ZachXBT、北朝鮮のIT労働者ネットワークのデータを公開し、$3.5百万ドルの暗号資産の資金フローを明らかにする

ブロックチェーン調査員のZachXBTは、2026年4月8日に、北朝鮮の決済サーバーから持ち出された内部データの詳細な分析を公開し、その内容は、偽の身元、偽造された法的書類、そして暗号資産から法定通貨への転換を連携させる仕組みによって、月あたり約$1百万を暗号資産で処理する計画を明らかにした。

データセットには、2025年後半から2026年初頭にかけての390の口座、チャットログ、取引記録が含まれており、$3.5百万超を処理する追跡済みウォレットアドレスと、米国の外国資産管理局（OFAC）により現在制裁対象となっている3つの機関へのリンクが含まれている。

内部決済サーバーデータが連携したネットワークを明らかにする

無名の出所が、北朝鮮（DPRK）のIT作業員が使用していた内部決済サーバーから抽出されたデータを提供した。データセットには、IPMsgからのチャットログ、口座リスト、ブラウザ履歴、取引記録が含まれている。ユーザーは、ラッキーガイズ［.]サイトと呼ばれるプラットフォームについて話し合っており、これは送金ハブとして機能し、メッセージングツールであると同時に報告チャネルでもあったと説明されていた。作業員はこのプラットフォームを通じて収益を提出し、指示を受け取っていた。

システムの弱いセキュリティが露呈した。複数の口座が、変更せずにデフォルトパスワード「123456」を使用していた。ユーザーレコードには韓国名、都市、コード化されたグループ識別子が記載されていた。3つの機関――Sobaeksu、Saenal、Songkwang――がデータに現れ、現在OFACの制裁対象となっており、ネットワークをこれまでに特定されていた作戦へと結び付けていた。

PC-1234と特定された管理アカウントは、支払いを確認し、口座の認証情報を配布しており、その内容はユーザーのニーズに応じて暗号取引所とフィンテックプラットフォームの間で異なっていた。

取引パターンは一貫した $3.5百万のフローを示す

2025年11月下旬以降、追跡済みウォレットアドレスは$3.5百万超を処理してきた。送金のパターンは一貫していた。ユーザーは取引所やサービスから暗号資産を送金し、その後、中国の銀行口座、またはPayoneerのようなプラットフォームを通じて法定通貨へ転換していた。PC-1234は受領を確認し、口座の認証情報を提供した。

ブロックチェーンのトレーシングは、複数の支払いアドレスを既知のDPRKクラスターに結び付けた。Tronの支払いアドレスの1つは、2025年12月にTetherによって凍結されていた。ZachXBTは、2025年12月から2026年2月までのスクレイプされた取引データに基づいて、ネットワークの完全な組織構造、ユーザーごとの支払い総額、グループごとの支払い総額などをマッピングした。

偽の身元、訓練、そして連携

侵害された端末のデータは、偽の人物像、求人応募、およびブラウザの活動を明らかにした。作業員は、位置を隠すためにAstrill VPNのようなツールに頼っていた。社内Slackの議論では、ディープフェイクの求人応募者に関するブログ記事が言及されていた。あるスクリーンショットでは、同じネットワーク上でIPMsgを介して33人のDPRK IT作業員が通信している様子が示されていた。

1人の作業員は、別のDPRK IT作業員とナイジェリアのプロキシ経由で、Arcano（GalaChainのゲーム）というプロジェクトから盗むことを積極的に議論していたが、攻撃が実際に成立したかどうかは不明なままだった。管理者は、逆アセンブルに関するトピックを扱う43の訓練モジュールを送っており、Hex‑RaysやIDA Proを含むそれらは、ディスアセンブリ、デバッグ、そしてマルウェア分析に焦点を当てていた。これは、ネットワーク内で進行中の技術開発があることを示している。

他のDPRK脅威グループとの比較

ZachXBTは、このDPRK IT作業員の活動のクラスターは、AppleJeusやTraderTraitorのようなグループと比べると洗練度が低いと指摘した。これらははるかに効率的に活動しており、業界における最大のリスクをもたらしている。彼は、DPRK IT作業員が月あたりの収益として複数の7桁（百万台）規模を生み出していると見積もっており、データはそれを裏付けている。さらに、脅威主体が下層のDPRKグループを標的にしていないことで、機会を放置しているとも示唆した。理由として、報復のリスクが低く、競争が最小限であることを挙げていた。

FAQ

ZachXBTは北朝鮮のIT作業員についてどのようなデータを暴露しましたか？

ZachXBTは、侵害されたDPRKの決済サーバーに由来する内部データを公開した。そこには390の口座、チャットログ、取引記録、そして偽の身元が含まれていた。このデータは、月あたり約$1百万を暗号資産で処理するスキームを明らかにし、追跡されたウォレットは2025年後半以降に$3.5百万超を扱っていた。

ネットワークの一部として特定されたのはどの企業（機関）ですか？

3つの機関――Sobaeksu、Saenal、Songkwang――がデータに現れており、現在米国の外国資産管理局（OFAC）によって制裁対象となっている。これにより、ネットワークはこれまでに特定されていたDPRKの作戦へと結び付けられた。

データから見つかった訓練資料は何ですか？

管理者は、Hex‑RaysやIDA Proのようなツールを使って、逆アセンブル、ディスアセンブリ、デコンパイル、ローカルおよびリモートのデバッグ、そしてマルウェア分析を扱う43の訓練モジュールを送っていた。これは、ネットワーク内で進行中の技術開発があることを示している。