ソウル市警察がChainalysisの支援により390億ウォンの暗号資産犯罪組織を解体

※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 要約 国際的な法執行機関が連携し、BreachForumを摘発し、IntelBroker（Kai West）を含む5人の管理者を逮捕しました。 IntelBrokerは、覆面捜査においておとり購入の決済手段としてMoneroではなくbitcoinを受け入れたため、ブロックチェーン分析が可能となり、事件解決の糸口となりました。 Chainalysis Reactorは、複数の暗号資産取引所を介した暗号資産の流通を追跡することで、IntelBrokerのデジタル上の活動とその正体を結びつけるうえで重要な役割を果たしました。 本件は、ブロックチェーン分析と従来の捜査手法を組み合わせることで、暗号資産の匿名性を効果的に打破できることを実証しています。   2025年6月25日、国際的な連携作戦により、法執行機関は、盗難データの取引で最も重要なプラットフォームの一つであるBreachForumに対して一斉捜査を実施しました。フランスのサイバー犯罪対策部隊（Brigade de lutte contre la cybercriminalité／BL2C）は、プラットフォーム管理者とみられる5人（サイバー攻撃者のShinyhunter、Noct、Depressedを含む）を逮捕しました。 同時に、ニューヨーク南部地区連邦検察局はイギリス国籍のKai Westに対し、『IntelBroker』としての活動に関連する容疑で起訴状を公表しました。IntelBrokerは、2024年8月から2025年1月までBreachForumの所有者として活動していました。Westは高度なブロックチェーン分析により、暗号資産の匿名性を突破し、デジタル上のペルソナを現実世界の身元へと結びつけることが可能であることが示された調査によって、2025年2月にフランス当局によって逮捕されています。 捜査：暗号資産がデジタル指紋と化した経緯 IntelBrokerの特定において大きな進展があったのは、2023年1月の慎重に計画された覆面捜査によるものでした。IntelBrokerは盗んだデータの売却を持ちかけ、覆面捜査官が購入の連絡を取りました。通常、IntelBrokerはプライバシー保護機能の高いプライバシーコインであるMoneroによる支払いを要求していましたが、この際、捜査官はサイバー攻撃者にbitcoinによる支払いを受け入れさせることに成功しました。この支払い方法の変更が、IntelBrokerの活動解明の大きな決定打となりました。 IntelBrokerが提供したbitcoinのアドレス（bc1qj52d3d4p6d9d72jls6w0zyqrrt0gye69jrctvq）から、その資金の流れや財務基盤の全容が明らかとなりました。bitcoinは他の多くの暗号資産と同様に、透明性の高いブロックチェーン上で取引が公開される仕組みのため、取引履歴を追跡しやすいという特徴があります。一方、IntelBrokerが本来利用を希望していたMonero（XMR）は、送信者・受信者・取引額の秘匿など、匿名性やプライバシー重視の機能を持ち合わせているため、ブロックチェーン上での資金の追跡が非常に困難です。このようなプライバシーコインは、世界中の多くの暗号資産取引所で規制の対象となっており、日本や韓国などでは既に取引が禁止されています。 この事例は、犯罪者が資金洗浄や取引の発覚を避けるためにプライバシーコインの利用を好む一方で、法執行機関による資金のトラッキングが可能な状況を引き出すことで、捜査が大きく進展するケースがあることを示しています。 捜査官は、Chainalysis Reactorを活用して、複数の暗号資産取引所と実在する個人であるWest氏の身元を結びつける暗号資産の流通を追跡しました。該当のアドレスはRamp Network (取引所) から直接資金の入金を受けていました。捜査官がRamp Networkに対して口座情報を照会した結果、出金が「Kai Logan West」に関連する口座によって行われていたこと、さらに生年月日も記載されていたことが判明しています。これにより、IntelBrokerとして知られる人物と実在の人物の間に初めて明確な関連性が示されました。 複数の情報を照合した結果、同一のbitcoinアドレスがCoinbaseと取引を行っていたことが判明しました。アカウントデータの分析によれば、このコインベースアカウントは「Kyle Northern」名義で作成されていましたが、KYC（Know Your Customer：本人確認）データは最終的に「Kai West」へと紐付いていました。 さらに調査を進めると、オンライン暗号資産カジノである「CSGO500」への少額の入金履歴が確認されました。また、IntelBrokerが宣伝していたEthereumアドレス（0x0cD1FD1191aeC66F555C0893D29E7c36AeEeb6ab）のすべての資金はChangellyへ送金されていたことも明らかになりました。 これらの調査結果が公開された後、サイバーセキュリティ分野のOSINT（Open Source Intelligence：オープンソースインテリジェンス）コミュニティによる追加分析が行われました。その過程で「kyle.northern1337@outlook.com」という関連メールアドレスが特定され、さらにこのアドレスを手がかりとしてWest氏のLinkedInプロフィールが見つかりました。プロフィールの情報から、West氏が過去に英国国家犯罪捜査庁（National Crime Agency）でセキュリティ分野の研修生として勤務していたことも判明しています。 国際連携による暗号資産犯罪の摘発と実態解明 IntelBrokerの捜査では、法執行機関が暗号資産を利用した犯罪に取り組む手法の進化について、いくつかの革新的なアプローチが示されました。 ブロックチェーン取引の不変性 ブロックチェーンのトランザクションは「不変の証拠」として改ざんができない永続的な記録を形成しており、時間が経過しても解析が可能です。 ネットワークの可視化 Chainalysis Reactorなどのブロックチェーン分析ソフトウェアを用いることで、複雑に絡み合ったトランザクションのネットワークを可視化し、従来の手作業では発見が難しかった関連性を明らかにすることができます。 クロスプラットフォーム相関分析 複数の暗号資産や取引所にまたがるトランザクションを包括的に分析し、犯罪者の詳細な財務プロファイルを作成できます。 マルチソースインテリジェンスの活用 ブロックチェーン分析・KYCデータ・OSINT・従来型の調査手法を組み合わせることで、捜査現場ではこれまでにない高度な識別能力が発揮されています。 今回の協調的な取り組みには、逮捕を実施したフランス当局、起訴を担った米国の検察機関、そして重要な口座情報を提供した暗号資産取引所など、かつてない国際的な連携が求められました。 この摘発事例は、サイバー犯罪者に対し強いメッセージを発信しています。特に、規制の下にある暗号資産取引所を利用する場合、暗号資産は多くの人が想定しているほど匿名性を持たないことが示されました。本件では、Moneroではなくbitcoinを受け取っていたことや、暗号資産のアドレスを公開していたこと、取引口座に個人情報を使用していたことなどが、捜査当局による実態解明を可能にした要因となっています。 法執行機関やコンプライアンスチームにとって、最新のブロックチェーンインテリジェンスプラットフォームは、チェーンをまたいだトランザクションの包括的なマッピング、リアルタイムでのリスク評価ツール、相互参照分析機能、そして国際的な情報共有を促進する標準化されたインテリジェンスフォーマットの提供など、多角的なサポートを行っています。 インテリジェンス主導の取締りによる、より安全なデジタル社会の実現…

※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。 年初、韓国の大手暗号資産取引所のホットウォレットの一つで異常な出金活動が検知されました。約15分間に数百件のトランザクションが実行され、約₩44.5B KRW（3,300万〜3,500万ドル相当）が抜き取られ、同取引所は全ての出金を停止しました。盗まれたアセットには、USDC、BONK、SOL、ORCA、RAY、PYTH、JUPなどの主要トークンが含まれていました。一方で、同取引所は盗難資金の半分超（₩23B KRW相当のLAYERトークン）を凍結することに成功しましたが、残余は既に回復不能でした。出金のパターンとタイミングを分析すると、本件はスマートコントラクトの不具合や利用者レベルの誤操作ではなく、ホットウォレットの署名フローが侵害されたことに起因すると示唆されます。 本記事では、最近発生した取引所ハッキングの動向を解説し、本件の手口を深掘りするとともに、HexagateのWallet Compromise Detection Kitと GateSigner がどのように早期検知し、被害額の最小化に寄与し得たかを示します。 CEXとカストディアンに対する侵害は増加傾向 今回の大手取引所での事案は明確な業界トレンドを反映しています。すなわち、中央集権型取引所（CEX）とカストディアンに対する侵害が増えています。背景には、複雑なクラウド環境で高速かつマルチチェーンの出金システムを運用する難度の上昇があります。取引所やカストディアンは市場でもっとも複雑なオンチェーンの資金フローを担うようになった一方で、堅牢なオンチェーンセキュリティの必要性を過小評価し、後に不十分と判明する対策に依存してしまうケースが少なくありません。 私たちはほぼ10年にわたり顧客環境をトラッキングし、Lazarusのような脅威グループの動向を追ってきましたが、明らかなシフトがあります。攻撃者は、より高い利得と大きく複雑な運用スタックを狙って、カストディアンやCEXを標的にする傾向を強めています。直近のBybit、BTCTurk、SwissBorg、Phemex、そして今回の韓国の取引所に対する攻撃はいずれも同じパターンに当てはまります。すなわち、単一点の侵害で、数百万ドル規模の損失が発生するというものです。 各事案の根本原因は異なります。アカウント乗っ取りにつながるソーシャルエンジニアリング、テックスタック内のサイバーセキュリティ上の不具合、マルウェア、内部不正など多岐にわたります。高度な攻撃者は唯一の弱点を突きます。現実的な前提は「完全防御」ではなく「いずれ何かが破られる」ということです。そして破られたとき、全ては検知と対応の速さにかかっています。強力なリアルタイムの検知と対応はリスクをゼロにはしませんが、運用上の侵害が壊滅的損失に発展することを防ぎます。 何が起きていたのか 本件発生前、事件に関与した取引所連結のSolanaウォレットのうちの一つ（数百あるうちの一つ）は数週間にわたり正常に振る舞っていました。残高は増減を繰り返していたものの、ゼロになったことは一度もありません。しかし攻撃発生時、そのウォレットは数分で完全に空にされました。これは正当な運用では極めて稀で、侵害を強く示唆するパターンです。特に以下のシグナルが際立っていました。 残高ゼロ化のパターン：関与した全ウォレットに共通して、極めて短時間で残高がゼロに崩落するシグネチャが見られました。通常の取引所運用では起こり得ない挙動です。 高額出金のスパイク：攻撃の7日前までの期間、同取引所のSolanaウォレットから約$100,000規模の出金は1件しかありませんでしたが、攻撃時には同規模の出金がおよそ15分で約80件発生しました。 多数アセットでの高頻度実行：攻撃者は数十種類のトークンを、数百件のトランザクションで一気に移動しました。このバースト型の挙動は、平常時のベースラインから大きく逸脱します。 これらはまさに、Chainalysis Hexagateのような高度な自動行動分析システムがリアルタイムで検知するために設計されているシグナルです。最終的に、同取引所は出金停止という適切な判断を下し、利用者とプラットフォームを保護しました。この種のインシデントは、完全自動の検知・対応機構の有効性を浮き彫りにします。適切なリアルタイムのパイプラインが整備されていれば、異常は初期のわずかなトランザクション段階でフラグ化され、重大な移動が発生する前に抑止できます。 盗難直後の動き この段階で、攻撃実行者は自動マーケットメイカー（AMM）を用いて盗難アセットを交換し、発行体による凍結が困難なトークンへと転換することに注力していたと考えられます。これは大規模なホットウォレット侵害後の初期行動として典型的です。以下のChainalysis 調査ツール Reactor のグラフでは、現時点での動きの大半が拡散ではなく、資金の集約とアセット種別の入れ替えであることが分かります。 Reactorのグラフにおける初期移動の概観 Chainalysis Hexagateはどのようにウォレットからの流出を検知・阻止するか 1. Wallet Compromise Detection Kit ホットウォレット侵害の最も早期の兆候を検知するリアルタイム監視群で、Chainalysisのインテリジェンスを付加しています。主な内容は以下のとおりです。 残高流出パターン検知：ウォレット残高が突如ゼロ方向へ落ち込む挙動を検知します。 バースト検知：短時間に高額出金が急増する事象にフラグを立てます。 未知の送付先検知：内部の信頼できるエコシステム外のアドレスに資金が移動した場合にアラートを出します。 機械学習による侵害検知：過去のCEX侵害事例と広範なエコシステム挙動を学習したモデルにより検知します。 これらのシグナルは、悪意あるトランザクションの最初の数件、場合によってはそれ以前の微妙な行動変化の段階で発火します。こうした早期検知を用いることで、CEXは出金停止、コールドストレージへの退避、フローの隔離といった防御措置を自動化でき、より迅速かつ一貫性をもって、運用ミスを減らしながら対応できます。 ホットウォレット侵害の最速兆候を監視するWallet Compromise Detection Kitのリアルタイムモニター 2. GateSigner （事前署名プロテクション） GateSignerは署名フローに接続され、各トランザクションを事前にシミュレーションしてリスクの高い挙動を検査し、承認前の重要な審査機能を提供します。 まず、出金をシミュレーションします。 結果を侵害検知モニター群に照合します。 異常が認められれば、そのトランザクションはチェーンに流れる前にブロックまたはエスカレーションされます。これにより、攻撃者が通そうとしている危険なトランザクションに、インフラが誤って署名してしまう事態を防ぎます。 GateSignerによるトランザクションシミュレーション後の結果 いくつかの考察 ホットウォレットの侵害は、今日、カストディアンや取引所が直面する最も高額で頻度の高いリスクの一つになりつつあります。最も備えが行き届いている組織は、早期検知と署名パイプラインの強固な統制に投資しています。HexagateのWallet Compromise Detection…