DMM Bitcoinの482億円流出(2024年5月公表)
結論から
- 2024年5月31日に、約482億円相当(4,502.9BTC)のビットコインの不正流出が発覚しました。グループから550億円分を調達して顧客の資産を補填しています。
- 警察庁はFBIなどと共同で、北朝鮮を背景とするTraderTraitorの犯行と特定しました。ウォレット管理の委託先Gincoの従業員に、採用試験を装って接触したとされています。
- 関東財務局が業務改善命令を出し、同社は2024年12月に口座と預かり資産をSBI VCトレードに移して廃業すると発表しました。
概要
- 公表日
- 2024年5月31日
- 発生
- 2024年5月
- 検知・発覚
- 2024年5月31日
- 最新の公表
- 2024年12月24日
- 組織・業種
- DMM Bitcoin(委託先: Ginco)(暗号資産交換業 / 金融・保険・証券)
- 漏えいした情報・件数
- 個人情報の漏えいではなく、暗号資産4,502.9BTC(当時のレートで約482億円相当)の不正流出
- 業務への影響
- 暗号資産の出庫や現物の買い注文などのサービスを制限して営業を継続。2024年12月に廃業を発表し、口座と預かり資産をSBI VCトレードへ移管
- 業績への影響
- 流出分の補填のため、グループ会社などから550億円分のビットコインを調達(2024年6月)
- 犯行グループ(企業・当局の認定)
- 警察庁・警視庁がFBI・米国防省サイバー犯罪センター(DC3)と共同で、北朝鮮を背景とするTraderTraitor(Lazarus Groupの一部とされる)の犯行と特定(2024-12-24)
- 行政の対応
- 関東財務局が2024年9月に業務改善命令
経緯
-
攻撃者がビジネスSNS上でリクルーターを装い、ウォレット管理の委託先Gincoの従業員に接触。採用前の試験として悪意のあるスクリプトを送った(警察庁の公表による) [1]
-
中旬以降、攻撃者が侵害した従業員になりすましてGincoのシステムに入り、下旬にDMM Bitcoin社員の正規の送金依頼を改ざんした [1]
-
約482億円相当(4,502.9BTC)のビットコインの不正流出が発覚 [2]
-
顧客の資産を補填するため、グループ会社などから550億円分のビットコインの調達を完了 [2]
-
関東財務局が業務改善命令。システムを統括する役員の不在や秘密鍵の一括管理などを問題とした [2]
-
口座と預かり資産をSBI VCトレードに移管し、移管後に廃業する意向を発表 [2]
-
警察庁などがTraderTraitorの犯行と特定したと公表。金融庁などと連名で手口と対策の注意喚起を出した [3]
-
SBI VCトレードが案内した、口座・預かり資産の移管日 [4]
侵入経路と原因
警察庁と警視庁の捜査・分析によると、攻撃者は2024年3月下旬、ビジネスSNS上でリクルーターになりすまし、DMM Bitcoinがウォレット(暗号資産の保管場所)の管理を委託していたGincoの従業員に接触しました。この従業員は、ウォレット管理システムへのアクセス権を持っていました。
攻撃者は「採用前の試験」を装って、悪意のあるPythonスクリプトのURLを送り、従業員にコードを自分のGitHubページへコピーさせて端末を侵害しました。
5月中旬以降、攻撃者はセッションクッキー(ログインした状態を保つための情報)を使って従業員になりすまし、Gincoの暗号化されていない通信システムに不正アクセスしました。5月下旬には、このアクセスを使ってDMM Bitcoinの従業員による正規の送金依頼を改ざんし、ビットコインを攻撃者のウォレットに移しました。
警察庁は2024年12月24日、FBIなどと共同で、北朝鮮当局の下部組織とされるLazarus Groupの一部「TraderTraitor」の犯行と特定したと公表しました。国がサイバー攻撃の実行者を名指しで公表する「パブリック・アトリビューション」の一例です。
影響
資産への影響: 当時のレートで約482億円相当、4,502.9BTCのビットコインが流出しました。DMM Bitcoinは顧客の資産を守るため、グループ会社からの支援などで550億円分のビットコインを調達し、2024年6月に補填に必要な分をそろえました。
業務への影響: 不正流出の調査を続けるあいだ、暗号資産の出庫処理や現物の買い注文の受付などのサービスを制限しました。同社は、この状態が長引くと利用者の利便性を大きく損なうと判断し、口座と預かり資産を他社に移す決定をしたと説明しています。
行政の対応: 関東財務局は2024年9月に業務改善命令を出しました。ITmediaの報道によると、命令は、システムを統括管理する役員を置かず情報セキュリティ管理の権限を一部に集中させていたこと、金融庁のガイドラインに反すると認識しながら秘密鍵(所有を証明する暗号コード)を一括管理していたことなどを理由に挙げています。
会社の存続への影響: 2024年12月1日、口座と預かり資産をSBI VCトレードに移し、移管後に廃業する意向を発表しました。レバレッジ取引の未決済ポジションは移管の対象外とされました。1件の不正流出が、交換業者の廃業にまでつながった事案です。
会社の対応と再発防止策
DMM Bitcoinは、流出が発覚した後、グループ会社からの支援などで、流出分の補填に必要なビットコインを調達しました。あわせて、出庫などのサービスを制限したまま調査を続けました。
業務改善命令では、流出事案の具体的な事実関係と根本原因の分析・究明、適正で確実な業務運営の確保などが求められました。
最終的に、同社は自社での事業の継続ではなく、口座と預かり資産をSBI VCトレードへ移す道を選びました。SBI VCトレードは移管日を2025年3月8日と案内しています。
警察庁・内閣サイバーセキュリティセンター・金融庁は2024年12月24日、同じ手口への注意喚起を出しました。SNSで企業幹部や採用担当を装って近づき、不具合の修正などを頼んでプログラムを実行させる手口と、その緩和策を示しています。
この事案から学べること
- 攻撃の入口は自社ではなく、ウォレット管理を委託していた会社の従業員の端末でした。委託先の従業員が重要なシステムにアクセスできる場合、その端末と認証も自社のリスクになります。
- 採用試験や技術相談を装って、手元でプログラムを実行させる手口が使われました。社外から受け取ったコードを業務用の端末で実行しないルールが必要です。
- セッションクッキーを盗まれると、パスワードや多要素認証を通らずになりすまされることがあります。重要な操作には、送金依頼そのものを別の経路で確かめる仕組みが要ります。
自社で確認すること
- 1 重要なシステムにアクセスできる委託先の従業員と、その端末の管理方法を把握していますか。
- 2 社外から受け取ったプログラムやスクリプトを、業務用の端末で実行しないルールがありますか。
- 3 高額の送金や設定変更の依頼が改ざんされていないかを、別の経路で確かめる手順がありますか。
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- DMM Bitcoinの流出の原因は何ですか。
- 警察庁の公表によると、攻撃者が採用試験を装ってウォレット管理の委託先Gincoの従業員に悪意のあるスクリプトを実行させ、端末を侵害しました。その後、従業員になりすましてシステムに入り、DMM Bitcoin社員の正規の送金依頼を改ざんしました。
- 犯人は特定されていますか。
- 警察庁は2024年12月24日、FBIなどと共同で、北朝鮮を背景とするサイバー攻撃グループTraderTraitorの犯行と特定したと公表しました。
出典
- DMMビットコイン流出、“北朝鮮のハッカー集団”の犯行と特定 採用活動を装い、委託先の従業員に接触か ↗ (ITmedia NEWS、2024-12-24)
- 「DMMビットコイン」廃業へ 5月に482億円相当が不正流出 口座などはSBI VCトレードに移管 ↗ (ITmedia NEWS、2024-12-02)
- 北朝鮮を背景とするサイバー攻撃グループ TraderTraitor によるサイバー攻撃について(注意喚起) ↗ (警察庁・内閣サイバーセキュリティセンター・金融庁、2024-12-24)
- DMM Bitcoinからの口座・預かり資産の移管について ↗ (株式会社SBI VCトレード、2025-03-03)