從一份 PDF 到 63 億美元，北韓黑客如何攻陷加密世界？

2026年10月30日凌晨，幣安9條鏈上的熱錢包被同時攻破，鏈上轉出超62.6億美元。

10月31日宣佈，美國聯邦調查局（FBI）宣佈朝鮮黑客組織參與了幣安被盜事件，特朗普表示，若證實為朝鮮所為，美方將會與朝鮮進行交涉。

一個國家把整個加密行業當成了提款機。

據深潮TechFlow統計，2017年至2026年間，與Lazarus及朝鮮相關聯的黑客共涉及37起加密盜竊案件，估值合計約118.17億美元。

從2017年攻擊韓國交易所Bithumb盜走700萬美元起步，到幣安一夜蒸發數十億，被認為網絡封閉的朝鮮，如何用不到十年時間，從網絡戰場的邊緣玩家變成了加密世界的頭號掠食者？

一份PDF，六億美元

2022年初，加密遊戲Axie Infinity的母公司Sky Mavis一位高級工程師收到了一條LinkedIn消息，對方自稱某公司的招聘人員，開出了一份極具吸引力的薪酬方案。

這位工程師經歷了多輪面試，一切看起來都很正規。最終，他收到了一份PDF格式的錄用通知書。打開文件的那一刻，間諜軟件悄無聲息地潛入了Sky Mavis的內部系統。

Axie Infinity的Ronin Bridge採用9個驗證者節點的權威證明機制，需要5個節點簽名才能批准提款。攻擊者通過被感染的工程師電腦滲透進Sky Mavis的IT基礎設施，拿到了4個驗證者的密鑰。第5個簽名來自一個被遺忘的漏洞：2021年11月，Sky Mavis曾請求Axie DAO在交易負載高峯期幫忙簽名，這項臨時授權在12月已經停用，但訪問權限從未被撤銷。

2022年3月，6.2億美元從Ronin Bridge上消失。一個月後，FBI將攻擊歸因於朝鮮Lazarus Group。

一份假offer，一個被遺忘的授權，六億美元被盜。

Ronin的劇本在此後不斷重演，但攻擊者的手法在進化。

2022年6月，Harmony Horizon Bridge失守，1億美元被轉走。攻擊者偽裝成區塊鏈開發者，以內部人員身份獲取了系統權限。2023年，Atomic Wallet、Alphapo、CoinsPaid、Stake.com接連淪陷，累計損失超2.38億美元。到了2024年7月，印度交易所WazirX被擊穿2.35億美元。

每一次攻擊，手法都不一樣，但背後的邏輯驚人一致：找到一個人，騙過這個人，用這個人打開一扇門。

2025年2月，他們把這套方法論推向了新高度。

Bybit的冷錢包被轉走15億美元。Paradigm安全研究員samczsun的復盤顯示，攻擊者並未直接攻擊Bybit，而是滲透了其多籤錢包服務商Safe{Wallet}的基礎設施，在那裏植入惡意代碼，精準針對Bybit的冷錢包簽名流程。這意味着，即使Bybit自身的安全措施無懈可擊，只要上游供應鏈被攻破，一切防線都形同虛設。

八個月後，幣安成為最新的獵物。

事後幣安公佈的調查結果顯示，一名運維工程師的筆記本電腦遭到入侵，攻擊者藉此滲透內部系統，利用EIP-7702讓熱錢包簽下了一張委託授權，神魚在鏈上覆盤中拆解了攻擊合約的邏輯：「攻擊者的程序只認一個主人，只做一件事：轉錢。」

從Ronin到Bybit到幣安，攻擊規模從6億躍升到15億，再到62億。每一次都是社會工程學的勝利，每一次都從一個人開始。

你的同事可能是朝鮮人

如果説Lazarus的對外攻擊是「破門而入」，那麼朝鮮IT工人的滲透就是「登堂入室」。

2024年10月，CoinDesk發佈了一份令行業震驚的調查報告。記者追蹤區塊鏈支付記錄和內部線索，發現超過24家加密公司在不知情的情況下僱傭了朝鮮IT工人，其中至少12家公司確認曾在員工名單中發現疑似朝鮮籍員工。被點名的項目包括Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance和Truflation。

MetaMask安全研究員Taylor Monahan透露，至少40個DeFi協議在其發展歷程中曾僱傭朝鮮IT工人，時間跨度長達七年。

這些人用偽造的護照、簽證和精心編造的簡歷通過篩選，在Telegram、Discord和Indeed上投遞申請。他們瞄準那些招聘流程鬆散、用加密貨幣發工資的初創團隊，遠程工作時幾乎從不開啓攝像頭。據聯合國估算，朝鮮IT工人每年為政權賺取高達6億美元收入，其中個人只能留下10%到30%。

2024年3月，Munchables事件給出了一個教科書式的案例。

這個基於Blast鏈的NFT遊戲僱傭了一名化名「Werewolves0943」的開發者。鏈上調查員ZachXBT追蹤發現，這名開發者就是朝鮮間諜，他利用開發權限從項目中抽走17，400枚ETH，價值約6200萬美元。

故事的轉折在於，在Blast創始人Pacman和社區的多方施壓下，這名開發者在8小時內交出了所有私鑰，全額退還了被盜資金。沒有人知道他為什麼歸還。一種猜測是，被暴露身份後繼續持有贓款只會招來更大的麻煩。

但Sushi的經歷就沒有這麼幸運了。

2021年9月，Sushi/MISO平台被盜約300萬美元。事後調查發現，兩名化名「Anthony Keller」和「Sava Grujic」的前承包商在被解僱後仍保留了代碼庫的訪問權限。Sushi後來還僱傭了另一名疑似朝鮮籍承包商「Gary Lee」。2023年，Truflation創始人Stefan Rust發現自己團隊中有5名疑似朝鮮工人，超過全部員工的三分之一。隨後該公司遭遇一次約500萬美元的私鑰泄露攻擊。

CrowdStrike的數據顯示，朝鮮IT工人在12個月內滲透了超過320家公司，同比增長約220%。

他們使用虛假身份，在美國本土僱人架設多台電腦集中遠程辦公以偽造地理位置，並用生成式AI應對視頻面試。

安全公司KnowBe4甚至發現自己也中了招，一名通過正常招聘流程入職的「員工」在上班後立刻開始部署惡意軟件。

説不出金正恩一句壞話

朝鮮黑客到底是什麼樣的人？

2026年8月，一位韓裔美國記者在MetaMask安全研究員Taylor Monahan、SEAL Alliance的Nick Bax和Ump Labs的協助下，偽裝成招聘人員「Sophie Wang」，通過視頻面試了一名疑似朝鮮國家級黑客。

這名求職者自稱「Justin Lim」，聲稱住在美國加州長灘，但口音被判斷為韓國腔。鏈上線索和身份數據顯示，他的真實駐地極可能是俄羅斯海參崴，他曾在2022年從MetaPlay盜取約270萬美元。

面試中，他展示了不俗的技術能力：講述如何fork Velas網絡並讓The Graph兼容運行，遇到不熟悉的OpenSea Seaport協議和Uniswap v4時，會當場調出文檔進行分析。

當面試官提到朝鮮從Bybit盜走15億美元時，他露出了整場面試中唯一一次微笑。

最後一個問題終結了一切。面試官要求他對金正恩説一句負面評價，沉默之後，他退出了Zoom。隨後他以「網絡不穩定」為由，要求改用Discord或Telegram繼續溝通。被再次追問時，他只回了一句：「對這個人瞭解不多。」

在朝鮮，公開批評最高領導人可能導致三代人被送進政治犯集中營。這個測試後來被安全社區廣泛建議作為招聘篩選手段：要求候選人對金正恩做出負面評價，幾乎所有朝鮮開發者都會選擇迴避。

秘密戰爭

朝鮮的網絡攻擊能力並非一朝一夕建成。

據脱北者張世律（Jang Se-yul）向Business Insider披露，朝鮮的網絡戰項目可以追溯到1980年代，內部代號「秘密戰爭」。金氏政權很早就意識到，在常規軍力遠遜於美韓聯軍的前提下，網絡作戰是成本最低、回報最高的不對稱武器。

培養一名朝鮮黑客大約需要九年。起點是金策工業綜合大學（原名自動化大學），每年從約5000名申請者中錄取100人。篩選標準首先看政治出身，朝鮮的「成分」體系將公民分為三個主要階層和56個子類別，記錄在戶籍檔案中。學員每天上6節90分鐘的課程，學習編程語言和操作系統，深入研究Windows架構，並要求獨立編寫惡意軟件，不依賴現成工具。

畢業後，黑客被分配到以國家為目標的行動小組，在海外以合法企業員工身份潛伏約兩年，學習當地語言和文化。薪酬極為優厚：每月最高2000美元，是朝鮮大使工資的兩倍。獎勵還包括平壤一套超過185平方米的公寓和舉家遷入首都的資格。

「培訓黑客的成本極低，」張世律説，「這就是一個貧窮的國家也能在這個領域投入巨資的原因。」

在他看來，網絡威脅比核威脅更直接、更危險：「這是一場不用開槍的戰爭。」

幽靈帝國

美國財政部2019年制裁了Lazarus Group、BlueNoroff和Andariel三個實體，並指出它們均受朝鮮偵察總局（RGB）控制，但「Lazarus」這個名字其實只是外界對一個龐大國家級網絡攻擊體系的統稱。

Paradigm安全研究員samczsun在Bybit事件後發佈的分析中，梳理了這張錯綜複雜的組織網絡：

TraderTraitor：大額獵手。專攻交易所、託管商和錢包系統，擅長魚叉式釣魚和假工作機會，Ronin、WazirX和Bybit均出自這支隊伍之手。他們通常不使用零日漏洞，而是通過操縱「人」來撬開系統。

AppleJeus（Citrine Sleet）：供應鏈刺客。圍繞加密場景開發木馬化軟件，2024年滲透Radiant Capital就是其代表作。他們還利用Chromium零日漏洞CVE-2024-7971部署FudModule Rootkit。

BlueNoroff（Sapphire Sleet）：金融獵手。早期攻擊銀行和SWIFT系統，2016年差點從孟加拉國央行卷走10億美元（實際到手8100萬美元）。現在已全面轉向加密和VC領域。

Famous Chollima：潛伏者。通過虛假身份入職科技和加密公司，形成內部滲透能力。CrowdStrike追蹤到的320家被滲透公司，主要就是這支隊伍的傑作。

DangerousPassword：低成本廣撒網。釣魚郵件、偽造視頻通話應用，手法簡單但勝在量大。

這些分支之間的成員、工具和基礎設施存在大量交叉，不同安全機構給出的命名也各不相同。Diamond Sleet、UNC4899、Contagious Interview、Wagemole.

同一個對手，十幾個名字，不同的面具。

不對稱戰爭

幣安事件發生後，馬斯克在X平台發帖：「Everyday is Zeroday」。

這不是修辭，微軟威脅情報部門發佈的專項研究報告顯示，朝鮮活躍的8個主要黑客組織中，已有3個完成了AI工具與日常攻擊流程的深度融合，在微軟定義的網絡威脅AI應用成熟度模型中達到最高等級。

AI的介入已不再停留在外圍實驗，而是全面覆蓋了前期偵察、社工釣魚、身份偽裝、惡意軟件編寫乃至軟件供應鏈投毒的全鏈條。換言之，那些曾經需要數週準備的釣魚郵件、偽造簡歷和惡意代碼，現在可以批量生成、自動迭代。

攻擊者只需要找到一個漏洞，防禦者必須守住所有漏洞，這是一場不對稱戰爭。

從Bithumb的700萬到Ronin的6.2億，從Bybit的15億到幣安的62億，攻擊規模呈指數級增長。這條曲線的另一端，是一個人均GDP不到2000美元的國家，一羣從17歲開始接受九年訓練的年輕人，和一套為「秘密戰爭」服務了四十年的國家機器。

加密行業必須面對一個事實：站在對面的，是一個核武國家的全部網絡戰力量，這個對手，正在變得越來越強。