2026年上期、世界の暗号資産エコシステムから盗まれた「1ドル」のうち約3分の2を、たった一つの国家主体がかすめ取った。
これは誤差でも、単発の大型事件の結果でもない。
約10年にわたり手法を磨き続けてきた「産業化された」ハッキング作戦の集大成であり、いまや他のあらゆる脅威アクターを合算しても追いつけない規模に達している。
暗号資産犯罪の世界はもともと桁違いの数字に満ちているが、そのなかでも今回のスケールは際立つ。
北朝鮮関連グループは、ブロックチェーンセキュリティ研究者の最新集計によれば、2026年上期の世界全体のデジタル資産ハッキングによる損失の66.2％を占めた。
ひとつの脅威クラスターにここまで損失が集中したことは、業界全体のリスクプロファイルが質的に変化したことを意味する。しかも、機関マネーが2021年以来の勢いで暗号資産市場に流入しているタイミングと重なっている。
要点整理
- 2026年上期、北朝鮮系ハッカーが暗号資産ハッキング損失の66.2％を掌握。国家ぐるみの暗号資産窃取が集中度の新たなピークに。
- 「ラザルス・グループ」などDPRK（北朝鮮）部隊は、かつての取引所狙いから進化し、DeFi、クロスチェーンブリッジ、開発者へのソーシャルエンジニアリングを組み合わせた高度な作戦へと移行。
- 盗難資金は北朝鮮の兵器開発を直接下支えしており、暗号資産セキュリティはワシントン、ブリュッセル、ソウルの規制当局が注視する地政学リスクとなっている。
「66％」という数字が意味するもの
戦略的な含意を論じる前に、この数字の算出方法を押さえておく必要がある。
66.2％というのは、2026年上期に発生した暗号資産ハッキングのうち、「北朝鮮関連ウォレットに帰属できることがオンチェーン分析で検証された被害額」のシェアを指す。初期流出からミキサー利用、最終的な換金に至る資金フローを、ブロックチェーン上の痕跡から追跡した結果だ。
暗号資産犯罪の長期時系列データで知られるChainalysisは、2024年の犯罪レポートで、北朝鮮関連グループが2023年に47件で約13.4億ドルを盗み、年間の窃取額全体の61％を占めたと報告していた。
2026年上期の数値は、そこからさらに集中度が高まったことを示す。DPRKとそれ以外の脅威アクターとの能力格差は、縮まるどころか拡大している。
66.2％というシェアは、6カ月という単位で見た場合、国家主体によるデジタル資産窃取として過去最高の集中度だ。
ただし、この「66％」がカバーしていない領域もある。
この数字には、エグジットスキャムやラグプル、不正勧誘などは含まれない。Chainalysisはこうした事案をハッキングとは別カテゴリーとして扱う。分母に入っているのは、技術的なハッキング被害に限定された金額だ。
暗号資産犯罪全体（詐欺やポンジなどを含む）に範囲を広げれば、北朝鮮のシェアは見かけ上下がるだろう。ただし、盗まれた絶対額が減るわけではない。
関連記事： XRP現物需要が上昇する一方、Binanceパーペチュアルに7億8300万ドル規模の警告サイン
ラザルス・グループはどうやって「暗号資産超大国」になったか
米情報機関や民間リサーチが北朝鮮の最強サイバー部隊に付けた総称がラザルス・グループだが、彼らは当初から暗号資産に特化していたわけではない。
初期の活動は、破壊的なマルウェア攻撃、SWIFTネットワークを悪用した銀行強盗、ランサムウェアなどが中心だった。
暗号資産への軸足移動は徐々に進み、韓国の取引所を標的にし始めた2017年前後から本格化。決定的な転機は、2022年のRonin Network侵害だ。
Axie InfinityのサイドチェーンであるRonin Networkから約6億2500万ドルが奪われたこの事件は、ラザルスにとって戦略的な分水嶺となった。
ここで露呈したのは、スマートコントラクトの複雑さ、クロスチェーンブリッジへの依存、開発者へのソーシャルエンジニアリングといった要素を抱えるDeFiインフラの方が、長年の攻防で防御を固めつつあった中央集権型取引所より、はるかに「割の良い」攻撃対象だという現実だった。
2022年3月のこの625百万ドル流出は、DeFi史上最大の単一ハックとして今も記録に残ると同時に、その後のDPRK作戦の「基本設計図」となった。
2022年以降、ラザルスは主に3つの攻撃ベクトルを磨き込んできた。
1つ目は、開発者アカウントの乗っ取りだ。典型的には、LinkedInを通じた偽求人を使い、ターゲットにマルウェア付きの文書やリポジトリを開かせる。
2つ目は、クロスチェーンブリッジの脆弱性を突く手法。チェーン間の資産移転を検証するスマートコントラクトロジックそのものを狙う。
3つ目は、プロトコルが依存するソフトウェアコンポーネントへのサプライチェーン攻撃だ。従来のITセキュリティで用いられてきた手法を、ブロックチェーン向けに最適化している。
関連記事： 「Eng vs Ind」はもはやクリケットだけではない——予測市場トレーダーの新たな舞台
標的は取引所からDeFiへ
暗号資産の大規模ハックの初期史は、中央集権型取引所の流出事件によって彩られてきた。2014年のMt. Gox、2016年のBitfinex、2018年のCoincheck——いずれもホットウォレットインフラの侵害やAPI脆弱性、内部犯行の疑いなどが絡むケースであり、多くは国家ではなく機会主義的な犯罪集団の仕事とみられていた。
いまのDPRKの作戦は、これとは根本的に性質が異なる。ブロックチェーン分析企業TRM Labsは2024年の脅威インテリジェンスレポートで、北朝鮮による暗号資産窃取のうち、DeFiプロトコルの脆弱性を突いた案件の比率が、2021年の約3割から2024年には7割超へと急拡大したと指摘する。これは、オンチェーン流動性の構造変化そのものを反映した動きだ。
DeFiプロトコルにロックされた総価値（TVL）は、2021年末に世界全体で1800億ドル超とピークをつけた後、2022年のベア相場で急減。だがその後回復し、再び魅力的な「攻撃対象市場規模」に達している。DefiLlamaのデータによれば、2026年半ば時点で全チェーン合計のDeFi TVLは1100億ドル超。なかでもクロスチェーンブリッジは、プール形式で巨額の資金を集約している。
DeFiブリッジコントラクトは、単一のスマートコントラクトに巨額の流動性が凝縮され、かつクロスチェーンメッセージの検証が極めて複雑で完全な監査が難しいため、高度な攻撃者にとって構造的に魅力的な標的になっている。
ブリッジは、地理的にも技術的にも「遠くのチェーン」が発する主張を、ネイティブには検証できないという制約を抱える。このため、マルチシグ委員会やライトクライアント証明など、複雑な検証ロジックに頼らざるを得ず、そのどこかに exploitable な前提が生まれる。
Roninブリッジは9-of-9マルチシグを採用していたが、実態としてはソーシャルエンジニアリングにより5-of-9が成立すれば承認される構造に歪められていた。攻撃者はこの5署名を掌握し、正規の引き出しとして巨額の資産流出を成立させた。
関連記事： Fable 5は倍額の価値があるのか——依然健在なOpus 4.8との比較
偽求人と開発者狙いのソーシャルエンジニアリング
2026年上期のDPRK作戦で、最も一貫して使われ、なおかつ過小評価されているのが、個々の開発者やプロトコル従業員を狙うソーシャルエンジニアリング基盤だ。これは、従来の意味での「技術的ハック」というより、最終的にコード実行へとつながる、長期にわたるインテリジェンス工作に近い。
MandiantのAPT38金融脅威分析や、米国**サイバーセキュリティ・インフラセキュリティ庁（CISA）**によるCISA Alert AA22-108Aが詳細に記録しているように、北朝鮮のオペレーターはAI生成の顔写真を使った説得力のあるLinkedInプロフィールを作成し、暗号資産プロジェクトの開発者に接触する。内容はフリーランス契約、転職面談、コードレビュー依頼など、一見もっともらしいものだ。
実際の事例では、DPRKオペレーターがターゲットの開発者と数週間から数カ月にわたりLinkedIn上で対話を重ね、対象プロジェクトのコードベースについて技術的に筋の通った議論を行いながら信頼を醸成したうえで、最終的にマルウェアを送り込んでいる。
ターゲットが十分に心を許した段階で、実行が必要なファイルが送られてくる。PDFに埋め込まれたペイロード、悪意ある依存パッケージを含むGitHubリポジトリ、「技術試験」と称したバックドアインストーラなど、形式はさまざまだ。
一度開発者マシンへの足掛かりを得れば、攻撃者はプライベートキー、内部ツールのセッショントークン、クラウドインフラの認証情報など、プロトコル運営に直結する機密を吸い上げることができる。
この「職人技」とも言える作戦術は、民間の犯罪グループには真似し難いレベルの制度的投資の結果だ。DPRKのサイバーユニットはフルタイムで訓練された国家公務員であり、厳格なオペレーションセキュリティの下で動き、どのプロトコルが脆弱で、どの開発者が接近しやすいかといった知見を年単位で蓄積している。
関連記事： テラウルフ株が急騰——Anthropic提携でビットコインマイナーが190億ドル規模のAI銘柄に変貌
盗難額の裏側にあるマネーロンダリング基盤
暗号資産を盗むことは、あくまで第一段階にすぎない。政権の使える外貨として還元するには、周到に組織化されたロンダリングチェーンが必要であり、そのプロセス自体がオンチェーン調査の主要テーマとなっている。実務上、DPRKの関与が最もはっきりと浮かび上がるのは、この「盗難後の資金移動」においてだ。なぜなら、彼らには行動様式に特徴があり—— 資金移動と秘匿化のパターン
ブロックチェーン分析企業のChainalysisは、北朝鮮（DPRK）による典型的な資金洗浄フローを、多段階から成るプロセスとして詳述している。まず、盗難資産はオンチェーンの分散型取引所（DEX）を通じてイーサリアム (ETH) や ビットコイン (BTC) にスワップされ、プロトコル固有で流動性の低いトークンが、より換金性の高い主要銘柄へと転換される。その後、これらの資産はミキシングサービスを経由する。北朝鮮勢力は歴史的に Tornado Cash を多用してきたが、2022年8月に同サービスがOFAC制裁対象となったことを受け、SinbadやYomixなど代替の秘匿ツールへとシフトした。ただし、これらも最終的には米国制裁の網にかかっている。
OFACは2023年11月にSinbadミキサーを、2025年4月にYomixミキサーを制裁指定しており、北朝鮮側が新たな洗浄インフラを構築するたび、それが最終的に制裁対象となる「いたちごっこ」の構図が鮮明になっている。
ミキシング後の資金は、多層構造の取引所口座ネットワーク、マネロン規制が形骸化した法域で活動するOTCブローカー、そしてP2Pプラットフォームを経由していく。最終的な法定通貨への出口としては、歴史的にKYC（本人確認）体制が緩い東アジア・東南アジア拠点の暗号資産取引所が多用されてきた。2024年の 国連北朝鮮制裁専門家パネル の報告書は、暗号資産窃取による収益を、北朝鮮の弾道ミサイル計画における主要な資金源と位置づけ、暗号資産収入が大量破壊兵器開発に必要な外貨の約4割を賄っていると推計している。
関連記事: イーサリアムは「リーンチェーン」構想でほぼゼロステート化も ブテリン氏の急進案とは
規制当局の対応とその限界
米政府は、北朝鮮の暗号資産オペレーションに対し、広範なツールセットを投入している。具体的には、OFACによるウォレットおよびミキシングサービスの制裁指定、FBIによる個別ハッキング案件の犯行主体認定、同盟国情報機関との共同勧告などだ。米司法省（DOJ） は複数の北朝鮮工作員を起訴しているものの、引き渡しの枠組みがない以上、実際の訴追は事実上不可能に近い。
米国の対応には構造的な制約がある。ウォレットアドレスの制裁指定は、規制された金融インフラを出口として利用するアクターに対しては効果を持つが、米国のAML（マネロン対策）管轄外の法域を経由する高度なプレーヤーにはほとんど抑止力を持たない。Tornado Cashに対するOFAC制裁は象徴的かつ物議を醸した措置だったが、北朝鮮側は数カ月で代替インフラへと移行している。
DOJは、暗号資産窃取作戦に関連して7名の北朝鮮軍系ハッカーを起訴したが、いずれも公判には至っていない。これらの起訴は、実務上は犯行主体の明示と、資金移動に関与しうる第三者サービスへの抑止メッセージという意味合いが強い。
政府間のAML基準策定機関である 金融活動作業部会（FATF） も、北朝鮮を最高リスクカテゴリーに格上げし、加盟国に対して北朝鮮関連取引への高度な顧客管理（EDD）の適用を継続的に要請している。ただし、FATFの勧告は法的拘束力を持たず、北朝鮮にとって出口として有用な法域の多くは、そもそも非加盟か、あるいは履行状況が極めて不十分な加盟国だ。
一方、EUで2024年末に全面適用となった 暗号資産市場規制（MiCA） には、一定金額以上の暗号資産送金に対して送受信者情報の付随を義務づける「トラベルルール」要件が盛り込まれた。支持派は、これにより一部のOTCルートが事実上閉塞すると主張する。だが批判派は、北朝鮮オペレーションの巧妙さを踏まえると、非ホスティッドウォレットやEU管轄外の法域を組み合わせることで、KYC要件を容易に迂回しうると指摘している。
関連記事: Metaの「Muse Image」 インスタグラムがAIアートの素材倉庫に
オンチェーン・フォレンジクスが示すもの
暗号資産窃取を北朝鮮の所業とみなすことは、政治的主張ではない。誰でもアクセスできるパブリック・ブロックチェーンデータとウォレット・クラスタリング・ツールに基づき、第三者でも再現可能なオンチェーン分析に根ざしている。このメカニズムを理解することは、その信頼性を評価するうえで不可欠だ。
北朝鮮勢力がプロトコルから資産を盗むと、その最初のトランザクションは即座にオンチェーン上で可視化される。盗難資金は攻撃者管理下のウォレットへ送られ、その後スワップ、ブリッジ、ミキシングといった一連の取引が実行される。別のブロックチェーン分析企業である Elliptic は、北朝鮮関連ウォレットが示す行動パターン──特定の時間帯に集中する送金、好まれるスワップ経路、中間ウォレットに残される特有の「ダスト」（少額残高）、そして移動前に盗難資金を長期間同一クラスター上で滞留させる傾向など──に基づく詳細な手法を公表している。
Ellipticのウォレット・クラスタリング分析は、北朝鮮の窃取オペレーションに関連するアドレスを1万5,000超特定しており、フォレンジック分析官はこの相互接続されたウォレットグラフを用いることで、ミキシング後であっても資金の流れを追跡している。
FBIがAlphapo や、2023年の Atomic Wallet 流出といった個別インシデントの犯行主体を北朝鮮系と認定する際には、こうしたオンチェーン・フォレンジクスに加え、機密扱いのシギント（通信傍受等）が組み合わされている。
公開ブロックチェーンデータと政府の情報収集を組み合わせることで、伝統的なサイバー犯罪捜査──オンチェーン証拠が存在しない世界──よりも高い確信度での犯行主体特定が可能になっている。
関連記事: セイラー氏「ビットコイン3.3%成長」で配当戦略維持が可能と主張
並行する収益源としてのITワーカースキーム
ハッキングとは別軸で、北朝鮮は2024〜2025年にかけて法執行機関の注目を集めた暗号資産関連の収益プログラムも展開している。数千人規模とされる北朝鮮国籍のIT人材が、AI生成の身分証明書やディープフェイク動画を用いて偽名で身元を偽り、北米・欧州の暗号資産企業やWeb3スタートアップでリモート雇用を獲得している。
米司法省 は2024年5月、この偽装ITワーカーを米国内の300社超に送り込み、その収入を北朝鮮に送金していたとして、14人を起訴した。
訴状によれば、各ITワーカーの年収は25万〜30万ドルに達し、スキーム全体では数年にわたり数千万ドル規模の収益を上げていたとされる。
DOJの2024年5月の起訴状は、北朝鮮ITワーカーが米国の暗号資産・テック企業で1人あたり年間最大30万ドルを稼ぎ、その資金が米英中に所在する仲介者ネットワークを経て北朝鮮に送金されていた実態を詳述している。
このITワーカースキームが暗号資産業界にとって厄介なのは、開発組織の内部に「インサイダー」を直接埋め込む点にある。正規の認証情報とリポジトリアクセス権を持つITワーカーは、外部から境界防御を突破しようとする攻撃者よりも、はるかに大きなリスクとなりうる。
複数のセキュリティ研究者は、コードコミットの不自然なパターン、説明のつかないリポジトリアクセス、異常な勤務時間帯などが、セキュリティ意識の高い暗号資産企業において、潜在的な北朝鮮ITワーカーの兆候として注視され始めていると指摘する。
ITワーカースキームと、偽求人オファーを用いた開発者のソーシャルエンジニアリングが交錯することで、北朝鮮による暗号資産業界への攻撃面は多次元化している。外部から侵入を図るハッカー、偽の採用プロセスで信用情報を奪われた開発者、そして内側から潜伏するインサイダー──それぞれが同時並行で機能している構図だ。
関連記事: OpenAIの「GPT-5.6」にトランプ政権がゴーサイン AI商用展開が一段と拡大へ
業界全体のセキュリティ対応
北朝鮮リスクへの業界側の対応は、総じて見ると厚みを増しているが、その手当ては依然として偏在している。
資金力に余裕のある主要プロトコルの多くは、デプロイ前の大規模なセキュリティ監査、6桁ドル規模のバグバウンティプログラム、そして攻撃的セキュリティ出身者を含む専任セキュリティチームを備えるようになった。
こうしたセキュリティ投資の集中は、暗号資産市場そのものを特徴づけるパワーロー（べき乗則）分布の一断面ともいえる。
主要なWeb3バグバウンティプラットフォームである Immunefi は、2025年半ばまでの累計で1億ドル超の報奨金支払いを報告しており、その過程で、本来なら数十億ドル規模の損失につながりかねない脆弱性の発見を支援したとしている。
同社史上最大となった単一報奨金は、ある大型DeFiプロトコルの致命的な欠陥を事前に発見したホワイトハッカーに支払われた1,000万ドルだ。
しかし、こうしたセキュリティ支出がトップティアのプロトコルに偏ることで、依然としてTVL（ロック総額）ベースで数十億ドルを抱える中小規模のDeFiプロジェクトは、相対的に手薄な防御のまま放置されている。
数多くの大型ハックの震源となってきたクロスチェーンブリッジ問題に対しては、それ自体が一つのアーキテクチャ的課題領域として認識され、固有の解決アプローチが模索されている。
その中心にあるのが、バリデーター委員会などの信任主体に依存しない、より「トラストミニマイズド」なブリッジ設計へのシフトだ。具体的には、ゼロ知識証明（ZK）を用いて、ソースチェーンの状態を検証可能にしつつ、検証プロセスを第三者の委員会に委ねない仕組みを構築しようとする動きである。
Succinct Labs や Polyhedra Network といったプロジェクトは、Roninブリッジのような事例で exploitable となった「信頼された委員会」前提を排除することを狙い、ZKライトクライアント向けインフラの構築に取り組んでいる。
こうした新アーキテクチャが、クロスチェーンブリッジの構造的な脆弱性を本当に解消しうるのか──その答えは、今後数年の実装と実戦環境での検証に委ねられている。北朝鮮の能力開発ペースを、セキュリティインフラの高度化が上回れているかどうかについては、現時点で確たる自信は持てない。
2026年上期の「シェア66％」という数字は、相当規模の業界投資が行われているにもかかわらず、攻撃側がなおも歩調を合わせていることを示している。
関連記事: SpaceXAI、600億ドル案件完了前から「Cursor駆動のClaudeキラー」構想
地政学的な意味合いと今後の行方
暗号資産窃取は、北朝鮮にとって最重要のハードカレンシー獲得手段となっている。
これは誇張表現ではない。米財務省、国連、同盟国の情報機関がそろって認める、実務レベルの現実だ。
国連安全保障理事会の専門家パネルは、北朝鮮による暗号資産窃取の累計規模を2017〜2023年で約30億ドルと推計しており、そのペースは直近数年で加速している。
こうして得られた資金が、通常の意味での「国家財政」に計上されるわけではない。
資金はそのまま兵器開発、特に弾道ミサイルおよび核弾頭小型化といった、平壌が最優先課題と位置付けるプログラムに流れ込む。
DeFiプロトコルから盗まれる1ドルごとに、米国・韓国・日本の防衛当局が脅威評価モデルに組み込んでいる兵器体系の物的・技術的能力が積み上がっていく、という構図である。
国連専門家パネルは、2017〜2023年の約30億ドル規模の窃取資金が、兵器開発資金として直接活用されたと結論付けており、ブロックチェーンセキュリティそのものが北東アジアの安全保障計算の一部となっている。
こちらも読まれています: Fable 5より安い有力代替5選：日常のAI業務で割高な選択を避ける
総括
2026年上期の「66.2％」というシェアは、単なる統計上の雑学ではない。
それは、「世界有数の国家サイバー部隊」と、「市場投入のスピードを優先してきた暗号資産業界」との攻防の現状を示すシグナルである。
2017年前後の取引所ハッキングから、2022年のRoninブリッジ侵害、そして現在進行中の、開発者・ブリッジ・インサイダーを同時に狙う多層的キャンペーンまで——この軌跡は、業界側の防御投資が追いつき切れていない一方で、学習し、適応し、スケールを拡大し続ける攻撃主体の存在を浮き彫りにしている。
北朝鮮に有利に働く構造要因は、向こうしばらく解消しそうにない。
北朝鮮は、民間への人材流出リスクも、説明責任も負わず、「あらゆる手段で外貨を稼ぐ」ことを国家として命じられたサイバー要員を制度的に抱えている。
これに対し、暗号資産業界のセキュリティは分散的だ。最も価値の高い主要プロトコルの防御は確実に強化されつつあるが、その周辺に広がる無数の小規模DeFiプロジェクトは、構造的にセキュリティリソースが不足したままである。
さらに、エコシステム内の「流動性の島々」をつなぐクロスチェーンブリッジは、アーキテクチャ自体が複雑で、恒常的に突かれ得る前提条件や設計上の甘さを内包し続けている。
