが勝ちました。10%はご自身で保持し、残りの90%を返却してください。 その後、この件については忘れます。 7百万ドルは間違いなく生活を良くするでしょうが、7千万ドルでは安心して眠れなくなります。) 被害者から送られたメッセージの中には、暗に脅迫を含むものがありました。「この資金は絶対に洗浄できないことは、私たち双方が理解しています。追跡されます。また、「安心して眠る」という表現は、道徳的または倫理的な資質を意味するものではありません」 今回の事例では、脅迫的な手法が効果を発揮した結果、詐欺師は5月9日に被害者のウォレットへ元の6,800万ドル相当のETHを返還しました。しかし詐欺師は、トークン価値が上昇したことによる300万ドル分を差し引き、返還前に複数の中間ウォレットを経由させる方法で利益を得ていました。 下図のChainalysis Reactorグラフは、最初のアドレスポイズニングアドレスから複数の中間ウォレットを経て、被害者のウォレットに資金が戻る経路の一例を示しています。 詐欺ネットワーク全体の全貌 単一のアドレスの活動を追跡した結果、本キャンペーンにおいてアドレスポイズニング攻撃を仕掛けた8つの「シーダー」ウォレットのネットワークを特定しました。 各シーダーウォレットは、さらにシーダーウォレットや多数の「シード化された」ウォレット（標的アドレスに類似したアドレス）を作成していました。 合計で82,031件の詐欺に関連すると思われるシード化されたアドレスを特定しており、これらはすべて潜在的な被害者を欺く目的で生成されたものです。このマッピングはキャンペーン全体の規模を過小評価している可能性があり、アドレスポイズニングが与える影響の大きさを浮き彫りにしています。 今回のキャンペーンの規模は非常に大きく、とくに詐欺師によって展開されたシード化されたアドレスの総数は、該当期間中に新たに作成されたEthereumアドレス全体の約1%弱を占めています。 詐欺キャンペーン被害者像の分析 アドレスポイズニング詐欺キャンペーンに関するデータは、被害者の多くが通常のウォレット保有者と比較して、より高い経験値とウォレット残高を持つユーザーであることを示しています。 合計 2,774…