727財經2017 至 2026 年，Lazarus 及朝鮮關聯黑客涉及 37 起加密盜竊案，估值約 118.17 億美元。從假招聘 PDF 攻破 Ronin，到滲透 Safe{Wallet} 盜走 Bybit 15 億美元，再到幣安 9 條鏈熱錢包被轉出 62.6 億美元，這個封閉國家如何成為加密世界頭號掠食者？
撰文：小餅，深潮TechFlow
2026 年 10 月 30 日凌晨，幣安 9 條鏈上的熱錢包被同時攻破，鏈上轉出超 62.6 億美元。
10 月 31 日宣佈，美國聯邦調查局（FBI）宣佈朝鮮黑客組織參與了幣安被盜事件，特朗普表示，若證實為朝鮮所為，美方將會與朝鮮進行交涉。
一個國家把整個加密行業當成了提款機。
據深潮 TechFlow 統計，2017 年至 2026 年間，與 Lazarus 及朝鮮相關聯的黑客共涉及 37 起加密盜竊案件，估值合計約 118.17 億美元。
從 2017 年攻擊韓國交易所 Bithumb 盜走 700 萬美元起步，到幣安一夜蒸發數十億，被認為網絡封閉的朝鮮，如何用不到十年時間，從網絡戰場的邊緣玩家變成了加密世界的頭號掠食者？
一份 PDF，六億美元
2022 年初，加密遊戲 Axie Infinity 的母公司 Sky Mavis 一位高級工程師收到了一條 LinkedIn 消息，對方自稱某公司的招聘人員，開出了一份極具吸引力的薪酬方案。
這位工程師經歷了多輪面試，一切看起來都很正規。最終，他收到了一份 PDF 格式的錄用通知書。打開文件的那一刻，間諜軟件悄無聲息地潛入了 Sky Mavis 的內部系統。
Axie Infinity 的 Ronin Bridge 採用 9 個驗證者節點的權威證明機制，需要 5 個節點簽名才能批准提款。攻擊者通過被感染的工程師電腦滲透進 Sky Mavis 的 IT 基礎設施，拿到了 4 個驗證者的密鑰。第 5 個簽名來自一個被遺忘的漏洞：2021 年 11 月，Sky Mavis 曾請求 Axie DAO 在交易負載高峰期幫忙簽名，這項臨時授權在 12 月已經停用，但訪問權限從未被撤銷。
2022 年 3 月，6.2 億美元從 Ronin Bridge 上消失。一個月後，FBI 將攻擊歸因於朝鮮 Lazarus Group。
一份假 offer，一個被遺忘的授權，六億美元被盜。
Ronin 的劇本在此後不斷重演，但攻擊者的手法在進化。
2022 年 6 月，Harmony Horizon Bridge 失守，1 億美元被轉走。攻擊者偽裝成區塊鏈開發者，以內部人員身份獲取了系統權限。2023 年，Atomic Wallet、Alphapo、CoinsPaid、Stake.com 接連淪陷，累計損失超 2.38 億美元。到了 2024 年 7 月，印度交易所 WazirX 被擊穿 2.35 億美元。
每一次攻擊，手法都不一樣，但背後的邏輯驚人一致：找到一個人，騙過這個人，用這個人打開一扇門。
2025 年 2 月，他們把這套方法論推向了新高度。
Bybit 的冷錢包被轉走 15 億美元。Paradigm 安全研究員 samczsun 的復盤顯示，攻擊者並未直接攻擊 Bybit，而是滲透了其多簽錢包服務商 Safe{Wallet}的基礎設施，在那裡植入惡意代碼，精准針對 Bybit 的冷錢包簽名流程。這意味著，即使 Bybit 自身的安全措施無懈可擊，只要上游供應鏈被攻破，一切防線都形同虛設。
八個月後，幣安成為最新的獵物。
事後幣安公佈的調查結果顯示，一名運維工程師的筆記本電腦遭到入侵，攻擊者借此滲透內部系統，利用 EIP-7702 讓熱錢包簽下了一張委託授權，神魚在鏈上復盤中拆解了攻擊合約的邏輯：「攻擊者的程序只認一個主人，只做一件事：轉錢。」
從 Ronin 到 Bybit 到幣安，攻擊規模從 6 億躍升到 15 億，再到 62 億。每一次都是社會工程學的勝利，每一次都從一個人開始。
你的同事可能是朝鮮人
如果說 Lazarus 的對外攻擊是「破門而入」，那麼朝鮮 IT 工人的滲透就是「登堂入室」。
2024 年 10 月，CoinDesk 發佈了一份令行業震驚的調查報告。記者追蹤區塊鏈支付記錄和內部線索，發現超過 24 家加密公司在不知情的情況下雇傭了朝鮮 IT 工人，其中至少 12 家公司確認曾在員工名單中發現疑似朝鮮籍員工。被點名的項目包括 Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance 和 Truflation。
MetaMask 安全研究員 Taylor Monahan 透露，至少 40 個 DeFi 協議在其發展歷程中曾雇傭朝鮮 IT 工人，時間跨度長達七年。
這些人用偽造的護照、簽證和精心編造的簡歷通過篩選，在 Telegram、Discord 和 Indeed 上投遞申請。他們瞄准那些招聘流程鬆散、用加密貨幣發工資的初創團隊，遠程工作時幾乎從不開啓攝像頭。據聯合國估算，朝鮮 IT 工人每年為政權賺取高達 6 億美元收入，其中個人只能留下 10%到 30%。
2024 年 3 月，Munchables 事件給出了一個教科書式的案例。
這個基於 Blast 鏈的 NFT 遊戲雇傭了一名化名「Werewolves0943」的開發者。鏈上調查員 ZachXBT 追蹤發現，這名開發者就是朝鮮間諜，他利用開發權限從項目中抽走 17，400 枚 ETH，價值約 6200 萬美元。
故事的轉折在於，在 Blast 創始人 Pacman 和社區的多方施壓下，這名開發者在 8 小時內交出了所有私鑰，全額退還了被盜資金。沒有人知道他為甚麼歸還。一種猜測是，被暴露身份後繼續持有贓款只會招來更大的麻煩。
但 Sushi 的經歷就沒有這麼幸運了。
2021 年 9 月，Sushi/MISO 平台被盜約 300 萬美元。事後調查發現，兩名化名「Anthony Keller」和「Sava Grujic」的前承包商在被解雇後仍保留了代碼庫的訪問權限。Sushi 後來還雇傭了另一名疑似朝鮮籍承包商「Gary Lee」。2023 年，Truflation 創始人 Stefan Rust 發現自己團隊中有 5 名疑似朝鮮工人，超過全部員工的三分之一。隨後該公司遭遇一次約 500 萬美元的私鑰洩露攻擊。
CrowdStrike 的數據顯示，朝鮮 IT 工人在 12 個月內滲透了超過 320 家公司，同比增長約 220%。
他們使用虛假身份，在美國本土雇人架設多台電腦集中遠程辦公以偽造地理位置，並用生成式 AI 應對視頻面試。
安全公司 KnowBe4 甚至發現自己也中了招，一名通過正常招聘流程入職的「員工」在上班後立刻開始部署惡意軟件。
說不出金正恩一句壞話
朝鮮黑客到底是甚麼樣的人？
2026 年 8 月，一位韓裔美國記者在 MetaMask 安全研究員 Taylor Monahan、SEAL Alliance 的 Nick Bax 和 Ump Labs 的協助下，偽裝成招聘人員「Sophie Wang」，通過視頻面試了一名疑似朝鮮國家級黑客。
這名求職者自稱「Justin Lim」，聲稱住在美國加州長灘，但口音被判斷為韓國腔。鏈上線索和身份數據顯示，他的真實駐地極可能是俄羅斯海參崴，他曾在 2022 年從 MetaPlay 盜取約 270 萬美元。
面試中，他展示了不俗的技術能力：講述如何 fork Velas 網絡並讓 The Graph 兼容運行，遇到不熟悉的 OpenSea Seaport 協議和 Uniswap v4 時，會當場調出文檔進行分析。
當面試官提到朝鮮從 Bybit 盜走 15 億美元時，他露出了整場面試中唯一一次微笑。
最後一個問題終結了一切。面試官要求他對金正恩說一句負面評價，沈默之後，他退出了 Zoom。隨後他以「網絡不穩定」為由，要求改用 Discord 或 Telegram 繼續溝通。被再次追問時，他只回了一句：「對這個人瞭解不多。」
在朝鮮，公開批評最高領導人可能導致三代人被送進政治犯集中營。這個測試後來被安全社區廣泛建議作為招聘篩選手段：要求候選人對金正恩做出負面評價，幾乎所有朝鮮開發者都會選擇回避。
秘密戰爭
朝鮮的網絡攻擊能力並非一朝一夕建成。
據脫北者張世律（Jang Se-yul）向 Business Insider 披露，朝鮮的網絡戰項目可以追溯到 1980 年代，內部代號「秘密戰爭」。金氏政權很早就意識到，在常規軍力遠遜於美韓聯軍的前提下，網絡作戰是成本最低、回報最高的不對稱武器。
培養一名朝鮮黑客大約需要九年。起點是金策工業綜合大學（原名自動化大學），每年從約 5000 名申請者中錄取 100 人。篩選標準首先看政治出身，朝鮮的「成分」體系將公民分為三個主要階層和 56 個子類別，記錄在戶籍檔案中。學員每天上 6 節 90 分鐘的課程，學習編程語言和操作系統，深入研究 Windows 架構，並要求獨立編寫惡意軟件，不依賴現成工具。
畢業後，黑客被分配到以國家為目標的行動小組，在海外以合法企業員工身份潛伏約兩年，學習當地語言和文化。薪酬極為優厚：每月最高 2000 美元，是朝鮮大使工資的兩倍。獎勵還包括平壤一套超過 185 平方米的公寓和舉家遷入首都的資格。
「培訓黑客的成本極低，」張世律說，「這就是一個貧窮的國家也能在這個領域投入巨資的原因。」
在他看來，網絡威脅比核威脅更直接、更危險：「這是一場不用開槍的戰爭。」
幽靈帝國
美國財政部 2019 年制裁了 Lazarus Group、BlueNoroff 和 Andariel 三個實體，並指出它們均受朝鮮偵察總局（RGB）控制，但「Lazarus」這個名字其實只是外界對一個龐大國家級網絡攻擊體系的統稱。
Paradigm 安全研究員 samczsun 在 Bybit 事件後發佈的分析中，梳理了這張錯綜複雜的組織網絡：
TraderTraitor：大額獵手。專攻交易所、托管商和錢包系統，擅長魚叉式釣魚和假工作機會，Ronin、WazirX 和 Bybit 均出自這支隊伍之手。他們通常不使用零日漏洞，而是通過操縱「人」來撬開系統。
AppleJeus（Citrine Sleet）：供應鏈刺客。圍繞加密場景開發木馬化軟件，2024 年滲透 Radiant Capital 就是其代表作。他們還利用 Chromium 零日漏洞 CVE-2024-7971 部署 FudModule Rootkit。
BlueNoroff（Sapphire Sleet）：金融獵手。早期攻擊銀行和 SWIFT 系統，2016 年差點從孟加拉國央行捲走 10 億美元（實際到手 8100 萬美元）。現在已全面轉向加密和 VC 領域。
Famous Chollima：潛伏者。通過虛假身份入職科技和加密公司，形成內部滲透能力。CrowdStrike 追蹤到的 320 家被滲透公司，主要就是這支隊伍的傑作。
DangerousPassword：低成本廣撒網。釣魚郵件、偽造視頻通話應用，手法簡單但勝在量大。
這些分支之間的成員、工具和基礎設施存在大量交叉，不同安全機構給出的命名也各不相同。Diamond Sleet、UNC4899、Contagious Interview、Wagemole.
同一個對手，十幾個名字，不同的面具。
不對稱戰爭
幣安事件發生後，馬斯克在 X 平台發帖：「Everyday is Zeroday」。
這不是修辭，微軟威脅情報部門發佈的專項研究報告顯示，朝鮮活躍的 8 個主要黑客組織中，已有 3 個完成了 AI 工具與日常攻擊流程的深度融合，在微軟定義的網絡威脅 AI 應用成熟度模型中達到最高等級。
AI 的介入已不再停留在外圍實驗，而是全面覆蓋了前期偵察、社工釣魚、身份偽裝、惡意軟件編寫乃至軟件供應鏈投毒的全鏈條。換言之，那些曾經需要數周準備的釣魚郵件、偽造簡歷和惡意代碼，現在可以批量生成、自動迭代。
攻擊者只需要找到一個漏洞，防禦者必須守住所有漏洞，這是一場不對稱戰爭。
從 Bithumb 的 700 萬到 Ronin 的 6.2 億，從 Bybit 的 15 億到幣安的 62 億，攻擊規模呈指數級增長。這條曲線的另一端，是一個人均 GDP 不到 2000 美元的國家，一群從 17 歲開始接受九年訓練的年輕人，和一套為「秘密戰爭」服務了四十年的國家機器。
加密行業必須面對一個事實：站在對面的，是一個核武國家的全部網絡戰力量，這個對手，正在變得越來越強。