北朝鮮ハッカーチームがWeb3-仮想通貨業界に潜入-Stabble・Elemental・Marinade 等に複数年在籍|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月10日更新日時: 2026年04月10日

2026年4月7日、オンチェーン調査員ZachXBTがX（Twitter）上で、SolanaのDeFiプロジェクト「ElementalDeFi」の元コアメンバーが実際には北朝鮮（DPRK）の国家支援IT工作員であったことを暴露しました。しかし今回の実態はその一人にとどまりません。

独立調査機関Chollima GroupのOSINT報告書と複数の調査画像が明らかにしたのは、日本人名を使った複数のDPRK工作員が組織的なセルを形成し、Stabble・Elemental・Marinade・Divyなど複数のSolana DeFiプロジェクトに同時並行で潜入していたという驚愕の実態です。確認された工作員は少なくとも以下の3名です。

「Keisuke Watanabe」（@kasky53）：DPRK工作員。少なくとも1つの暗号資産プロジェクトでCTOを務めた。ElementalDeFi・Stabbleに在籍
「Jenson Collins」（@jcollinsx / nfbigjc）：DPRK IT Worker。ブロックチェーン/Web3開発者として活動
「Kazune Takeda」/「Greg Takeo」（別名：Joe Hisaishi、George Takeo、mtfuji25）：DPRK工作員。複数の暗号資産プロジェクトでCTOを歴任

この暴露は、4月1日に発生したDrift Protocolへの約285億円（2億8500万ドル）のハックをめぐる一連の調査と連動しています。MetaMask開発者のTaylor Monahanは「DeFi Summerから北朝鮮のIT工作員は活動しており、SushiSwap・Thorchain・Fantomなど40以上のプロジェクトに関わっていた」と証言しており、Web3セキュリティコミュニティは震撼しています。

1 単独犯ではなくチーム作戦
2 「DeFi Summerから潜入していた」：Taylor Monahanが語る7年間の浸透
3 背景：Lazarusグループの「IT工作員兵器化」戦略
4 なぜWeb3は北朝鮮工作員の温床になるのか
- 4.1 「リモートファースト」採用文化の盲点
- 4.2 「アップグレード可能なコントラクト」が生む長期的脅威
5 日本のWeb3企業・採用担当者が今すぐ取るべき具体的対策
6 FAQ：よくある質問

単独犯ではなくチーム作戦

特定された3名のDPRK工作員：識別情報の全容

ZachXBTの2026年4月7日の投稿と、独立調査機関Chollima Groupのレポート「Vientiane to Vladivostok（ビエンチャンからウラジオストクへ）」が組み合わさることで、今回の浸透工作の全貌が明らかになっています。

使用名義（日本人名偽装）	主なエイリアス	役割	在籍プロジェクト
「Keisuke Watanabe」	@kasky53・keisukew53・kdevdivvy・0xWoo・hirayama1534	DPRK Elevated IT Worker 少なくとも1プロジェクトでCTO	ElementalDeFi（複数年） Stabble（約1年前）
「Jenson Collins」	@jcollinsx・nfbigjc	DPRK IT Worker ブロックチェーン/Web3開発者	確認中（調査継続中）
「Kazune Takeda」/「Greg Takeo」	Joe Hisaishi・George Takeo・mtfuji25	DPRK Elevated IT Worker 複数プロジェクトでCTO歴任	複数のSolana DeFiプロジェクト（調査継続中）

出典：ZachXBT(@zachxbt) 2026年4月7日投稿、Chollima Group「Vientiane to Vladivostok」報告書、Protos、BanklessTimes

特に注目すべきは、「Kazune Takeda / Greg Takeo」が複数の異なる日本人名（Joe Hisaishi「久石譲」、George Takeo、mtfuji25）を使い分け、複数プロジェクトでCTOを歴任していた点です。Image 2が示すように、この人物は北朝鮮国旗を中心に据えた放射状の図で、SDAO・Stabble・Marinade・Divy・Elementalなど少なくとも7つのプロジェクトとの接続が視覚化されています。

潜入先プロジェクトの範囲：Stabble・Elemental・Marinade・Divy

Image 1が明示する今回確認されたプロジェクト群は以下の通りです。

プロジェクト	種別	確認された関与
Stabble	Solana DEX	Keisuke Watanabe（約1年前に在籍）。Stabble緊急引き出しアラートの直接原因
Elemental（ElementalDeFi）	Solana DeFiインフラ	Keisuke Watanabe（複数年在籍）。ZachXBTの公開暴露の起点
Marinade	Solanaリキッドステーキング（mSOL）	DPRK工作員の関与が示唆（調査継続中）
Divy	Solana DeFiプロジェクト	DPRK工作員の関与が示唆（調査継続中）

Marinade Finance（mSOL）はSolanaエコシステム最大級のリキッドステーキングプロトコルであり、仮にここにバックドアが残存している場合の影響範囲は甚大です。2026年4月時点でMarinadeのTVLは数億ドル規模に達しており、コミュニティへの影響が特に懸念されます。

関連：北朝鮮のIT労働者が日本企業で偽装就労か実態とセキュリティリスクを解説

Stabbleが緊急流動性引き出しを宣言：TVLが62%崩壊

ZachXBTの投稿を受けて、SolanaのDEX「Stabble」は即座にX上で緊急声明を発出しました。

「EMERGENCY! guys please temporally withdraw your liquidity instantly! Better safe than sorry.」（緊急事態！全員、今すぐ一時的に流動性を引き出してください！念のため）
— stabble (@stabbleorg) 2026年4月7日

Stabbleの新しい運営チームは、Keisuke Watanabeが約1年前に同プロジェクトに在籍していたことを確認しました。

アップグレード可能なプロキシコントラクトへの潜在的なバックドアの残存を排除できないとして、全ユーザーへの即時引き出しを呼びかけたのです。この発表から数時間以内に、StabbleのTVLは175万ドルから66.3万ドル未満へと62%崩壊しました（Cryptonews）。

Chollima Groupが特定：ラオス・ウラジオストクを拠点とする「セル」

今回の暴露を単なる個人の特定にとどまらない組織的な調査として裏付けているのが、独立OSINT機関Chollima Groupのレポート「Vientiane to Vladivostok（ビエンチャンからウラジオストクへ）」です。

同報告書が特定した工作員セルの全体像は以下の通りです。

物理的拠点：2022年6月〜7月はラオス・ビエンチャンのVictory Football Stadiumでの写真が証拠として特定。その後、2024年以降はロシア・ウラジオストク（Primorskiy Krai）に拠点移転
確認された工作員：Seo Kiwon/Seo Sigoto、Jenson Collins/nfbigjc/jcollinsx、Keisuke Watanabe/kAsky53/hirayama1534、Kazune Takeda/Greg Takeo/Joe Hisaishi/mtfuji25、Naoki Murano/supermutecx、Joshua Palmer、Jason Kwon、NKC06など
チームとしての活動：写真証拠によりメンバーが同一イベントに同時出席し、物理的に同一チームとして行動していることが確認されている
Naoki Murano・Kazune Takeda・NKC06の最終確認：2025年5月にPrimorskiy Krai（ウラジオストク近郊）で目撃

このセル構造の発見は極めて重要な含意を持ちます。今回特定された工作員たちが互いに調整しながら異なるプロジェクトに分散潜入していた可能性が高く、複数プロジェクト間の技術的アクセスを組み合わせることで、より高度な作戦（例：Drift Protocol型の6ヶ月越しのソーシャルエンジニアリング）を実行できる体制を整えていたと考えられます。

「DeFi Summerから潜入していた」：Taylor Monahanが語る7年間の浸透

この暴露と同時期に、MetaMask開発者のTaylor Monahan（@tayvano_）がさらに衝撃的な発言をしています。

「Lots of DPRK IT Workers built the protocols you know and love, all the way back to DeFi summer. The ‘7 years blockchain dev experience’ on their resume is not a lie.」
（あなたが知っていて愛しているプロトコルの多くが、DeFi Summerまで遡ってDPRKのITワーカーによって構築されています。レジュメにある「ブロックチェーン開発7年の経験」は嘘ではありません。）
— Taylor Monahan（@tayvano_）2026年4月5日

Monahanが名前を挙げた影響を受けた可能性のあるプロジェクトには、SushiSwap・Thorchain・Fantom・Shib・Yearn・Flokiが含まれ、40以上のプロトコルが北朝鮮開発者のコードを含む可能性があるとされています。「7年以上のブロックチェーン開発経験」というレジュメの記述は虚偽ではなく——彼らは実際に2018〜2019年のDeFi黎明期から本物の開発作業をしながら潜伏し続けてきたのです（Crypto.news、Metaverse Post）。

オンチェーン調査員のZachXBTも同様に「2026年においてもこのような手口に引っかかっているなら、非常に無責任と言わざるを得ない（very likely negligent）」と警告しています。

背景：Lazarusグループの「IT工作員兵器化」戦略

DeFi Summerからの長期潜伏という構造

Lazarusグループと関連するR3ACHのアナリストは、同グループが2017年以来暗号資産から約70億ドル（約1兆500億円）を窃取したと推定しています。主要な攻撃には、2022年のRonin Bridgeハック（6億2500万ドル）、2024年のWazirXへの攻撃（2億3500万ドル）、2025年のBybit事件（14億ドル）が含まれます。

Chainalysisの2026年報告書によれば、北朝鮮の脅威アクターは暗号資産サービスにITワーカーを埋め込んで内部アクセスを獲得し、大規模な侵害を可能にするという手法を主要な攻撃ベクトルとしてますます活用するようになっています。この記録的な成果は、取引所・カストディアン・Web3企業へのITワーカー潜入の拡大による内部アクセスの加速と横展開を反映していると考えられます。

しかしChainalysisはさらに進化を記録しています。DPRKに関連する工作員は単に役割に応募して従業員として埋め込まれるだけでなく、著名なWeb3・AI企業の採用担当者を偽装し、認証情報・ソースコード・VPNまたはSSOアクセスを収集するための「技術スクリーニング」として設計された偽の採用プロセスを実行するようになっています。

Drift Protocolハックとの直接的なつながり

2026年4月1日に発生したDrift Protocolへのハックは、この文脈において最大の事例です。Driftは、2026年4月1日の攻撃が2025年秋に始まった数ヶ月にわたる標的型ソーシャルエンジニアリング作戦の結果であると明らかにし、「6ヶ月越しの攻撃」と表現しています。中程度の確信度で、北朝鮮の国家支援ハッキンググループ「UNC4736」（AppleJeus、Citrine Sleet、Golden Chollima、Gleaming Piscesとも追跡される）に帰属させています。このアクターは少なくとも2018年以来、金融窃取を目的として暗号資産セクターを標的にしてきた歴史があります。

2025年12月から2026年1月にかけて、グループはDriftにEcosystem Vaultをオンボードしました。このプロセスでは複数のコントリビューターと「詳細で情報豊富な製品に関する質問」を交わしながら、100万ドル以上の自己資金を預け入れました。これはDriftエコシステム内に機能する運用拠点を構築するための計算された動きであり、2月から3月にかけてコントリビューターとの統合会話を継続しました。

アクター名	別名	主な標的・代表的な事件
Lazarus Group	Hidden Cobra、ZINC	暗号資産取引所全般。Bybit（2025年・14億ドル）
UNC4736	Golden Chollima、AppleJeus、Citrine Sleet、Gleaming Pisces	DeFi・小規模フィンテック。Drift Protocol（2026年・2億8500万ドル）、3CX/X_TRADERサプライチェーン攻撃（2023年）、Radiant Capital（2024年・5300万ドル）
TraderTraitor	UNC4899、Jade Sleet、Slow Pisces	暗号資産取引所。DMM Bitcoin（2024年・約570億円）

出典：The Hacker News、Elliptic、警察庁・FBI共同発表

2026年の被害規模：すでに前年の年間総額に匹敵

Ellipticの報告書によれば「確認された場合、このインシデントはEllipticが今年追跡した北朝鮮による18番目の行為となり、これまでに3億ドル以上が盗まれたことになる」とされており、2026年はすでに極めてハイペースで被害が拡大しています。2026年第1四半期だけで前年の年間総額（20億2000万ドル）に匹敵する水準に達しています。

なぜWeb3は北朝鮮工作員の温床になるのか

「リモートファースト」採用文化の盲点

Web3業界の採用構造は、北朝鮮IT工作員にとって理想的な侵入環境です。北朝鮮工作員は盗用または偽造されたアイデンティティを使用し、しばしばAI生成のプロフィール写真を持ち、業界のリモートファーストの文化と緩い身元調査に依存して雇用されました。

具体的な手口のポイントは次の通りです。

日本人・韓国人・西洋人の名前を使用：「Keisuke Watanabe」のような和名は日本のプロジェクトや日本語コミュニティへの信頼性を高める
「DeFi Summer（2020年）から7年以上のブロックチェーン経験」：実際に当時から活動していたため履歴書は偽りでない
Upwork・LinkedIn・Discordでの応募：リモート開発者として低リスクで複数プロジェクトに同時参加
少額の報酬で信頼を積む：初期は質の高いコードを提出して信頼を構築し、長期的なアクセス権を確保
暗号資産建てで給与受領：KYCなしでの送金が可能なステーブルコインや暗号資産を選好

ZachXBTはこれらの取り組みを「基本的で洗練されていない」と表現し、攻撃者は執拗に応募を繰り返し、偽造した経歴を磨き、Web3採用サイクルの量と速度を悪用していると述べています。

「アップグレード可能なコントラクト」が生む長期的脅威

特に深刻なのが、アップグレード可能なプロキシコントラクトへの北朝鮮工作員のコード関与です。Stabbleがこれほど迅速に緊急退出を呼びかけた理由がここにあります。

工作員が正規の開発者として在籍している間にコードを書いた場合、以下のリスクが長期にわたって残存します。

休眠バックドアの埋め込み：特定の条件下で活性化するロジックが潜伏している可能性
管理者キー・マルチシグ権限への関与：ガバナンス構造に影響を与えるコード変更を過去に実施した可能性
オラクル・価格フィードの操作ロジック：Drift Protocolの攻撃が示すようにオラクルの誤動作が致命的な損失につながる
将来のアップグレードへの悪意ある関与：退職後も別のエイリアスで復帰しコードレビューに参加する可能性

このような潜伏モデル——DPRKに関連するITワーカーが偽のアイデンティティのもとで暗号資産企業に開発者の役割を得る——は、少なくとも7年間にわたって記録されてきた運用パターンを表しており、運用上の洗練度が増しています。

日本のWeb3企業・採用担当者が今すぐ取るべき具体的対策

「Keisuke Watanabe」型偽装の見抜き方

日本語名を持つDPRK工作員の検出は特に難しい問題です。「Keisuke Watanabe（kasky53）」の事例が示す具体的なレッドフラグを整理します。

レッドフラグ	具体的なチェック方法
プロフィール写真がAI生成	Hive Moderation・FotoForensics等のAI画像検出ツールで確認。耳・背景の細部に不自然な歪みが特徴
給与の受け取りに暗号資産のみを要求	USDCやDAI等のステーブルコインのみでの受領要求は強いシグナル
複数プロジェクトに同時参加	GitHubのコミット時間が複数の異なるリポジトリで同時刻に存在
LinkedInと職歴の整合性がない	プロフィールの作成日・コネクションの薄さ・過去の雇用先への参照不能
「I Hate Kim Jong Un」テストへの回避	金正恩や北朝鮮批判のコメント要求への不自然な回避・トピック転換は有力なシグナル
VPN・プロキシ・リモートデスクトップ環境	開発作業のIPが毎回異なる国に変わる、またはVMから操作しているシグナル

採用・開発プロセスの強化

実際に対面で会う：実際に当事者と会って会話し、バックグラウンドをチェックする（大学や職歴に関する周辺情報を質問する）
ビデオ通話の必須化と顔認証：リアルタイムでの本人確認。ディープフェイク対策にはBirunaのようなリアルタイム検出ツールを活用
OSINTによるデジタルフットプリントの調査：GitHub上のコミット履歴・古いリポジトリのコントリビューター・ウォレットアドレスとOFAC制裁リストとの照合
Beacon Networkの活用：ZachXBTが推奨するツール。疑わしいウォレットにフラグを立てて取引所に即時アラートを送信
コードの署名と審査の多重化：コアコントラクトの変更には複数の独立したレビュアーによるコード審査を義務付け
アップグレード可能なコントラクトの定期監査：過去に在籍したDPRK疑いのある開発者が関与したコードの完全な再監査

関連：日本人を自称する北朝鮮ハッカー、金正恩を侮辱するよう言われ面接から逃走

日本語コミュニティへの注意点

日本では2026年3月に、日本のIT企業のオンライン面接に「ヨシイ・タケフミ」を名乗る人物が現れた事例が朝日新聞によって報告されています。

日本語はたどたどしく、声と口の動きが合っておらず、NTTデータグループのセキュリティアナリストは「北朝鮮のIT技術者の可能性が高い」と指摘しました。

「Keisuke Watanabe（kasky53）」の事例が示すように、北朝鮮工作員は日本人名を使って日本語コミュニティへの信頼を構築する手法を積極的に活用しています。日本のWeb3プロジェクト・DeFiチーム・暗号資産取引所の採用担当者は、日本語名の応募者であっても例外なく身元確認の徹底が必要です。

FAQ：よくある質問

「kasky53」とは誰ですか？

ZachXBTが2026年4月7日に公開したOSINT調査により、北朝鮮（DPRK）国家支援のIT工作員と特定された人物です。本名「Keisuke Watanabe」を名乗り、X（Twitter）アカウント @kasky53、GitHubでは keisukew53・kdevdivvy・kasky53・0xWoo のエイリアスを使用。SolanaのDeFiプロジェクト「ElementalDeFi」に複数年在籍し、「Stabble」にも関与していたことが確認されています。

北朝鮮のIT工作員はどのようにしてWeb3プロジェクトに潜入するのですか？

盗用または偽造した身分証明書・AI生成のプロフィール写真・作られた職歴（「ブロックチェーン開発7年以上」）を武器にUpworkやLinkedInで応募し、リモートファーストのWeb3採用文化の盲点を突きます。面接ではボイスチェンジャーで声色を偽装し、採用後は正規の開発者として数年間プロジェクトのコアコードを書き続けます。MetaMask開発者のTaylor Monahanは「DeFi Summerから彼らは活動しており、7年のブロックチェーン開発経験というレジュメは嘘ではない」と述べています。

Stabbleはなぜ緊急の流動性引き出しを呼びかけたのですか？

ZachXBTがElementalDeFiの前コアメンバー「Keisuke Watanabe（kasky53）」を北朝鮮IT工作員と特定し公開した直後、Stabbleは同人物が約1年前に同プロジェクトにも在籍していたことを確認しました。アップグレード可能なプロキシコントラクトへの残存リスクを排除できないとして即時の全流動性引き出しを呼びかけました。Stabble のTVLはアラート直後に62%崩壊しています。

Drift Protocolの285億円ハックと北朝鮮の関係は？

2026年4月1日に発生したDrift Protocolへの約285億円（2億8500万ドル）のハックは、北朝鮮国家支援の「UNC4736（Golden Chollima、AppleJeus等）」による2025年秋から6ヶ月間にわたる周到なソーシャルエンジニアリング作戦の結果です。スマートコントラクトのバグではなく、ガバナンスへの信頼を悪用したマルチシグネチャ権限の乗っ取りが攻撃の核心でした。EllipticとTRM Labsが北朝鮮の関与を強く推定しています。

出典一覧

一次ソース・オンチェーン調査