最近，朝鲜黑客对Solana生态DeFi协议Drift进行的长达六个月的渗透活动，再次震惊了整个加密货币行业。这起事件并非孤例：在过去的几年里，朝鲜支持的黑客组织已经从各种加密平台窃取了数十亿美元。但背后一个更深层的问题逐渐浮现：为什么朝鲜对加密货币如此执着？为什么他们的手法与其他国家背景的黑客组织截然不同？
急需硬通货：制裁下的唯一选择
安全专家指出，答案在于朝鲜的经济困境。耶什瓦大学网络安全硕士项目创始人、SVRN首席运营官Dave Schwed表示：“朝鲜没有等待的奢侈。他们处于全面的国际制裁之下，需要硬通货来资助武器项目。联合国和多个情报机构已经确认，加密货币盗窃是他们核导弹开发的主要资金来源。” 这种紧迫性解释了为何朝鲜黑客经常进行大规模、可追踪的盗窃，而不是像其他国家那样悄悄利用加密货币规避制裁。
Schwed进一步分析，俄罗斯依然拥有经济体：石油、天然气、大宗商品出口以及愿意使用变通方法的贸易伙伴。加密货币对他们来说只是支付轨道，而不是必需品。伊朗也有货物可以交易——受制裁的石油、代理融资网络、中东的中介。而朝鲜几乎没有任何东西可以卖。“他们的出口几乎全部被制裁，没有一个正常运转的经济体需要支付轨道。他们需要直接收入。加密货币盗窃让他们无需寻找愿意做生意的对手方，就能立即获得全球流动价值。”
基础设施vs目标：截然不同的威胁模型
ENS Labs首席信息安全官、伦敦国王学院网络安全教授Alexander Urbelis区分了两种模式：俄罗斯和伊朗将加密视为基础设施——一种绕过制裁或向代理网络输送资金的方式；而朝鲜则将其视为攻击目标。“他们的目标是交易所、钱包提供商、DeFi协议，以及拥有签名权限或基础设施访问权的工程师和创始人。受害者是持有密钥或基础设施访问权的人。” 相比之下，俄罗斯主要攻击选举、能源基础设施和政府系统；伊朗针对持不同政见者和地区对手。当他们涉及加密货币时，是为了转移资金，而不是从生态系统中窃取。
这种单一焦点促使朝鲜黑客采取类似情报机构而非普通犯罪黑客的战术：长达数月的关系建立、伪造身份、供应链渗透。Urbelis强调：“你防御的并不是随机骗子的钓鱼邮件，而是某人花了六个月建立关系，专门为了入侵那个拥有你需要保护的关键访问权限的人。”
加密金融的“终极性”：不可逆转的挑战
加密货币自身的架构使其成为独特的狩猎场。在传统金融中，即使成功黑客也会遭遇合规检查、代理行检查、结算延迟以及逆转欺诈转账的可能性。当朝鲜黑客在2016年实施孟加拉国银行抢劫案时，盗窃耗时数天处理，大部分资金最终被追回或冻结。但在加密领域，协议层面几乎不存在这些保障。“一旦交易被签名并确认，就是最终的，”Urbelis说。去年早些时候的Bybit漏洞事件在约30分钟内转移了15亿美元，这种速度和规模在传统银行系统中几乎不可能。
这种终极性从根本上改变了安全计算。在银行业，可以通过预防、检测和响应构建合理的防御，因为总有时间冻结资金或逆转汇款。而在加密领域，这个窗口几乎不存在，这意味着在攻击发生前阻止它不仅是更可取的，而且是唯一的选择。而银行在数十年的监管指导和审计要求下运作，许多加密项目仍在临时拼凑——通常优先考虑速度和创新，而非治理和控制。这种差距创造了一个环境，即使是成熟的团队也可能易受攻击，尤其是面对朝鲜长期以来磨练的长期渗透战术。Urbelis总结道：“这是目前加密领域最难的操作安全问题，我不认为行业已经解决了它。”
市场影响与未来展望
此类事件对整个加密市场造成深远影响。首先，它会打击投资者信心：当专业级黑客能够以情报级别的手段渗透大型协议时，普通用户对DeFi的信任会进一步削弱。其次，监管压力加大：各国政府可能加强对加密货币的资金流动监控，甚至推动更严格的KYC/AML规则。第三，安全投入升级：项目方将被迫投入更多资源用于背景审查、供应链安全以及实时威胁检测，行业安全标准可能因此重塑。最后，朝鲜的案例凸显了加密不可逆性本身是一把双刃剑——它为无银行账户者提供了自由，但也为非法资金流动提供了完美的最终结算工具。业内需要像Drift事件那样从源头阻断攻击，而不是依赖事后追回。