BlockTempo 报道称，北韩黑客并非自学成才，而是由国家长期经营的人才培养体系产出：从小学阶段筛选数理成绩最好的学生，集中送入平壤的电脑英才班、顶尖大学和军方学校，毕业后再分发进入军方情报机关侦察总局相关黑客部队。报道指出，加密货币已成为这些组织近年重点盯上的目标。
文章提到，最新一宗可能相关的案件，是币安当天遭遇的 63 亿美元失窃事件。TRM Labs 认为，作案方很可能是北韩 TraderTraitor，该组织常被归为 Lazarus 体系下专门窃取加密资产的分支。Chainalysis 首席执行官 Jonathan Levin 也在 X 上表示，很可能是 TraderTraitor 所为。不过截至 10 月 30 日下午，币安与 FBI 仍未正式点名北韩，这一归因尚未获得官方确认。
从小学开始筛选，进入平壤英才体系
报道援引 North Korea Tech 编辑 Martyn Williams 对 NBC 的说法称，北韩普通家庭通常没有网络，多数人也没有电脑，因此黑客只能依靠国家体系定向培养。学生从小学阶段就被重点考察数理能力，成绩最好的孩子才有机会接触电脑，之后进入特殊编程学校、参加全国竞赛，表现最好的再升入顶尖大学。
前北韩电脑系教授金兴光在 2011 年的说法则更具体。他表示，全国资优生会被集中送往平壤的金星第一、第二中学就读「电脑英才班」，顶尖毕业生甚至可让全家搬进平壤。之后，这些学生会进入金日成综合大学、金策工业综合大学、美林大学，部分人还会被送往海外留学，毕业后大多被分发到黑客专门部队。
军方培养线同样清晰。路透社 2014 年采访脱北者张世律时提到，他曾就读军方电脑学校指挥自动化大学，并称隶属侦察总局的 121 局黑客，最早在 17 岁就会被挑中训练。该校为五年制，每年有超过 2,500 人报考，最终只有约 100 人毕业。
待遇也是吸引机制的一部分。报道称，来自乡下的学员若表现突出，可以把全家接到平壤；被派往海外小组的人，则可能分到平壤高级地段的大型配给公寓。金兴光在同篇报道中说：「这对他们是很大的荣誉，在那里这是白领工作，大家都向往。」
竞赛与大学，是进入网军的另一条通道
国际竞赛也被视为选才渠道。国际数学奥林匹亚连续三年获得银牌的李政烈，2016 年在香港比赛结束、原定回国前一晚出走脱北。金兴光称，他原本可能会被编入网军。
报道还提到，2023 年美国 HackerEarth 举办线上编程竞赛时，金策工大学生与一名金日成大学学生包办前四名，北韩官方电视台随后还制作了专题报道。
现有规模：约 8,400 名国家级网军
按照 2024 年 10 月韩国网络作战司令部在国会的说法，北韩国家级网军约有 8,400 人，主要隶属侦察总局。
韩国国情院向国会报告称，金正恩把网络战与核武、导弹并列为「万能宝剑」。张世律的说法更直接：对他们来说，最强的武器就是网络，在北韩这被称为「秘密战争」。
报道同时梳理了近年的归因情况。FBI 认定，2025 年 2 月的 Bybit 案，涉案金额约 15 亿美元，出自 TraderTraitor；2026 年 4 月的 Drift 案，则由 Drift 以中高信心归因给另一支北韩组织 UNC4736，也被称为 AppleJeus。媒体通常把这些单位统称为 Lazarus。
另据 Daily NK 2025 年 3 月援引内部人士的说法，金正恩已下令在侦察总局下设立「227 研究所」，专攻攻击性黑客技术与 AI。不过报道也强调，这一说法仅来自单一来源，尚未获得官方证实。
攻击重点不是合约，而是人和流程
报道认为，北韩相关组织之所以屡屡得手，一个关键原因是其攻击重点往往不是程序漏洞，而是员工电脑和业务流程。
以 2024 年 5 月日本交易所 DMM Bitcoin 被盗约 3.08 亿美元为例，FBI 与日本警察厅等机构认定，作案方为 TraderTraitor。黑客在 LinkedIn 上伪装成招聘人员，以「职前测验」名义诱导为 DMM 管理钱包系统的软件供应商 Ginco 的一名员工执行恶意脚本。
Bybit 案的入口，则是 Safe{Wallet} 一名开发者的电脑。至于 Drift 案，报道称黑客花了半年时间伪装成量化交易员，在加密会议上与贡献者面对面接触，还先存入超过 100 万美元建立信任，之后才断联并实施攻击。币安案方面，官方初步说法是 DevOps 工程师的笔电。
文章称，这类行动是全职工作，不是临时兼职。国家会提供目标和资源，相关团队可以为单一案件投入半年时间，甚至承担超过 100 万美元的前期成本。
还有一支伪装成远程工程师的「上班族」队伍
除直接入侵外，报道还提到另一类北韩 IT 工作者，即以假身份应聘海外远程岗位的工程师。美国财政部海外资产控制办公室（OFAC）在 10 月 28 日刚刚制裁了协助这些人员变现的人士。Chainalysis 当天发布的博客援引联合国专家小组估计称，这类人员分布在数十个国家，每年可为北韩政权带来 2.5 亿至 6 亿美元收入。
BBC 在 2025 年采访了一名化名金秀的脱北者。此人称，自己月收入至少 5,000 美元，其中约 85% 需要上缴政权。BBC 同时表示，无法独立核实这一说法。
不过报道也指出，并非所有相关人员都属于高水平精英。链上调查员 ZachXBT 曾披露一个由 140 人组成的假工程师团队，其内部排名网站密码竟是 123456。ZachXBT 认为，这类团队手法粗糙，真正危险的是 TraderTraitor 这样的精英组织。
失窃资金如何变现，最终流向何处
在规模方面，Chainalysis 2025 年 12 月报告估计，2025 年与北韩有关的黑客共窃取约 20.2 亿美元，占当年全球 34 亿美元失窃总额的约六成，历年累计约 67.5 亿美元。Chainalysis 还统计称，2026 年在币安案发生前，Drift、Bitget 等案件已使北韩当年窃取金额突破 10 亿美元。
报道称，资金变现依赖一条成熟的洗钱产业链。Chainalysis 表示，这类洗钱通常以约 45 天为一个周期，并大量使用中文地下洗钱网络。联合国专家小组在遭俄罗斯否决后解散，随后由 11 国成立的多边制裁监测小组（MSMT）于 2025 年 10 月发布报告，点名北韩利用柬埔寨汇旺（Huione）进行洗钱。
至于资金最终流向，报道援引联合国专家小组 2024 年 3 月报告称，北韩网络活动约占其外汇收入的一半。文章标题则直接点出，这些通过窃取加密资产获得的资金，被外界视为支撑金正恩政权核武计划的重要来源之一。
