要点
- 米司法省は、Binance から盗まれた資産のうち12億ドル超について、裁判所の許可を得て押収または差し止めたと発表した。
- 司法省と FBI は、ビデオ会議を装ってマルウェアを入れる手口「FaceStealer」の基盤も押収した。この手口で4億ドル超が盗まれたという。
- FaceStealer はウェブ会議の相手が本物の知人に見える点が怖い。暗号資産の仕事に限らず、開発者も狙われている。
何が起きたか
司法省は2026年11月12日（米国時間）、北朝鮮による暗号資産の窃取への対策を発表した。柱は2つある。
1つ目は Binance の件だ。司法省によると、北朝鮮軍の組織で FBI が「TraderTraitor」と呼ぶ集団が、10月29日ごろ Binance から60億ドル超の資産を盗んだ。官民の取り組みで27億ドル超が凍結され、そのうち12億ドル超について、押収または差し止めの許可を裁判所から得たという。追跡と押収の手続きは続いている。盗んだ側が、ブリッジ（別のチェーンへ移す仕組み）やミキサー（出どころを隠す仕組み）、取引所を通して資金を洗っているためだ。
注意したいのは言葉だ。12億ドルは「取り戻した」金額ではない。押収または差し止めの許可を得た額である。
2つ目は FaceStealer だ。司法省によると、攻撃者は乗っ取った知人のアカウントから、ビデオ会議の招待を送る。会議では、標的のウェブカメラを録画し、知人の録画映像を流す。有名人のディープフェイク（AI で作った偽の映像）も使うという。そして偽の不具合を見せ、「直す」ためと称してマルウェアを入れさせる。盗みは数か月から1年以上あとに行われることもあり、乗っ取ったアカウントで次の標的に近づく。
FBI はウェブカメラ映像900本超の押収令状も取った。FBI は、これを北朝鮮の APT38（BlueNoroff などとも呼ばれる）の活動としている。FaceStealer が Binance の件に使われたかは、The Record によると、FBI の担当者も不明としている。
日本の利用者への影響
司法省の発表に、日本への言及はない。Binance の利用者への返金についても、発表には書かれていない。押収した資金の返還先も示されていない。The Record は、Binance が準備金で盗まれた分を補ったと報じている。日本の利用者の扱いは未確認だ。
日本とのつながりは別にある。警察庁と FBI は2024年12月、DMM Bitcoin から約482億円相当が盗まれた件を TraderTraitor の仕業と特定した。今回の Binance の件とは別の事件だが、同じ集団である。日本の事業者や開発者も、この集団の標的になりうる。
今すぐやること
- 知人から急にビデオ会議の招待が来たら、会議の前に別の連絡手段（電話など）で本人に確かめる。
- 会議中に「不具合を直すため」と言われて何かを入れる・実行するよう求められたら、必ず断る。
- 暗号資産や開発の仕事をしているなら、チャットや SNS のアカウントで MFA（パスワードのほかにスマホでも本人確認する仕組み）を有効にする。
- 心当たりがあれば、FBI の FaceStealer 特設ページ（fbi.gov/facestealer）で、被害にあったときの手順を確かめる。
- 取引所に置いたままの資産は必要な分だけにする。
背景
北朝鮮は、暗号資産の窃取で得た金を兵器開発の資金にしていると、米当局は説明している。2025年には Bybit から14億ドルが盗まれた。Elliptic は、今回も Bybit のときと似た洗浄の手口が使われたと報告している。
APT38 は2016年のバングラデシュ中央銀行の事件でも知られる。司法省は、北朝鮮の攻撃者がオープンソースソフトウェアの開発や保守に関わる人を、近年ますます狙っていると述べている。FaceStealer の標的にも開発者が含まれる。
技術者向けの詳細
- 司法省の発表番号は 26-1356。FBI は FBI・シークレットサービス・IRS-CI 名義のサイバー警報を前週に出し、TraderTraitor が洗浄に使うアドレスとの取引を止めるよう VASP に求めている。
- 司法省は、Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollima の名で公に知られる北朝鮮の攻撃者が、標的をおびき寄せたと説明している。これらは FaceStealer の別名ではなく、攻撃者の通称である。
- The Record によると、招待には Calendly が使われ、偽ドメインのリンクが多い。マルウェアはブラウザの Cookie 収集、キーロガー、画面キャプチャ、バックドアを含むとされる。
- Elliptic の報告では、洗浄側は自作の無価値なトークンで分散型取引所の流動性プールを通して資金を動かした。約12,000のウォレット、11のブロックチェーン、約40,000件の取引という。
- 被害額の数字は報道で揺れる（Binance は60億ドル超とも63億ドルとも）。本文は司法省の「60億ドル超」に従った。
- FBI の FaceStealer 特設ページ: fbi.gov/facestealer
