クリプトデイリー 2026-09-19
北朝鮮IT労働者がbitFlyerの求人に応募と警察庁が公表/zERC20のzJPYCで不正ミント、流出分は全額補償/米財務省がイランの取引所「BitBank」を制裁、日本のbitbankとは別。今日の3本です。
今日は「採用窓口を狙う攻撃」「設定ミスによる不正ミント」「名前の似た別会社への制裁」の3本です。どれも価格の話ではなく、仕組みや名前を正しく読めるかどうかが問われるニュースだと思います。
1. 北朝鮮IT労働者がbitFlyerのエンジニア職に応募、警察庁が公表
警察庁は9月18日、北朝鮮IT労働者とみられる人物が2025年5月に国内の暗号資産取引所bitFlyerのエンジニア職へ応募していたと公表しました。応募者は偽造した履歴書を添付し、複数のVPNサービスを経由してアクセスしていました。オンライン面接では日本への転居や出社を拒み、暗号資産での給与支払いにこだわるなど不審な言動があり、bitFlyerが気づいて対応したため採用や被害には至っていません。警察庁とFBIは、サイバー攻撃グループ「WaterPlum」の攻撃者などと応募者が使ったIPアドレスが一致したと指摘し、朝鮮労働党313総局が関わっていると判断しています。
出典: NADA NEWS
ひとこと(Jura) — 攻撃の入口が「システム」ではなく「採用」だったという点が、このニュースの一番の構造だと思います。警察庁が採用側に求めているのも、職歴や技能の具体的な確認、アクセス元と居住地の一致、報酬の受け取り方の不自然さといった地道な確認でした。取引所を選ぶ側としては、こうした公表に名前が出た会社が「防げた側」だったことも合わせて読んでおきたいですね。
2. zERC20のzJPYCで約996万トークンが不正ミント、流出分は全額補償
プライバシー保護型のトークン送金基盤「zERC20」で、ポリゴン上のトークン「zJPYC」が不正に発行(ミント)されました。不正ミントは996万5,000zJPYCで、そのうち334万8,497JPYC余り(約335万円相当)が外部へ流出しています。攻撃は約4分で実行され、原因はzERC20が使う「Novaライブラリ」の既知の脆弱性と、ポリゴンへのデプロイ時に本来無効化すべき「BatchWithdraw」の出金経路が有効なままだった設定ミスの組み合わせとされています。影響はポリゴン上のzJPYCに限られ、運営側は全額補償、検証コントラクトの停止、攻撃者アドレスのブロックリスト登録を行い、再発防止としてデプロイ後監査を導入するとしています。
出典: あたらしい経済
ひとこと(Jura) — 名前に「JPYC」と入っていますが、被害が出たのはzERC20という別の仕組みの上で発行されたトークンです。同じzERC20でも、他のトークンやカイア上のzJPYCは同じ経路を無効化していて影響がなかったとされていて、ライブラリの弱点より「チェーンごとのデプロイ設定」が明暗を分けています。名前に既存の銘柄を含むトークンを扱うときは、元のトークンと発行元・仕組みが同じかどうかを最初に確かめたいところです。
3. 米財務省、イランの取引所「BitBank」を制裁指定、日本のbitbankとは別
米財務省外国資産管理室(OFAC)は9月17日、イランの暗号資産取引所BitBankを制裁対象に指定しました。米財務省は、同取引所がイランによる制裁回避や資金移動に使われていたと判断しています。既存の制裁対象者であるババク・ザンジャニ氏が6月から7月にかけてBitBankを利用し、数億ドル相当のビットコインをイラン革命防衛隊(IRGC)へ移転したとされ、BitBankのシステム開発企業と同氏の関係者3人も指定されました。なお、このBitBankは日本の暗号資産取引所「bitbank」とは別の事業者で、日本のbitbankが制裁対象になったわけではありません。
出典: NADA NEWS
ひとこと(Jura) — 見出しだけ流し読みすると国内の取引所の話に見えてしまうので、今日の3本に入れました。海外の制裁ニュースは社名が英字のまま届くことが多く、似た名前の別会社が混ざりやすいんですよね。気になったときは、発表元(今回ならOFAC)の文面で国名と事業者の所在地を確認するのが確実だと思います。