DMM

lazarus.day

In May 2024, Japan’s DMM Bitcoin lost 4,502.9 BTC, worth about $308 million, in a theft attributed by the FBI, DC3, and Japan’s National Police Agency to North Korea-linked TraderTraitor activity. The actors socially engineered a Ginco employee with a malicious GitHub-hosted Python script, used stolen session-cookie data to impersonate the employee, and manipulated a legitimate DMM transaction request to move funds to attacker-controlled wallets.

ThaiCERT Threat Group Cards

FBI links North Korean hackers to $308 million crypto heist https://www.bleepingcomputer.com/news/security/fbi-links-north-korean-hackers-to-308-million-crypto-heist/

tayvano/lazarus-bluenoroff-research

Amt Stolen: $305,800,000

Multilateral Sanctions Monitoring Team (MSMT) report, 22 Oct 2025

Table 2: DPRK Cryptocurrency Thefts, January - December, 2024. Date: 2024-05-31; Victim: DMM Bitcoin; DPRK APT: TraderTraitor; Amount ($ Million): 308. Report: "In coordination with Chainalysis and Mandiant, MSMT Participating States have attributed the cryptocurrency heists in tables 2 and 3 to DPRK actors."

FBI / DC3 / National Police Agency of Japan press release 2024-12-23

The Federal Bureau of Investigation, Department of Defense Cyber Crime Center, and National Police Agency of Japan are alerting the public to the theft of cryptocurrency worth $308 million U.S. dollars from the Japan-based cryptocurrency company DMM by North Korean cyber actors in May 2024. ... resulting in the loss of 4,502.9 BTC, worth $308 million at the time of the attack.

US-Japan-ROK Joint Statement on Cryptocurrency Thefts by the DPRK, 2025-01-14 (US State Dept)

In 2024 alone, our governments have individually and jointly attributed multiple thefts, denominated in virtual asset value in U.S. dollars, to the DPRK: DMM Bitcoin for $308 million, Upbit for $50 million, and Rain Management for $16.13 million.

Japan NPA press release 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について (2024-12-24)

令和６年３月下旬、TraderTraitor は、LinkedIn 上で、リクルーターになりすまし、日本に所在す る企業向け暗号資産ウォレットソフトウェア会社「株式会社 Ginco」（以下「Ginco」という。）の従 業員に接触しました。同サイバー攻撃グループは、Ginco のウォレット管理システムへのアク セス権を保有する従業員に、GitHub 上に保管された採用前試験を装った悪意あるPython ス クリプトへの URL を送付しました。被害者は、この Python コードを自身の GitHub ページにコ ピーし、その後、侵害されました。

Japan NPA press release 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について (2024-12-24)

警察庁は、同庁関東管区警察局サイバー特別捜査部及び警視庁による捜査・分析の結果を総合 的に評価し、米国連邦捜査局（FBI）及び米国国防省サイバー犯罪センター（DC3）とともに、令和６ 年５月に北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」（トレイダートレイター）が、我が 国の暗号資産関連事業者「株式会社 DMM Bitcoin」（以下「DMM」という。）から約 482 億円相当の 暗号資産を窃取したことを特定しました。

Japan NPA press release 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について (2024-12-24)

令和６年５月中旬以降、TraderTraitor は、侵害を受けた従業員になりすますためにセッション クッキーの情報を悪用し、Ginco の暗号化されていない通信システムへのアクセスに成功しま した。同月下旬、同サイバー攻撃グループは、同アクセスを利用して、DMM 従業員による正 規取引のリクエストを改ざんしたものと認められます。その結果、4,502.9BTC（攻撃当時約 482 億円相当）が喪失しました。最終的に、窃取された資産は TraderTraitor が管理するウォレット に移動されました。

Japan NPA 令和６年におけるサイバー空間をめぐる脅威の情勢等について (2025-03)

我が国においても、令和 6 年 （2024 年）5 月、北朝鮮を背景とするサイバー攻撃グループ TraderTraitor が、 国内の暗号資産関連事業者から約 482 億円相当の暗号資産を窃取した事案が 発生している。

Chainalysis blog: $2.2 Billion Stolen from Crypto Platforms in 2024

One notable example of a North Korea-affiliated hack in 2024 involved Japanese cryptocurrency exchange, DMM Bitcoin, which suffered a security breach resulting in the loss of approximately 4,502.9 Bitcoin, valued at $305 million at the time.

SlowMist 2024 Blockchain Security and Anti-Money Laundering Annual Report, section 3.3 DPRK (table 'attributed to DPRK-affiliated groups, with data from SlowMist Hacked')

The following is a chronological list of significant incidents attributed to DPRK-affiliated groups, with data from SlowMist Hacked: ... May-31, 2024 DMM Bitcoin $305,000,000

FBI/DC3/Japan NPA press release on TraderTraitor theft from Bitcoin.DMM.com (2024-12-23; via Wayback)

In late March 2024, a North Korean cyber actor, masquerading as a recruiter on LinkedIn, contacted an employee at Ginco, a Japan-based enterprise cryptocurrency wallet software company.

FBI/DC3/Japan NPA press release on TraderTraitor theft from Bitcoin.DMM.com (2024-12-23; via Wayback)

In late-May 2024, the actors likely used this access to manipulate a legitimate transaction request by a DMM employee, resulting in the loss of 4,502.9 BTC, worth $308 million at the time of the attack.

Japan NPA/NISC/FSA alert on TraderTraitor (令和6年12月24日 / 2024-12-24)

警察庁、米国連邦捜査局（FBI）及び米国国防省サイバー 犯罪センター（DC3）は連名で、北朝鮮を背景とするサイバー攻撃グループ 「TraderTraitor」（トレイダートレイター）が、暗号資産関連事業者「株式会社 DMM Bitcoin」から約 482 億円相当の暗号資産を窃取したことを特定したと公表しました。

ASCII.jp (ascii.jp)

attribution sentence(s): 警察庁は12月24日、DMM Bitcoinで5月に発生したビットコイン流出事件について、米国FBI及び米国防省サイバー犯罪センター（DC3）などと共同で、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」による犯行の可能性が高いことを明らかにした。 | ・TraderTraitorがLinkedIn上でリクルーターを装い、暗号資産ウォレットソフトウェア会社「Ginco」の従業員に接触 | TraderTraitorはサイバー攻撃グループ「Lazarus Group」の一部とされ、警察庁は引き続き米国政府機関や国際パートナーと連携して対処していくとしている。

NEWSECONOMY (neweconomy.jp)

attribution sentence(s): 発表によるとDMMビットコインからビットコインを窃取したのは、北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor（トレイダートレイター）」。同組織は、北朝鮮当局の下部組織とされる「Lazarus Group（ラザルスグループ）」の一部とされている。 | 「TraderTraitor」による犯行の手口の特徴は、同時に同じ会社の複数の従業員に対して実施される「標的型ソーシャルエンジニアリング」であり、DMMビットコインの不正流出についても同手口が用いられたという。 | 「TraderTraitor」は今年3月下旬、ビジネス特化型SNS「LinkedIn（リンクトイン）」上でリクルーターになりすまし、DMMビットコインの暗号資産管理の委託先である国内の企業向け暗号資産ウォレットソフトウェア会社Ginco（ギンコ）の従業員に接触。同グループは、Gincoのウォレット管理システムへのアクセス権を保有する従業員に、GitHub上に保管された採用前試験を装った悪意あるPythonスクリプトへのURLを送付したという。このPythonコードを被害者が自身のGitHubページにコピーしたことから、その後侵害されたとのこと。

NK News (nknews.org)

attribution sentence(s): Finding confirms previous research linking Lazarus Group to the elaborate social engineering campaign | North Korean cybercriminals stole $308 million in virtual funds earlier this year after infiltrating a Japanese cryptocurrency exchange’s systems through an elaborate social engineering campaign, according to U.S.

National Police Agency Japan 警察庁 (npa.go.jp)

attribution sentence(s): 警察庁は、関東管区警察局サイバー特別捜査部及び警視庁による捜査・分析の結果を総合的に評価し、米国連邦捜査局（FBI）及び米国国防省サイバー犯罪センター（DC3）とともに、令和６年５月に北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」（トレイダートレイター）が、我が国の暗号資産関連事業者「株式会社DMM Bitcoin」から約482億円相当の暗号資産を窃取したことを特定し、合同で文書を公表しました。 | FBI,DC3 and NPA Identification of North Korean Cyber Actors, tracked as TraderTraitor, Responsible for Theft of $308 Million from Bitocoin.DMM.COM | （仮訳）FBI、DC3 及び警察庁は、Bitcoin.DMM.Comから3億800万ドルを窃取したとして、北朝鮮のサイバーアクターTraderTraitorを特定

Nikkei 日本経済新聞 (nikkei.com)

attribution sentence(s): DMMビットコイン（東京・中央）から482億円相当のビットコインが流出した問題で、警察庁と米連邦捜査局（FBI）などは24日、北朝鮮系のハッカー集団が関与したと特定し発表した。採用活動を装って同社委託先の技術者をだまし、取引システムに侵入していた。北朝鮮系による計画的な暗号資産（仮想通貨）の窃取事件だった疑いが強まった。

Nikkei 日本経済新聞 (nikkei.com)

attribution sentence(s): DMMビットコイン流出　北朝鮮系、技術者採用装い侵入 | DMMビットコイン（東京・中央）から482億円相当のビットコインが流出した問題で、警察庁と米連邦捜査局（FBI）などは24日、北朝鮮系のハッカー集団が関与したと発表した。採用活動を装い同社委託先の技術者をだまし、取引システムに侵入していた。不審アクセスを検知するサービスの導入など基本対策の徹底が重要になる。 | 関与が特定されたのは「トレイダートレイター」と呼ばれるハッカー集団。北朝鮮当局の下部組織...

piyolog (piyolog.hatenadiary.jp)

attribution sentence(s): 2024年5月31日、暗号資産交換業者のDMM Bitcoinは同社の暗号資産を管理するウォレットからビットコインが不正に流出する事態が発生したと公表しました。その後、警察庁などは当該事案に北朝鮮背景のサイバー攻撃グループが関与したとして注意喚起などを発出しています。ここでは関連する情報をまとめます。 | ３．不正流出に北朝鮮背景の攻撃グループ関与と公表 | DMM Bitcoinから被害相談を受け捜査を進めていた警視庁、警察庁関東管区警察局サイバー特別捜査部は捜査状況を公表し流出に北朝鮮のサイバー攻撃グループ「TraderTraitor（トレイダートレイター）」が関わっていたことを明らかにした。*3日本政府がパブリックアトリビューションを行うのは8例目、北朝鮮関連では3例目となる。今回の公表は連携して捜査を行っていたFBIと共同で行われている。

Multilateral Sanctions Monitoring Team (MSMT) report, 22 Oct 2025

(MSMT/2025/2, report p. 30) “In May 2024, DPRK actors associated with TraderTraitor compromised DMM Bitcoin, a Japan-based cryptocurrency exchange, and stole cryptocurrency worth approximately $308 million at the time. A few months earlier, a TraderTraitor actor posed as a recruiter on LinkedIn and passed malicious files to an employee of a cold wallet storage provider, Ginco ... DMM Bitcoin announced in December 2024 that the company would cease operations as a result of the massive loss.”

In a short post, the FBI attributed the attack to the state-affiliated threat actor TraderTraitor , also tracked as Jade Sleet, UNC4899, and Slow Pisces.