北朝鮮のハッカー集団ラザルスとは？仮想通貨ハッキングの手口と対策

こんにちは。
CryptoNeo（@CryptoNeo）です。

2026年10月、Binanceから60億ドルを超える暗号資産が盗まれる事件が起きました。FBIは10月31日の発表で、北朝鮮による犯行とし、TraderTraitorと呼ぶサイバー活動に位置付けています。

ラザルスは、北朝鮮の国家機関と結び付くサイバー攻撃集団として公的機関が扱っている呼称です。
米財務省は、北朝鮮の主要情報機関である偵察総局（RGB）の統制下にあると説明しています。
暗号資産だけを狙う新しい集団ではなく、企業への破壊的攻撃や銀行資金の窃取でも名前が挙がってきました。

今回は、過去の代表的な事件と、BinanceやBybit、DMM Bitcoinの事件をもとに、ラザルスとTraderTraitorの関係、資産を盗む手口、私たちが気を付けたい操作を具体的に解説していきます。

本文は2026年11月3日までに確認した公的機関の発表と各社の公式資料に基づきます。

Sony事件からRonin事件まで、公的発表で振り返る

米司法省が2018年に公表した訴追資料では、2014年のSony Pictures Entertainmentへの攻撃と、2016年2月のバングラデシュ中央銀行からの資金窃取が、Lazarus Groupと呼ばれるチームの関わる一連の活動として説明されています。
企業システムへの破壊的な攻撃と、銀行の送金システムを悪用した資金窃取の両方が対象でした。

暗号資産分野では、2022年3月にAxie InfinityのRonin Bridgeから資産が盗まれた事件があります。
FBIは同年4月14日、北朝鮮に関係するLazarus GroupとAPT38への帰属を公表しました。
企業や銀行への攻撃から暗号資産の窃盗までを押さえると、近年の事件でラザルスという名前が出てくる背景も見えてきます。

【出典】米司法省：2018年の訴追発表／FBI：2022年4月14日の帰属発表／米司法省資料：Ronin事件への言及（第60段落）

公的機関が北朝鮮の活動とした暗号資産事件

DMM Bitcoin、Bybit、Binanceの事件では、公的機関が北朝鮮の活動への帰属を公表しました。
次の表は、その発生時期と公表時期を並べたものです。事件の発生後に調査が進み、帰属が公表されるため、二つの日付には間隔があります。

事件	公的機関の公表	本記事で確認する要点
DMM Bitcoin・2024年5月	警察庁・FBI・米国防総省DC3が2024年12月に公表	TraderTraitorによる窃取として特定
Bybit・2025年2月	FBIが2025年2月26日に公表	北朝鮮による約15億ドルの窃盗と説明
Binance・2026年10月	FBIが2026年10月31日に公表	北朝鮮による60億ドル超の窃盗と説明

【出典】FBI・Binance事件の帰属発表

GMO Desktop Cloudの事件は、この表の事件と同じ攻撃者へ帰属されたものではありません。
同社の公式発表で確認できる侵害と対応は、個別の事件として読む必要があります。

偽求人や採用試験は、なぜ暗号資産窃盗につながる？

警察庁などの共同注意喚起は、SNSを通じて業務上の関心を引き、コードを実行させる手口を取り上げています。
FBIの2024年9月の注意喚起も、求人や投資の話、採用試験に見せかけた誘導を説明しています。
相手が投資家や採用担当者を装うと、受け手は仕事のやり取りとして受け入れてしまうことがあります。

【出典】警察庁・NISC・金融庁の共同注意喚起（TraderTraitor）

【出典】FBI/IC3・北朝鮮のソーシャルエンジニアリングに関する注意喚起

求人の話が攻撃へ変わる入口は、その後に求められる操作です。
面接用ツールの導入、サンプルコードの実行、開発環境の設定変更などによって、端末や組織へ入り込まれる可能性があります。
仕事のやり取りだからと確認を飛ばさず、その操作が本当に必要かを別の経路から確かめましょう。

よくある誘導の形	その場で止める判断	代わりに行う確認
採用試験として未知のコードを動かす	業務端末ですぐ実行しない	実在する会社の公式窓口へ別経路で照会
面接専用アプリを導入する	相手が渡したファイルを開かない	公式配布先と必要性を確認
調査・返金のため復元情報を入力する	シードフレーズを渡さない	普段使う公式サポートから照会
署名すれば報酬が届くと言われる	意味を説明できない署名をしない	対象サービスの公式条件を確認

開発環境や署名画面が狙われると、何が変わる？

Bybitの公式発表では、Safe開発者の認証情報の侵害を通じて、署名者が悪意ある取引を承認するよう誘導されたと説明されました。
攻撃の入口が利用者のパスワードとは限らず、開発、配信、承認といった途中の工程が狙われる点が重要です。

【出典】Bybit公式・Safe関連の調査発表

開発から配信、署名までの工程が狙われると、個人が画面を注意深く見るだけでは届かない問題も生じます。
それでも、復元情報を渡さない、不要なコードを動かさない、署名を急がないことは、攻撃の入口を減らすために役立ちます。
保管用と日常接続用の資金を分けるのも、ひとつの失敗で影響する範囲を抑える考え方です。

Lazarus・APT38・TraderTraitorは何を指す？

公的機関や調査会社は、観測した活動や担当分野に応じて名称を使います。
FBIはBybitとBinanceの窃盗を説明する際、北朝鮮の活動をTraderTraitorとして追跡していると明記しました。
記事を読む側は、名前だけでなく、どの機関が何の事件に使ったかを確認しましょう。

日本の警察庁・NISC・金融庁の2024年12月の共同注意喚起は、TraderTraitorをLazarus Groupの一部と説明しています。
この関係を押さえつつ、個別の事件の帰属は、その事件に関する発表で確認します。

名称	記事を読むときの整理	避けたい理解
Lazarus	北朝鮮関連の活動を扱う広い文脈で見かける呼称	すべての事件で同じ人員・手口だと決める
APT38など	発表主体の分類と対象活動を確認する名称	別名称を無条件に完全同義とする
TraderTraitor	FBI・日本の警察庁などが暗号資産窃盗で使う活動名	北朝鮮に関係する全事件の確定犯人名とする

【出典】FBI・Bybit事件の帰属発表

【出典】警察庁・TraderTraitorに関する注意喚起

個人と事業者は、まず何を変えるべき？

個人なら、報酬や急用を理由に通常の確認を飛ばさないことから始めましょう。
操作を要求する相手が正しいかは、その相手が送ったプロフィールだけでは確認できません。
普段から知っているURLや、別の担当者など、独立した経路を使います。

事業者では、採用・開発用の環境と、送金や本番権限を持つ環境を分けて設計することが重要です。
ひとつの端末や表示だけに判断を寄せず、異なる経路で取引内容を確認する手順も検討します。
これは、個人がボタンを注意深く押すこととは別の、組織側の対策です。

不審な操作をすでに行った場合は、追加の実行を止め、日時、相手とのやり取り、操作内容を保存してください。
資金が動いた場合は、利用サービスの公式窓口や警察の窓口へ相談します。
回収を約束する相手への追加送金は、被害を増やす可能性があります。

まとめ：攻撃者名より、次に要求される操作を確認する

LazarusやTraderTraitorの名前は、発表主体と対象事件を添えて読むと関係を整理できます。
日常の操作では、その相手が次に何を求めているかを確認しましょう。未知のコードやアプリ、復元情報の入力、意味の分からない署名を求められたら、一度止めて公式の別経路から確かめてください。

Lazarus・TraderTraitorについてよくある質問

LazarusとTraderTraitorは完全に同じ意味ですか？

名称は発表主体や観測範囲によって使い分けられます。
記事では、その機関がどの事件にどの名称を使ったかを確認してください。

暗号資産の事件はすべて北朝鮮によるものですか？

そうではありません。
個別の事件について、公的機関や調査主体が公表した根拠を確認する必要があります。

知らない人からの求人は全部無視すべきですか？

求人そのものと、端末で求められる操作を分けて判断します。
会社の公式経路で担当者を確認し、未知のコードやアプリを安易に実行しないことが重要です。

ハードウェアウォレットがあれば防げますか？

鍵の保管には役立ちますが、意図しない内容への署名や、復元情報を渡す行為まで自動で防ぐものではありません。

GMO Desktop Cloud事件もLazarusですか？

今回確認した公式発表からは断定できません。
事件が同時期という理由だけで、攻撃者を同じにしないでください。

本記事は情報提供を目的としており、特定の暗号資産や金融商品の売買を勧めるものではありません。
暗号資産・先物取引には価格変動、清算、システム障害などによる損失の可能性があります。
利用地域・提供条件を確認し、ご自身の判断と責任でご利用ください。