朝鲜黑客盗币近 100 亿美元，币安 63 亿案幕后黑手曝光

据 Woofun AI 消息，美国联邦调查局正式将 10 月 29 日发生在币安、涉及超过 60 亿美元数字资产被盗的重大案件，归咎于朝鲜黑客组织 "TraderTraitor"。

这一指控不仅揭示了迄今为止规模最大的数字资产盗窃案的幕后推手，更将全球执法部门的注意力重新聚焦于该组织日益猖獗的攻击手段。去年，该组织曾从 Bybit 窃取 15 亿美元，而此次针对币安的袭击，其规模远超以往任何一次单一事件，标志着国家级黑客对加密基础设施的渗透已进入新阶段。美国执法部门基于对攻击模式的深度追踪，确认了这两起巨额失窃案均出自同一团伙之手，从而勾勒出该组织在数字资产黑产中的核心地位。

从资金损失的量级来看，此次事件的破坏力令人震惊。区块链分析机构 Elliptic 估算的受损金额高达 64 亿 3000 万美元，这一数字不仅是 去年 2 月 Bybit 黑客案 14 亿 6000 万美元损失额的 4 倍多，更凸显了攻击者能力的指数级跃升。

Woofun AI 整理数据显示，仅币安与 Bybit 这两起案件中所盗走的资金就合计约 79 亿美元。若将过去其他关联攻击事件纳入统计，该组织窃取的资金总额已接近 100 亿美元。

尽管不同朝鲜黑客组织名称及活动范围各异，导致难以将所有损失完全归咎于单一实体，但 TraderTraitor 作为与朝鲜政权有关联、并曾参与 Lazarus 及 APT38 相关活动的网络攻击组织，其行动轨迹已清晰可辨。

这种跨组织的协同或重叠，使得追踪和归因变得异常复杂，但也从侧面反映了朝鲜黑客生态的系统性与持久性。

TraderTraitor 的攻击策略并非单纯的技术突破，而是深度融合了社会工程学与软件供应链攻击。其特点在于不仅直接攻击交易所系统，更善于利用开发者及外部服务提供商作为入侵跳板。网络安全公司 SentinelOne 在 9 月发布的报告中详细剖析了该组织如何通过虚假招聘面试，在开发者电脑上植入恶意软件。攻击者伪装成正常招聘人员，诱使受害者执行包含恶意代码的开发项目，从而在源头植入后门。在 去年的 Bybit 黑客案中，外部钱包服务的安全漏洞起到了决定性作用；而在本次币安案中，攻击者窃取了多重签名钱包服务 的开发者认证信息，进而操纵交易审批界面。通过在看似正常的资产转移操作背后隐藏恶意交易，攻击者成功让多名签名者误将恶意交易视为正常交易予以批准。多重签名本需多名审批者同意才能转移资产，但界面篡改使得这一安全机制形同虚设。

此外，亚马逊云服务公司在 7 月透露，有朝鲜关联的攻击者欺骗了广泛使用的开源软件管理员，部署恶意更新迫使企业下载受感染代码。虽然尚不清楚此手段是否直接用于币安案，但这表明对软件供应链的攻击正在加剧。

在资产处置环节，黑客展现了极高的效率与隐蔽性。据报道，价值 63 亿美元的资产从币安流出仅用了大约 20 分钟，具体入侵路径仍在调查中。为了逃避追踪，被盗资产迅速进入洗钱流程。美国联邦调查局在 10 月 31 日与美国特勤局、美国国税局犯罪调查局联合指出，黑客通常将盗取资产转换为以太坊，并通过去中心化金融 DeFi 及即时兑换服务，将资金分散至多个区块链网络。

链上分析师 SomaxBT 监测到，从币安被盗的资金中有约 2 亿 4200 万美元在两天内通过波场（Tron）网络转移，其中约 1 亿 4000 万美元借助跨链兑换服务及桥接工具流向其他网络。面对这一挑战，FBI 已公开确认为黑客使用的钱包地址，并要求各大交易所、区块链运营商及 DeFi 服务提供商阻断相关交易，覆盖范围包括存放被盗资产的地址及其流出资金。这是继 Lazarus 组织多次作案后，执法部门对朝鲜黑客产业链发起的最全面围堵，预示着加密行业的安全合规门槛将被迫大幅抬升。