2025 年 2 月 21 日，全球头部加密货币交易所之一 Bybit 在一次”例行内部转账”中，被悄无声息地转走了约 40.1 万枚 ETH（当时价值约 15 亿美元）——这是史上最大单笔加密盗窃案。事后 FBI 将其归因于朝鲜国家级黑客组织 Lazarus Group 的一个分支 TraderTraitor。这并非孤例：据 Chainalysis 2026 报告，2025 年全球加密盗窃约 34 亿美元，其中朝鲜关联方就占了 20.2 亿；2026 年前四个月，仅两起攻击就卷走 5.77 亿美元，占全球总量的 76%。
这些资金最终流向朝鲜的武器与核计划。理解他们的攻击过程，是交易所、项目方和普通用户建立防御的第一步。本文基于 FBI、Chainalysis、Elliptic、Mandiant 等公开威胁情报，还原朝鲜黑客攻击加密货币安全的完整攻击链。
一、谁在攻击：Lazarus 与侦察总局
朝鲜的加密货币盗窃由国家统一指挥，核心执行者是 Lazarus Group（又名 APT38），其下分支 TraderTraitor / Jade Sleet / Slow Pisces / UNC4899 专攻加密资产，整体隶属朝鲜侦察总局（RGB）。他们的目标不是炫耀技术，而是稳定变现以支撑受制裁的经济与军备。自 2017 年以来累计盗窃已达约 60–67.5 亿美元，按持有量足以跻身国家级 BTC 持有者前列。
二、完整攻击生命周期（Kill Chain）
朝鲜系攻击高度工业化，可抽象为六个阶段。下面以 Bybit 案为样板逐段拆解。
阶段一：侦察与目标筛选
攻击者先用开源情报（OSINT）扫描 GitHub 仓库、Discord 服务器与 DeFi 文档，优先挑选锁仓量（TVL）高的目标。2025 年后，他们大量引入 LLM 自动扫描：用微调过的 Solidity / Rust 模型，可在 4 分钟内审完整套智能合约，挖出重入漏洞、权限缺陷与预言机操纵点——比人工审计快几个数量级。
阶段二：初始访问（几乎全是社工）
技术突破极少，突破口几乎都在”人”：
- 假招聘 / 假投资：在 Telegram 扮投资公司员工，用 Calendly、Picktime 发假会议邀请，诱导对方安装恶意软件；
- AI 人设：用生成式 AI 伪造 LinkedIn 履历、GitHub 提交记录，甚至deepfake 实时视频面试，维持数周关系后再投递带毒”技术测评”。有案例伪装资深 Solidity 工程师 11 周、通过三轮面试，最终投毒 npm 包打开反向 shell；
- 恶意依赖：伪造 npm 包或开源组件（如 2026 年 3 月的 LiteLLM 供应链投毒）潜入构建流水线。
阶段三：供应链与前端投毒（核心手法）
这是 Bybit 案的关键。攻击者并不直接打穿交易所，而是拿下其依赖的第三方钱包服务商 Safe{Wallet} 的开发者机器，再顺藤摸瓜窃取 AWS 会话令牌、绕过 MFA，最终篡改托管在前端的 JavaScript。关键在于：注入的代码只在 Bybit 冷钱包发起交易时才激活，把界面上”看起来正常的交易”替换成攻击者控制的恶意交易。Bybit 案时间线：
| 时间（2025） | 动作 |
|---|---|
| T-17 天（2/4） | 社工入侵 Safe{Wallet} 开发者 macOS（伪装成 Docker 项目 MC-Based-Stock-Invest-Simulator） |
| T-16 天（2/5） | 盗取 AWS 会话令牌，绕过 MFA 长期潜伏 |
| T-2 天（2/19） | 替换 app.safe.global 上的 JS，仅在 Bybit 冷钱包交易时触发 |
| T-0（2/21 14:13 UTC） | 3 名签名者批准”标准转账”，实际把钱转给攻击者 |
| T+2 分钟 | 传回干净版 JS，抹除投毒痕迹 |
从触发到清理不到 10 分钟，准备却耗去数周。
阶段四：横向移动与驻留
进入内网后，攻击者拿下签名工作流、私钥、VPN 与管理员凭据，并部署 RemotePE 等”无文件”远程木马长期驻留。RemotePE 全程在内存执行（DPAPILoader → RemotePELoader → 内存落地），配合 Hell’s Gate 与 ETW patching 绕过 EDR，传统”扫文件”式杀毒几乎失效。
阶段五：提币——多签为何失效
很多人误以为”多签 + 硬件钱包”就高枕无忧。Bybit 案证明：密码学没破，破的是人眼看到的 UI 层。签名者在 Ledger 上看到的摘要，与链上真正签署的内容被悄悄替换——这种”交易盲签”（transaction blindness）让受害者亲手把钱签走。多签保护的是密码学，挡不住界面欺骗。
阶段六：洗钱（45 天标准周期）
- 48 小时内先过约 1.6 亿美元混币渠道；
- 迅速把 ETH 换成 BTC（UTXO 模型比账户模型更难追踪）；
- 工具链：Tornado Cash 类混币、DEX、跨链桥（Bybit 案主通道 THORChain，72% 资金经此转 BTC）、中文 OTC 场外；
- 朝鲜对中文资金通道依赖度高出其他犯罪集团 3.5–10 倍。
结局：Bybit 案最初追踪到 88.87% 资金，最终仅冻结约 3%，绝大多数仍在数千个钱包中静待洗白。
三、2025–2026 的新演进
- 无文件化：RemotePE 让传统杀毒基本失效，防御必须转向行为/内存检测；
- AI 工业化：侦察到洗钱四阶段全面 LLM 自动化，deepfake 面试官规模化渗透西方科技公司。美司法部估计约 4000 名朝鲜 IT 工人已潜入或正试图潜入西方企业；
- 规模化供应链：借 Ghost CMS 的 SQL 注入打穿 700+ 站点，抓管理员密码后经 ClickFix 假验证码诱导执行 Base64 命令装木马（Grape Electron 应用持久化，每 30 秒回连 C2）。
四、数字里的威胁
- 2025 全球加密盗窃约 34 亿美元，朝鲜占 20.2 亿（+51%）；
- 2026 前 4 个月两起即 5.77 亿，占全球 76%；
- 攻击次数下降、单笔暴增——更会挑目标、单位产出更高；
- 累计盗窃约 60–67.5 亿美元。
五、防御要点（可落地）
对交易所 / 项目方：
- 隔离签名环境：签名机与上网/聊天机物理或逻辑隔离，绝不在同一台机器边聊 Telegram 边签大额交易；
- 私钥上 HSM / 硬件钱包 + 独立持有者的多签 + 大额时间锁；
- 防 UI 欺骗：在离线/独立设备上人工核对交易原始字段（to / value / data），不只信界面摘要；
- 最小权限 + 供应链审计：对开发者云账户、构建流水线、依赖包做完整性监控；
- EDR 看内存行为而非只扫文件，部署异常凭据/横向移动告警；
- 招聘防线：远程岗位加真人面试与身份核验，警惕”过于完美”的候选人。
对普通用户：不点来路不明的会议链接与”定制工具”，不运行别人发来的命令，大额资产尽量自托管到硬件钱包，并对每一笔签名交易逐字核对。
结语
朝鲜黑客攻击加密货币的过程，本质是一条高度工业化、以人为突破口、以供应链为桥梁、以洗钱为出口的国家级掠夺链。加密行业的防御，也必须从”相信界面”转向”验证链上”——把签名环境、第三方依赖和人的警惕性，都当成攻击面来加固。唯有如此，才能在这场地毯式收割中守住资产。
（本文基于 FBI、Chainalysis、Elliptic、Mandiant、NCC Group 等公开威胁情报整理，供安全防御参考。）
