🕵️‍♂️ インサイダー脅威の暴露：イーサリアム資金提供のプロジェクトがWeb3で100人の北朝鮮工作員を発見

2026年4月19日現在、世界的なブロックチェーンインフラにおいて重大なセキュリティ侵害が明らかになった。Ketmanプロジェクトの最新調査結果によると、これはEthereum財団のETHレンジャーズプログラムによって資金提供されたイニシアチブであり、約100人の北朝鮮疑惑のIT労働者が53の異なる暗号プロジェクトに潜入していることが判明した。これらの工作員は標準的な採用プロトコルやKYC認証を突破し、さまざまなWeb3組織のコア開発チームに入り込んでいた。この大規模な露呈は、高度な「サプライチェーン攻撃」戦略を浮き彫りにしており、悪意ある者たちがコードベースに内部アクセスを得て、壊滅的な悪用の土台を築く可能性を示している。

( 偽のKYCの技術：偽造された日本人身分証明書

調査は、北朝鮮の工作員が正当な高レベルの開発者として見せかけるために極限まで努力していることを明らかにしている。

• 偽の人物像： 工作員は頻繁にOnlyDustなどのプラットフォーム上で日本人フリーランス開発者を装った。AI生成のプロフィール写真や、「岩木宏人」や「増尾基樹」などの名前を使い、専門的な外見を演出し、複数の採用委員会を騙していた。
• 偽造書類： 認証を通過するために、労働者は高品質の偽造された日本の身分証明書を提出した。ある恐ろしいケースでは、疑惑者は日本語を話せないことが判明した瞬間、自己紹介を求められた後、突然面接を放棄した。
• 深いコードアクセス： 捜査官は、11の異なるリポジトリにまたがる3つの異なるアクタークラスターを追跡した。合計で62のプルリクエストがさまざまなプロジェクトにマージされ、工作員が検出され排除されるまでに行われた。これにより、現在ライブで稼働しているコードの整合性に深刻な懸念が生じている。

) Ketmanシールド：オープンソースでの反撃

この蔓延する脅威に対抗して、Ethereum資金提供チームは新たなツール群を開発した。

• gh-fake-analyzer： Ketmanプロジェクトは、オープンソースのGitHubプロフィール分析ツールをリリースし、PyPIで利用可能になった。このツールは、偽の貢献グラフや地域メタデータの不一致など、疑わしいパターンを検出することを目的としている。
• 北朝鮮IT労働者フレームワーク： **Security Alliance ###SEAL###**と協力し、北朝鮮の侵入を検出・報告するための標準化された業界フレームワークを共同作成した。これはすでにWeb3セクターの人事・セキュリティチームのベンチマークとなっている。
• ETHレンジャーズのインパクト： SecureumやThe Red Guildなどのグループを含む、より広範なETHレンジャーズプログラムは、最新のまとめで大きな成功を報告している：580万ドル以上の資金回収、785件の脆弱性報告、36件の重大インシデント対応を行った。

( 何十億ドルのための踏み台：戦略的目標

セキュリティ研究者は、この侵入は稀に最終目的ではなく、国家支援の窃盗の予備段階であると警告している。

• サプライチェーンリスク： 「Contributor」や「Admin」の権限を得ることで、北朝鮮の労働者はスマートコントラクトに微細な脆弱性を注入できる。これらの「バックドア」は、数ヶ月または数年後に専門のハッキングユニットによって悪用され、プロトコルを枯渇させることが可能だ。
• 制裁回避： これらの労働者は高給を暗号通貨で北朝鮮政権に送金し、国際的な銀行制裁を回避する重要な収入源となっている。
• 十億ドルの脅威： 北朝鮮のハッキンググループは過去5年間で数十億ドルのデジタル資産を盗んできた。この最新の発見は、彼らの戦術が外部からの「ブルートフォース」攻撃から、内部の秘密侵入へとシフトしていることを裏付けている。

) 重要な金融免責事項

この分析は情報提供と教育目的のみであり、金融、投資、法的助言を意図したものではない。Ketmanプロジェクトが2026年4月19日現在に公開したETHレンジャーズプログラムのまとめに基づき、約100人の北朝鮮IT労働者が53の暗号プロジェクトに潜入したと報告している。国家支援のアクターによる侵入は、プロジェクトのセキュリティと投資者資金に極めて重大なリスクをもたらす。gh-fake-analyzerのようなオープンソース検出ツールの有効性は保証されない。常に徹底的な自己調査を行い###DYOR###し、認定されたサイバーセキュリティ専門家に相談してください。

(

あなたはポートフォリオ内のプロジェクトの開発者を監査していますか、それともフリーランスプラットフォームの「認証済み」バッジを信頼していますか？