从一份PDF 到63亿美元，朝鲜黑客如何攻陷加密世界？

本文来自微信公众号： 深潮 TechFlow ，作者：值得关注的，原文标题：《从一份 PDF 到 63 亿美元，朝鲜黑客如何攻陷加密世界？》2026年10月30日凌晨，币安9条链上的热钱包被同时攻破，链上转出超62.6亿美元。

10月31日宣布，美国联邦调查局（FBI）宣布朝鲜黑客组织参与了币安被盗事件，特朗普表示，若证实为朝鲜所为，美方将会与朝鲜进行交涉。一个国家把整个加密行业当成了提款机。据深潮TechFlow统计，2017年至2026年间，与Lazarus及朝鲜相关联的黑客共涉及37起加密盗窃案件，估值合计约118.17亿美元。

从2017年攻击韩国交易所Bithumb盗走700万美元起步，到币安一夜蒸发数十亿，被认为网络封闭的朝鲜，如何用不到十年时间，从网络战场的边缘玩家变成了加密世界的头号掠食者？一份PDF，六亿美元2022年初，加密游戏Axie Infinity的母公司Sky Mavis一位高级工程师收到了一条LinkedIn消息，对方自称某公司的招聘人员，开出了一份极具吸引力的薪酬方案。

这位工程师经历了多轮面试，一切看起来都很正规。最终，他收到了一份PDF格式的录用通知书。打开文件的那一刻，间谍软件悄无声息地潜入了Sky Mavis的内部系统。Axie Infinity的Ronin Bridge采用9个验证者节点的权威证明机制，需要5个节点签名才能批准提款。

攻击者通过被感染的工程师电脑渗透进Sky Mavis的IT基础设施，拿到了4个验证者的密钥。第5个签名来自一个被遗忘的漏洞：2021年11月，Sky Mavis曾请求Axie DAO在交易负载高峰期帮忙签名，这项临时授权在12月已经停用，但访问权限从未被撤销。

2022年3月，6.2亿美元从Ronin Bridge上消失。一个月后，FBI将攻击归因于朝鲜Lazarus Group。一份假offer，一个被遗忘的授权，六亿美元被盗。Ronin的剧本在此后不断重演，但攻击者的手法在进化。

2022年6月，Harmony Horizon Bridge失守，1亿美元被转走。攻击者伪装成区块链开发者，以内部人员身份获取了系统权限。2023年，Atomic Wallet、Alphapo、CoinsPaid、Stake.com接连沦陷，累计损失超2.38亿美元。

到了2024年7月，印度交易所WazirX被击穿2.35亿美元。每一次攻击，手法都不一样，但背后的逻辑惊人一致：找到一个人，骗过这个人，用这个人打开一扇门。2025年2月，他们把这套方法论推向了新高度。

Bybit的冷钱包被转走15亿美元。Paradigm安全研究员samczsun的复盘显示，攻击者并未直接攻击Bybit，而是渗透了其多签钱包服务商Safe{Wallet}的基础设施，在那里植入恶意代码，精准针对Bybit的冷钱包签名流程。

这意味着，即使Bybit自身的安全措施无懈可击，只要上游供应链被攻破，一切防线都形同虚设。八个月后，币安成为最新的猎物。事后币安公布的调查结果显示，一名运维工程师的笔记本电脑遭到入侵，攻击者借此渗透内部系统，利用EIP-7702让热钱包签下了一张委托授权，神鱼在链上复盘中拆解了攻击合约的逻辑：「攻击者的程序只认一个主人，只做一件事：转钱。

」从Ronin到Bybit到币安，攻击规模从6亿跃升到15亿，再到62亿。每一次都是社会工程学的胜利，每一次都从一个人开始。你的同事可能是朝鲜人如果说Lazarus的对外攻击是「破门而入」，那么朝鲜IT工人的渗透就是「登堂入室」。

2024年10月，CoinDesk发布了一份令行业震惊的调查报告。记者追踪区块链支付记录和内部线索，发现超过24家加密公司在不知情的情况下雇佣了朝鲜IT工人，其中至少12家公司确认曾在员工名单中发现疑似朝鲜籍员工。

被点名的项目包括Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance和Truflation。MetaMask安全研究员Taylor Monahan透露，至少40个DeFi协议在其发展历程中曾雇佣朝鲜IT工人，时间跨度长达七年。

这些人用伪造的护照、签证和精心编造的简历通过筛选，在Telegram、Discord和Indeed上投递申请。他们瞄准那些招聘流程松散、用加密货币发工资的初创团队，远程工作时几乎从不开启摄像头。

据联合国估算，朝鲜IT工人每年为政权赚取高达6亿美元收入，其中个人只能留下10%到30%。2024年3月，Munchables事件给出了一个教科书式的案例。这个基于Blast链的NFT游戏雇佣了一名化名「Werewolves0943」的开发者。

链上调查员ZachXBT追踪发现，这名开发者就是朝鲜间谍，他利用开发权限从项目中抽走17，400枚ETH，价值约6200万美元。故事的转折在于，在Blast创始人Pacman和社区的多方施压下，这名开发者在8小时内交出了所有私钥，全额退还了被盗资金。

没有人知道他为什么归还。一种猜测是，被暴露身份后继续持有赃款只会招来更大的麻烦。但Sushi的经历就没有这么幸运了。2021年9月，Sushi/MISO平台被盗约300万美元。事后调查发现，两名化名「Anthony Keller」和「Sava Grujic」的前承包商在被解雇后仍保留了代码库的访问权限。

Sushi后来还雇佣了另一名疑似朝鲜籍承包商「Gary Lee」。2023年，Truflation创始人Stefan Rust发现自己团队中有5名疑似朝鲜工人，超过全部员工的三分之一。

随后该公司遭遇一次约500万美元的私钥泄露攻击。CrowdStrike的数据显示，朝鲜IT工人在12个月内渗透了超过320家公司，同比增长约220%。他们使用虚假身份，在美国本土雇人架设多台电脑集中远程办公以伪造地理位置，并用生成式AI应对视频面试。

安全公司KnowBe4甚至发现自己也中了招，一名通过正常招聘流程入职的「员工」在上班后立刻开始部署恶意软件。说不出金正恩一句坏话朝鲜黑客到底是什么样的人？2026年8月，一位韩裔美国记者在MetaMask安全研究员Taylor Monahan、SEAL Alliance的Nick Bax和Ump Labs的协助下，伪装成招聘人员「Sophie Wang」，通过视频面试了一名疑似朝鲜国家级黑客。

这名求职者自称「Justin Lim」，声称住在美国加州长滩，但口音被判断为韩国腔。链上线索和身份数据显示，他的真实驻地极可能是俄罗斯海参崴，他曾在2022年从MetaPlay盗取约270万美元。

面试中，他展示了不俗的技术能力：讲述如何fork Velas网络并让The Graph兼容运行，遇到不熟悉的OpenSea Seaport协议和Uniswap v4时，会当场调出文档进行分析。

当面试官提到朝鲜从Bybit盗走15亿美元时，他露出了整场面试中唯一一次微笑。最后一个问题终结了一切。面试官要求他对金正恩说一句负面评价，沉默之后，他退出了Zoom。随后他以「网络不稳定」为由，要求改用Discord或Telegram继续沟通。

被再次追问时，他只回了一句：「对这个人了解不多。」在朝鲜，公开批评最高领导人可能导致三代人被送进政治犯集中营。这个测试后来被安全社区广泛建议作为招聘筛选手段：要求候选人对金正恩做出负面评价，几乎所有朝鲜开发者都会选择回避。

秘密战争朝鲜的网络攻击能力并非一朝一夕建成。据脱北者张世律（Jang Se-yul）向Business Insider披露，朝鲜的网络战项目可以追溯到1980年代，内部代号「秘密战争」。

金氏政权很早就意识到，在常规军力远逊于美韩联军的前提下，网络作战是成本最低、回报最高的不对称武器。培养一名朝鲜黑客大约需要九年。起点是金策工业综合大学（原名自动化大学），每年从约5000名申请者中录取100人。

筛选标准首先看政治出身，朝鲜的「成分」体系将公民分为三个主要阶层和56个子类别，记录在户籍档案中。学员每天上6节90分钟的课程，学习编程语言和操作系统，深入研究Windows架构，并要求独立编写恶意软件，不依赖现成工具。

毕业后，黑客被分配到以国家为目标的行动小组，在海外以合法企业员工身份潜伏约两年，学习当地语言和文化。薪酬极为优厚：每月最高2000美元，是朝鲜大使工资的两倍。奖励还包括平壤一套超过185平方米的公寓和举家迁入首都的资格。

「培训黑客的成本极低，」张世律说，「这就是一个贫穷的国家也能在这个领域投入巨资的原因。」在他看来，网络威胁比核威胁更直接、更危险：「这是一场不用开枪的战争。」幽灵帝国美国财政部2019年制裁了Lazarus Group、BlueNoroff和Andariel三个实体，并指出它们均受朝鲜侦察总局（RGB）控制，但「Lazarus」这个名字其实只是外界对一个庞大国家级网络攻击体系的统称。

Paradigm安全研究员samczsun在Bybit事件后发布的分析中，梳理了这张错综复杂的组织网络：TraderTraitor：大额猎手。专攻交易所、托管商和钱包系统，擅长鱼叉式钓鱼和假工作机会，Ronin、WazirX和Bybit均出自这支队伍之手。

他们通常不使用零日漏洞，而是通过操纵「人」来撬开系统。AppleJeus（Citrine Sleet）：供应链刺客。围绕加密场景开发木马化软件，2024年渗透Radiant Capital就是其代表作。

他们还利用Chromium零日漏洞CVE-2024-7971部署FudModule Rootkit。BlueNoroff（Sapphire Sleet）：金融猎手。早期攻击银行和SWIFT系统，2016年差点从孟加拉国央行卷走10亿美元（实际到手8100万美元）。

现在已全面转向加密和VC领域。Famous Chollima：潜伏者。通过虚假身份入职科技和加密公司，形成内部渗透能力。CrowdStrike追踪到的320家被渗透公司，主要就是这支队伍的杰作。

DangerousPassword：低成本广撒网。钓鱼邮件、伪造视频通话应用，手法简单但胜在量大。这些分支之间的成员、工具和基础设施存在大量交叉，不同安全机构给出的命名也各不相同。

Diamond Sleet、UNC4899、Contagious Interview、Wagemole.同一个对手，十几个名字，不同的面具。不对称战争币安事件发生后，马斯克在X平台发帖：「Everyday is Zeroday」。

这不是修辞，微软威胁情报部门发布的专项研究报告显示，朝鲜活跃的8个主要黑客组织中，已有3个完成了AI工具与日常攻击流程的深度融合，在微软定义的网络威胁AI应用成熟度模型中达到最高等级。

AI的介入已不再停留在外围实验，而是全面覆盖了前期侦察、社工钓鱼、身份伪装、恶意软件编写乃至软件供应链投毒的全链条。换言之，那些曾经需要数周准备的钓鱼邮件、伪造简历和恶意代码，现在可以批量生成、自动迭代。

攻击者只需要找到一个漏洞，防御者必须守住所有漏洞，这是一场不对称战争。从Bithumb的700万到Ronin的6.2亿，从Bybit的15亿到币安的62亿，攻击规模呈指数级增长。这条曲线的另一端，是一个人均GDP不到2000美元的国家，一群从17岁开始接受九年训练的年轻人，和一套为「秘密战争」服务了四十年的国家机器。

加密行业必须面对一个事实：站在对面的，是一个核武国家的全部网络战力量，这个对手，正在变得越来越强。