DMM Bitcoinのハックは何だったのか？事件の原因を解説！

2024年5月に起きたDMM Bitcoinの流出事件は「マルチシグなら安全」という常識を覆しました。2本の秘密鍵が同時に盗まれ、4 502 BTC（約480 億円）が一瞬で持ち去られたのです。

調査の結果、犯行グループは北朝鮮系ハッカー TraderTraitor（ラザルス傘下）で、求人詐欺メール→開発環境へのマルウェア混入→送金コードの改ざんという３段階の攻撃を行ったことが判明しました。

資金はミキサーやクロスチェーンブリッジで細かく洗浄され、いまも多数のウォレットに分散中です。事件後、DMM Bitcoinは親会社から352 億円を借りて顧客補償を完了しましたが、2025年3月にSBI VC Tradeへ事業を譲渡して撤退を決めました。

---

事件の概要

• 発生日：2024年5月5日早朝、日本の暗号資産交換業者DMM Bitcoinのホットウォレットから4 502.9 BTCが不正送金されたと会社が発表 。
• 被害額：当時のレートで約480 億円、世界歴代8位の規模  。
• 検知：社内アラートで異常トランザクションが見つかり、同日中に入出金を停止  。
• 補填資金：親会社DMMグループが352 億円分のBTCを調達し顧客負担ゼロを宣言  。
• 行政対応：金融庁は9月に業務改善命令を出し、国内全取引所へ自己点検を要請  。
• 最終帰結：2025年3月、全顧客口座と資産がSBI VC Tradeへ移管され、DMM Bitcoinは閉鎖予定  。

攻撃の手口をかんたん解説

マルチシグ鍵の同時流出

DMM Bitcoinは「2‑of‑3」方式のマルチシグを採用していましたが、攻撃者は社内保管の鍵1本と、外部委託先が持つ鍵1本をいずれも窃取し、送金に必要な2署名を生成しました 。

ポイント：マルチシグでも「管理権限が集中している」と同時流出が起こりうる。

求人詐欺によるマルウェア感染

1. LinkedIn経由で委託開発会社Gincoのエンジニアに「高年収オファー」のPDFを送付
2. ファイルにはバックドア型マルウェアが仕込まれ、PC内のGitHubトークンが窃取
3. 攻撃者は社員になりすまし、送金先アドレスを書き換えたコードをプルリクで提出
4. レビュー担当者が承認→自動署名フローで犯行アドレスへ送金発火
   この一連の流れはTraderTraitorが得意とする手口で、米FBIも同様の分析を示しています 。

アドレスポイズニング

送金先アドレスはDMM側が日常的に使う自社アドレスと先頭・末尾が同じでした。人間の確認ミスを狙う「アドレスポイズニング」という古典的トリックです 。

高額ガス手数料で即時ブロック生成

犯行トランザクションには通常の10倍以上のネットワーク手数料が積まれ、「送金キャンセルが間に合わない」状態を作られました 。

犯人と動機

• 日本警察庁・FBI・米国防省DC3は北朝鮮ラザルス系TraderTraitorが関与したと共同発表。
• TraderTraitorは2024年だけで世界から6.5億ドル超を窃取し、核開発資金に充てていると報告されています 。

流出BTCはどこへ？

1. 4502 BTCを10〜500 BTCずつに分割 。
2. YoMixなどのオンチェーンミキサーで混合 。
3. THORChain/ChainflipでBTC→ETH→BTCとチェーンをまたいで履歴を分断 。
4. 最後はOTCデスクやP2P市場で細切れ現金化と推定。
   Chainalysisは「送金元と送金先を追えば約30 %は依然追跡可能」と指摘しています 。

事件が示した教訓と再発防止策

技術面

• MPCウォレットで鍵を数学的に分散：物理鍵が存在しないため盗難リスクを最小化。
• アドレスホワイトリスト＋テスト送金：大口送金前に少額テスト→確認→本送金でヒューマンエラー回避 。

人的・運用面

• 採用・転職関連メールは必ずサンドボックス検証。
• GitHubはSAML/MFA義務化と署名付きコミットで改ざん検知。
• リアルタイム監視ツール（Chainalysis KYT など）で大口異常送金を瞬時にブロック。

規制面

金融庁は「ホットウォレット残高の最小化」と「外部委託コードの二重レビュー」を全交換業者に指示しました。

まとめ

DMM Bitcoin事件は「鍵の物理分散」と「人の多層防御」がそろわないとセキュリティは破られることを世界に示しました。個人投資家も送金前にアドレス全文を確認し、取引所選びではMPC採用やリアルタイム監視体制の有無をチェックする――それが自分の資産を守る最短ルートです。