FBI 定性 TraderTraitor：拉撒路黑客如何洗劫币安 63 亿？

据 Woofun AI 消息，美国联邦调查局(FBI) 于 11 月 1 日发布正式通告，将近期遭遇的 63 亿美金巨额盗窃案直接归因于朝鲜黑客组织拉撒路() 旗下的特定行动单元——。

这一官方定性不仅确认了攻击者的国家背景，更标志着监管机构对加密领域国家级网络犯罪团伙的追踪已进入精准画像阶段。TraderTraitor 并非独立实体，而是拉撒路集团内部专门针对区块链资产、交易平台及 DeFi 协议进行掠夺的核心分支，其作案规模与手法复杂度已远超传统网络犯罪范畴，成为当前加密生态中最具破坏性的威胁源。FBI 此次通告的发布，意味着针对该团伙的法律追责与资产追缴行动正在加速推进，同时也向整个行业释放了严峻的安全预警信号。

TraderTraitor 这一代号的确立经历了一个从模糊到精确的演变过程，其背后折射出多机构情报共享与协同分析的成果。早在 2022 年 4 月，FBI、美国网络安全和基础设施安全局(CISA) 以及美国财政部联合发布编号为 AA22-108A 的通告，首次正式使用 TraderTraitor 一词，当时主要指代 、、 等伪装成炒币软件的木马程序，这些恶意软件通过窃取私钥实施盗窃。

业界长期将此类攻击者统称为 Group，而 （Mandiant 命名）、（卡巴斯基命名）、（CrowdStrike 命名）实为同一条攻击链的不同称呼。随着攻击重心向加密资产转移，2024 年 12 月 23 日，FBI、美国国防部网络犯罪中心与日本警察厅在针对 被盗 3 亿美金案的联合声明中，进一步细化了该团伙的身份，将其描述为'被追踪为 TraderTraitor 的朝鲜网络行为者'，并列举了 （微软）、（谷歌）、（Palo Alto）等别名。

这一系列命名演变清晰地勾勒出 TraderTraitor 作为拉撒路集团内专职加密资产掠夺者的角色定位，其目标涵盖交易平台、DeFi 协议、钱包服务商及持有大量代币的个人用户。

从历史沿革来看，TraderTraitor 及其母体拉撒路组织的攻击手法经历了从传统金融诈骗向加密领域转型的深刻变革。拉撒路组织早在 2014 年就曾攻击索尼影业，2016 年则策划了震惊全球的孟加拉央行盗窃案。在 2016 年 2 月的孟加拉央行案中，攻击者（当时被称为 APT38 或 BlueNoroff）通过伪造 SWIFT 指令，企图从账户中转走 10 亿美元，最终因一笔转账的拼写错误被中间行拦截，实际得手 8,100 万。

这一案件暴露了攻击者对银行操作流程、人工审核漏洞及指令伪造技术的熟练掌握。大约在 2020 年前后，拉撒路组织将这套针对传统金融体系的攻击逻辑平移至加密货币领域，原因在于加密市场资金密集、监管相对宽松且流动性充足。

这种转型并非简单的技术迁移，而是基于对目标系统弱点的深度洞察与攻击链的重新构建，使得其能够更高效地实施大规模资金窃取。

在作案手法上，TraderTraitor 展现出高度的多样性与技术 sophistication，主要涵盖假招聘、供应链污染与交易篡改三大类。第一种是社交工程与假招聘，攻击者在 LinkedIn 上伪装成猎头，以'入职编程测试'或'内部工具'为名诱导受害者安装恶意软件， 网络 6.2 亿美元的损失即源于此。第二种是供应链攻击，通过污染 恶意仓库、 投毒包或 等身份服务商，实现'一点突破，全线沦陷'的效果。