暗号資産（暗号資産取引所、ウォレット、カストディ、DeFi、ブリッジ、関連SaaS）を狙う攻撃は、スマートコントラクトの脆弱性や秘密鍵の窃取といった技術的手口だけでなく、従業員や委託先を起点に侵入するソーシャルエンジニアリングへと急速に広がっています。Rippleが、北朝鮮系ハッカーを含む脅威アクターの動向や攻撃手法について業界と情報共有する姿勢を示したことは、「個社の防御」だけでは限界がある現実を映し出します。本稿では、暗号資産業界で実際に増えている攻撃パターンを整理し、組織が取るべき現実的な対抗策を、技術・運用・人の観点から解説します。
北朝鮮系ハッカーが暗号資産を狙う理由
北朝鮮系とされる攻撃グループは、暗号資産を「換金性が高く、国境を越えやすい資金源」として狙うと指摘され続けています。特に暗号資産関連企業は、ホットウォレットや署名基盤、管理者権限、APIキーなど、ひとたび奪取されると即座に資金流出に直結する“高価値資産”を日常的に扱います。また、急成長する事業環境では、開発スピードや外部委託、複雑なサプライチェーンが攻撃面（アタックサーフェス）を広げがちです。攻撃者にとっては、ゼロデイでなくても「運用の隙」「人の隙」を突けば十分に成果が出る領域になっています。
攻撃手法は「コード」から「人」と「業務プロセス」へ
従来は、スマートコントラクトの欠陥、ブリッジの設計不備、署名実装のミスなど、技術的脆弱性が大規模流出の主因として注目されてきました。しかし近年は、次のように“組織の業務フロー”を突く攻撃が増えています。
ソーシャルエンジニアリングによる侵入
採用プロセス、取引先連絡、サポート対応、経営層へのなりすましなどを通じ、標的が「正規業務」と誤認する形でマルウェア実行や認証情報の提供を引き出します。偽の面談資料や課題提出、署名依頼、請求書、緊急対応の指示などは、忙しい現場ほど引っかかりやすい典型例です。
認証情報・セッションの奪取
パスワードの再利用、フィッシング、端末感染、ブラウザのセッション窃取、クラウドのトークン流出など、入口は多様です。特に「MFAを入れているから安心」という思い込みは危険で、セッションを奪われるとMFAを迂回されるケースもあります。
サプライチェーンと委託先の悪用
監査・開発・カストディ運用・カスタマーサポートなど外部パートナーが関与するほど、攻撃者は“最も弱い環”を狙います。委託先のアカウント、共有ストレージ、CI/CD、サポートツールが侵害されると、本体システムへ横展開されるリスクが高まります。
資金洗浄（マネーロンダリング）の高度化
流出後のトランザクション分割、チェーン間ブリッジ、ミキシング類似の難読化、複数取引所の経由など、追跡を難しくする工程が洗練されています。防御側は「侵入を防ぐ」だけでなく、「流出時に即座に封じ込め、追跡し、凍結や回収につなげる」体制が重要です。
Rippleの情報共有が示す「共同防衛」の重要性
暗号資産業界では、攻撃が一社に留まらず、同じインフラや同様の運用を持つ事業者へ連鎖しやすい構造があります。そこで効果を発揮するのが、脅威インテリジェンス（TTP、IoC、攻撃キャンペーンの兆候）の共有です。特定グループが好む偽装手口、マルウェアの特徴、侵入後の横展開パターン、狙われやすい業務フローを早期に共有できれば、防御側は検知ルールや運用統制を前倒しで更新できます。業界横断の連携は、攻撃者の「再利用できる成功パターン」を潰す点で特に有効です。
暗号資産企業が今すぐ見直すべき対策
対策は「理想論」ではなく、資金流出に直結するクリティカルパスから優先順位を付ける必要があります。以下は実務上の効果が大きい領域です。
鍵管理・署名基盤のガバナンス強化
ホットウォレットの最小化、マルチシグやMPCの適切な設計、署名ポリシーの分離（承認者・実行者の職務分掌）、送金先アドレスの許可リスト、送金額や時間帯の制限、緊急停止（キルスイッチ）などを組み合わせます。重要なのは「鍵の強さ」だけではなく、「誰が・どの条件で・どの端末から署名できるか」を監査可能な形で固定することです。
特権IDとクラウド権限の最小化
管理者権限は必要最小限にし、短命トークンやJust-In-Time権限付与を検討します。APIキーやシークレットはコードやチケットに残さず、シークレットマネージャで集中管理し、ローテーションと利用監査を徹底します。
ソーシャルエンジニアリング耐性を“仕組み化”
教育だけでは限界があります。重要操作（送金、アドレス追加、権限変更、監査ログ削除、リリース承認など）は、別チャネルでの本人確認、二人承認、定型フロー以外は実行不可とするワークフロー制御など、だまされにくい手順へ落とし込みます。採用・委託先オンボーディング・サポート対応も、攻撃者が入りやすい入口として標準手順を整備すべきです。
検知と封じ込めを前提にした運用
侵入をゼロにするのは困難です。EDRやSIEMによる端末・クラウド・認証ログの相関、異常な送金パターンや署名要求の検知、重要システムの監査ログ保全、インシデント時の権限一括無効化や送金停止の手順書化、訓練（テーブルトップ演習）を実施します。特に暗号資産は流出後の時間が勝負になるため、初動の意思決定と連絡網を短縮する設計が重要です。
サプライチェーン管理と第三者リスク評価
委託先の権限範囲、アクセス経路、ログ提供、インシデント通知義務、再委託の可否、脆弱性管理の水準などを契約と運用で明確化します。SaaS連携（サポート、チケット、チャット、開発管理）に機密情報や認証情報が混入しない統制も不可欠です。
「安全な成長」を実現するための現実解
暗号資産業界の攻撃は、脆弱性攻略から人間心理の悪用、サプライチェーン侵害、資金洗浄までを一続きのオペレーションとして実行する方向へ進化しています。Rippleが示すような情報共有は、攻撃者の再現性を削り、防御側の対応速度を上げるための重要な取り組みです。各社は、自社の技術対策を強化するだけでなく、送金・署名・権限変更といったクリティカルな業務プロセスを“攻撃される前提”で再設計し、検知と初動、封じ込めまで含めた実戦的なセキュリティ体制へ移行する必要があります。
今後、規制や監査が強化される局面でも、競争力を左右するのは「セキュリティをコストではなく事業継続の設計要件として組み込めるか」です。共同防衛の輪に参加しつつ、鍵管理・権限・人・運用を一体で整えることが、暗号資産ビジネスの信頼を支える最短ルートになります。
参照: Rippleは、コードの脆弱性からソーシャルエンジニアリングに至るまで進化する攻撃手法への対抗策として、暗号資産業界と北朝鮮のハッカーに関する情報を共有します。 – Bitget