日本の警察庁や米連邦捜査局（FBI）を含む日米豪独の7機関は、北朝鮮系サイバー攻撃グループ「WaterPlum」による暗号資産の窃取手口と被害実態を共同で公表しました。同グループは求人や技術面接を偽装してエンジニアを標的とし、2025年12月から2026年7月にかけて100か国以上で3万台を超えるデバイスを感染させ、累計17億円（1,071万ドル）相当の暗号資産を北朝鮮へ移転させたとされています。日本国内では初となる遠隔操作拠点「ラップトップファーム」が摘発されたほか、国内取引所への侵入未遂も確認されており、Web3業界における開発環境や採用活動の安全対策において極めて重要な事例と見られます。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
求人偽装と不正コードによるウォレット侵害の手口
WaterPlum（通称「Contagious Interview」）は、AI・仮想通貨・NFT関連企業の採用担当者を装い、SNSや求人プラットフォーム、フリーランス向けサービスを通じてソフトウェア開発者やITエンジニアに接触します。手口の中心は、オンラインの技術面接や実技課題を口実に、被害者へ不正なコードのダウンロードと実行を促す点にあります。
攻撃にはNode Package Manager（NPM）向けの不正パッケージが使われており、BeaverTailやInvisibleFerret、OtterCookie、OtterCandy、StoatWaffleといったマルウェアが組み込まれています。感染後はリモートアクセス型トロイの木馬（RAT）によって外部との接続を維持し、ウォレットの秘密鍵やシードフレーズ、ブラウザに保存された認証情報を外部のC2（コマンド＆コントロール）サーバーへ送信する仕組みです。警察庁とFBIは、これら攻撃者や一部の北朝鮮ITワーカーが、朝鮮労働党中央委員会傘下の軍需工業部第313総局のもとで活動しているとみています。
国内取引所への侵入未遂とラップトップファームの初摘発
北朝鮮ITワーカーは、国内外の協力者（イネイブラー）の自宅などにパソコンを設置して遠隔操作を行う「ラップトップファーム」を運用し、クラウドソーシング経由で業務契約を獲得しているとされています。今回の調査では、日本国内でイネイブラーが運営するラップトップファームが初めて特定・摘発され、数億円規模の暗号資産が国外へ送金されていた事実が判明しました。
さらに、国内の暗号資産取引所を直接狙った動きも確認されています。2025年5月には、国内取引所のエンジニア職に対して北朝鮮ITワーカーとみられる人物が偽の経歴書を用いて応募していました。面接での受け答えが経歴と不釣り合いだったことなどから採用が見送られ、実害には至らなかったものの、国内の業界事業者に対しても直接的な接触が試みられていたことが示されています。
開発現場に求められる防御策とインシデント対応
当局は被害を防ぐため、信頼できない第三者から提供されたコードをサンドボックスや仮想環境以外で実行しないよう注意を呼びかけています。特に開発現場に向けては、EDR（エンドポイント検知・対応）ツールの導入に加え、未知のVSCodeプロジェクトを開く際には「制限モード」を使用してtasks.jsonの自動実行を防ぐといった具体的な対策を推奨しています。
端末の感染が疑われる場合は速やかにネットワークから切り離す必要があります。ウォレット情報の漏えいが疑われる局面では、安全な別端末で新規ウォレットを作成したうえで速やかに資産を移し、シードフレーズはオフラインで保管することが求められています。
ポイント
- 日米豪独の7機関が北朝鮮系グループ「WaterPlum」の手口を公表し、世界100か国以上で3万台超の端末が感染、累計17億円相当が流出した実態が判明した点
- 採用担当者を装った技術面接や実技課題を通じて不正パッケージを実行させ、ウォレットの秘密鍵や認証情報を奪う高度な標的型攻撃である点
- 日本国内で初となる遠隔操作拠点「ラップトップファーム」が摘発され、国内取引所への偽装応募事例も確認されるなど、国内Web3事業者への脅威が現実化している点
- 開発環境における不審なコード実行制限やVSCodeの設定見直し、シードフレーズのオフライン管理といった具体的な現場対策が求められている点