十年盗走118亿美元，朝鲜如何成为加密世界头号掠食者？

撰文：小饼，深潮TechFlow

2026 年 10 月 30 日凌晨，币安 9 条链上的热钱包被同时攻破，链上转出超 62.6 亿美元。

10 月 31 日宣布，美国联邦调查局（FBI）宣布朝鲜黑客组织参与了币安被盗事件，特朗普表示，若证实为朝鲜所为，美方将会与朝鲜进行交涉。

一个国家把整个加密行业当成了提款机。

据深潮 TechFlow 统计，2017 年至 2026 年间，与 Lazarus 及朝鲜相关联的黑客共涉及 37 起加密盗窃案件，估值合计约 118.17 亿美元。

从 2017 年攻击韩国交易所 Bithumb 盗走 700 万美元起步，到币安一夜蒸发数十亿，被认为网络封闭的朝鲜，如何用不到十年时间，从网络战场的边缘玩家变成了加密世界的头号掠食者？

一份 PDF，六亿美元

2022 年初，加密游戏 Axie Infinity 的母公司 Sky Mavis 一位高级工程师收到了一条 LinkedIn 消息，对方自称某公司的招聘人员，开出了一份极具吸引力的薪酬方案。

这位工程师经历了多轮面试，一切看起来都很正规。最终，他收到了一份 PDF 格式的录用通知书。打开文件的那一刻，间谍软件悄无声息地潜入了 Sky Mavis 的内部系统。

Axie Infinity 的 Ronin Bridge 采用 9 个验证者节点的权威证明机制，需要 5 个节点签名才能批准提款。攻击者通过被感染的工程师电脑渗透进 Sky Mavis 的 IT 基础设施，拿到了 4 个验证者的密钥。第 5 个签名来自一个被遗忘的漏洞：2021 年 11 月，Sky Mavis 曾请求 Axie DAO 在交易负载高峰期帮忙签名，这项临时授权在 12 月已经停用，但访问权限从未被撤销。

2022 年 3 月，6.2 亿美元从 Ronin Bridge 上消失。一个月后，FBI 将攻击归因于朝鲜 Lazarus Group。

一份假 offer，一个被遗忘的授权，六亿美元被盗。

Ronin 的剧本在此后不断重演，但攻击者的手法在进化。

2022 年 6 月，Harmony Horizon Bridge 失守，1 亿美元被转走。攻击者伪装成区块链开发者，以内部人员身份获取了系统权限。2023 年，Atomic Wallet、Alphapo、CoinsPaid、Stake.com 接连沦陷，累计损失超 2.38 亿美元。到了 2024 年 7 月，印度交易所 WazirX 被击穿 2.35 亿美元。

每一次攻击，手法都不一样，但背后的逻辑惊人一致：找到一个人，骗过这个人，用这个人打开一扇门。

2025 年 2 月，他们把这套方法论推向了新高度。

Bybit 的冷钱包被转走 15 亿美元。Paradigm 安全研究员 samczsun 的复盘显示，攻击者并未直接攻击 Bybit，而是渗透了其多签钱包服务商 Safe{Wallet}的基础设施，在那里植入恶意代码，精准针对 Bybit 的冷钱包签名流程。这意味着，即使 Bybit 自身的安全措施无懈可击，只要上游供应链被攻破，一切防线都形同虚设。

八个月后，币安成为最新的猎物。

事后币安公布的调查结果显示，一名运维工程师的笔记本电脑遭到入侵，攻击者借此渗透内部系统，利用 EIP-7702 让热钱包签下了一张委托授权，神鱼在链上复盘中拆解了攻击合约的逻辑：「攻击者的程序只认一个主人，只做一件事：转钱。」

从 Ronin 到 Bybit 到币安，攻击规模从 6 亿跃升到 15 亿，再到 62 亿。每一次都是社会工程学的胜利，每一次都从一个人开始。

你的同事可能是朝鲜人

如果说 Lazarus 的对外攻击是「破门而入」，那么朝鲜 IT 工人的渗透就是「登堂入室」。

2024 年 10 月，CoinDesk 发布了一份令行业震惊的调查报告。记者追踪区块链支付记录和内部线索，发现超过 24 家加密公司在不知情的情况下雇佣了朝鲜 IT 工人，其中至少 12 家公司确认曾在员工名单中发现疑似朝鲜籍员工。被点名的项目包括 Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance 和 Truflation。

MetaMask 安全研究员 Taylor Monahan 透露，至少 40 个 DeFi 协议在其发展历程中曾雇佣朝鲜 IT 工人，时间跨度长达七年。

这些人用伪造的护照、签证和精心编造的简历通过筛选，在 Telegram、Discord 和 Indeed 上投递申请。他们瞄准那些招聘流程松散、用加密货币发工资的初创团队，远程工作时几乎从不开启摄像头。据联合国估算，朝鲜 IT 工人每年为政权赚取高达 6 亿美元收入，其中个人只能留下 10%到 30%。

2024 年 3 月，Munchables 事件给出了一个教科书式的案例。

这个基于 Blast 链的 NFT 游戏雇佣了一名化名「Werewolves0943」的开发者。链上调查员 ZachXBT 追踪发现，这名开发者就是朝鲜间谍，他利用开发权限从项目中抽走 17，400 枚 ETH，价值约 6200 万美元。

故事的转折在于，在 Blast 创始人 Pacman 和社区的多方施压下，这名开发者在 8 小时内交出了所有私钥，全额退还了被盗资金。没有人知道他为什么归还。一种猜测是，被暴露身份后继续持有赃款只会招来更大的麻烦。

但 Sushi 的经历就没有这么幸运了。

2021 年 9 月，Sushi/MISO 平台被盗约 300 万美元。事后调查发现，两名化名「Anthony Keller」和「Sava Grujic」的前承包商在被解雇后仍保留了代码库的访问权限。Sushi 后来还雇佣了另一名疑似朝鲜籍承包商「Gary Lee」。2023 年，Truflation 创始人 Stefan Rust 发现自己团队中有 5 名疑似朝鲜工人，超过全部员工的三分之一。随后该公司遭遇一次约 500 万美元的私钥泄露攻击。

CrowdStrike 的数据显示，朝鲜 IT 工人在 12 个月内渗透了超过 320 家公司，同比增长约 220%。

他们使用虚假身份，在美国本土雇人架设多台电脑集中远程办公以伪造地理位置，并用生成式 AI 应对视频面试。

安全公司 KnowBe4 甚至发现自己也中了招，一名通过正常招聘流程入职的「员工」在上班后立刻开始部署恶意软件。

说不出金正恩一句坏话

朝鲜黑客到底是什么样的人？

2026 年 8 月，一位韩裔美国记者在 MetaMask 安全研究员 Taylor Monahan、SEAL Alliance 的 Nick Bax 和 Ump Labs 的协助下，伪装成招聘人员「Sophie Wang」，通过视频面试了一名疑似朝鲜国家级黑客。

这名求职者自称「Justin Lim」，声称住在美国加州长滩，但口音被判断为韩国腔。链上线索和身份数据显示，他的真实驻地极可能是俄罗斯海参崴，他曾在 2022 年从 MetaPlay 盗取约 270 万美元。

面试中，他展示了不俗的技术能力：讲述如何 fork Velas 网络并让 The Graph 兼容运行，遇到不熟悉的 OpenSea Seaport 协议和 Uniswap v4 时，会当场调出文档进行分析。

当面试官提到朝鲜从 Bybit 盗走 15 亿美元时，他露出了整场面试中唯一一次微笑。

最后一个问题终结了一切。面试官要求他对金正恩说一句负面评价，沉默之后，他退出了 Zoom。随后他以「网络不稳定」为由，要求改用 Discord 或 Telegram 继续沟通。被再次追问时，他只回了一句：「对这个人了解不多。」

在朝鲜，公开批评最高领导人可能导致三代人被送进政治犯集中营。这个测试后来被安全社区广泛建议作为招聘筛选手段：要求候选人对金正恩做出负面评价，几乎所有朝鲜开发者都会选择回避。

秘密战争

朝鲜的网络攻击能力并非一朝一夕建成。

据脱北者张世律（Jang Se-yul）向 Business Insider 披露，朝鲜的网络战项目可以追溯到 1980 年代，内部代号「秘密战争」。金氏政权很早就意识到，在常规军力远逊于美韩联军的前提下，网络作战是成本最低、回报最高的不对称武器。

培养一名朝鲜黑客大约需要九年。起点是金策工业综合大学（原名自动化大学），每年从约 5000 名申请者中录取 100 人。筛选标准首先看政治出身，朝鲜的「成分」体系将公民分为三个主要阶层和 56 个子类别，记录在户籍档案中。学员每天上 6 节 90 分钟的课程，学习编程语言和操作系统，深入研究 Windows 架构，并要求独立编写恶意软件，不依赖现成工具。

毕业后，黑客被分配到以国家为目标的行动小组，在海外以合法企业员工身份潜伏约两年，学习当地语言和文化。薪酬极为优厚：每月最高 2000 美元，是朝鲜大使工资的两倍。奖励还包括平壤一套超过 185 平方米的公寓和举家迁入首都的资格。

「培训黑客的成本极低，」张世律说，「这就是一个贫穷的国家也能在这个领域投入巨资的原因。」

在他看来，网络威胁比核威胁更直接、更危险：「这是一场不用开枪的战争。」

幽灵帝国

美国财政部 2019 年制裁了 Lazarus Group、BlueNoroff 和 Andariel 三个实体，并指出它们均受朝鲜侦察总局（RGB）控制，但「Lazarus」这个名字其实只是外界对一个庞大国家级网络攻击体系的统称。

Paradigm 安全研究员 samczsun 在 Bybit 事件后发布的分析中，梳理了这张错综复杂的组织网络：

TraderTraitor：大额猎手。专攻交易所、托管商和钱包系统，擅长鱼叉式钓鱼和假工作机会，Ronin、WazirX 和 Bybit 均出自这支队伍之手。他们通常不使用零日漏洞，而是通过操纵「人」来撬开系统。

AppleJeus（Citrine Sleet）：供应链刺客。围绕加密场景开发木马化软件，2024 年渗透 Radiant Capital 就是其代表作。他们还利用 Chromium 零日漏洞 CVE-2024-7971 部署 FudModule Rootkit。

BlueNoroff（Sapphire Sleet）：金融猎手。早期攻击银行和 SWIFT 系统，2016 年差点从孟加拉国央行卷走 10 亿美元（实际到手 8100 万美元）。现在已全面转向加密和 VC 领域。

Famous Chollima：潜伏者。通过虚假身份入职科技和加密公司，形成内部渗透能力。CrowdStrike 追踪到的 320 家被渗透公司，主要就是这支队伍的杰作。

DangerousPassword：低成本广撒网。钓鱼邮件、伪造视频通话应用，手法简单但胜在量大。

这些分支之间的成员、工具和基础设施存在大量交叉，不同安全机构给出的命名也各不相同。Diamond Sleet、UNC4899、Contagious Interview、Wagemole.

同一个对手，十几个名字，不同的面具。

不对称战争

币安事件发生后，马斯克在 X 平台发帖：「Everyday is Zeroday」。

这不是修辞，微软威胁情报部门发布的专项研究报告显示，朝鲜活跃的 8 个主要黑客组织中，已有 3 个完成了 AI 工具与日常攻击流程的深度融合，在微软定义的网络威胁 AI 应用成熟度模型中达到最高等级。

AI 的介入已不再停留在外围实验，而是全面覆盖了前期侦察、社工钓鱼、身份伪装、恶意软件编写乃至软件供应链投毒的全链条。换言之，那些曾经需要数周准备的钓鱼邮件、伪造简历和恶意代码，现在可以批量生成、自动迭代。

攻击者只需要找到一个漏洞，防御者必须守住所有漏洞，这是一场不对称战争。

从 Bithumb 的 700 万到 Ronin 的 6.2 亿，从 Bybit 的 15 亿到币安的 62 亿，攻击规模呈指数级增长。这条曲线的另一端，是一个人均 GDP 不到 2000 美元的国家，一群从 17 岁开始接受九年训练的年轻人，和一套为「秘密战争」服务了四十年的国家机器。

加密行业必须面对一个事实：站在对面的，是一个核武国家的全部网络战力量，这个对手，正在变得越来越强。