这是一场不用开枪的战争。
2026 年 10 月 30 日凌晨，币安 9 条链上的热钱包被同时攻破，链上转出超 62.6 亿美元。10 月 31 日，美国联邦调查局（FBI）宣布朝鲜黑客组织参与了币安被盗事件，特朗普表示，若证实为朝鲜所为，美方将会与朝鲜进行交涉。
据深潮 TechFlow 统计，2017 年至 2026 年间，与 Lazarus 及朝鲜相关联的黑客共涉及 37 起加密盗窃案件，估值合计约 118.17 亿美元。从 2017 年攻击韩国交易所 Bithumb 盗走 700 万美元，到币安一夜损失数十亿美元，文章提出的问题是：一个网络封闭的国家，如何在不到十年里成为加密世界最凶猛的攻击者。
一份 PDF，6.2 亿美元
2022 年初，加密游戏 Axie Infinity 母公司 Sky Mavis 的一名高级工程师收到一条 LinkedIn 消息，对方自称某家公司招聘人员，并给出一份颇具吸引力的薪酬方案。此后，这名工程师经历了多轮面试，流程看起来一切正常。直到最后，他收到一份 PDF 格式的录用通知书。
文件被打开的那一刻，间谍软件进入了 Sky Mavis 的内部系统。
Ronin Bridge 当时采用 9 个验证者节点的权威证明机制，提款需要 5 个节点签名。攻击者借助被感染的工程师电脑渗透进 Sky Mavis 的 IT 基础设施，拿到了 4 个验证者密钥。第 5 个签名则来自一个遗留权限：2021 年 11 月，Sky Mavis 曾请求 Axie DAO 在交易高峰期协助签名，这项临时授权在 12 月停用，但访问权限没有被撤销。
2022 年 3 月，Ronin Bridge 上 6.2 亿美元被盗。一个月后，FBI 将这起攻击归因于朝鲜 Lazarus Group。
一份假 offer，一个未撤销的授权，6.2 亿美元消失。文章认为，这套剧本后来不断重演，只是攻击方式持续升级。
2022 年 6 月，Harmony Horizon Bridge 被转走 1 亿美元，攻击者伪装成区块链开发者，以内部人员身份拿到系统权限。2023 年，Atomic Wallet、Alphapo、CoinsPaid、Stake.com 接连遭到攻击，累计损失超过 2.38 亿美元。到 2024 年 7 月，印度交易所 WazirX 又损失 2.35 亿美元。
这些事件的手法并不相同，但文章给出的共性很直接：先找到一个人，骗过这个人，再借这个人打开系统的一扇门。
Bybit 与币安：攻击从单点渗透走向供应链
2025 年 2 月，Bybit 冷钱包被转走 15 亿美元。Paradigm 安全研究员 samczsun 复盘称，攻击者并未直接攻击 Bybit，而是先渗透其多签钱包服务商 Safe{Wallet} 的基础设施，并在其中植入恶意代码，随后针对 Bybit 的冷钱包签名流程下手。
这意味着，即便 Bybit 自身的安全措施没有明显缺口，只要上游供应链被攻破，防线仍可能失效。
8 个月后，币安成为新的目标。事后币安公布的调查结果显示，一名运维工程师的笔记本电脑遭到入侵，攻击者借此渗透内部系统，并利用 EIP-7702 让热钱包签下一张委托授权。神鱼在链上复盘中拆解攻击合约逻辑时写道：「攻击者的程序只认一个主人，只做一件事：转钱。」
从 Ronin 到 Bybit，再到币安，单次攻击规模从 6 亿美元级别升至 15 亿美元，再到 62 亿美元。文章将其概括为同一条主线：每一次都是社会工程学的胜利，每一次都从一个人开始。
朝鲜 IT 工人如何进入加密公司
如果说 Lazarus 的外部攻击是破门而入，那么朝鲜 IT 工人的渗透更像是直接进入屋内。
2024 年 10 月，CoinDesk 发布调查称，超过 24 家加密公司在不知情的情况下雇佣了朝鲜 IT 工人，其中至少 12 家公司确认曾在员工名单中发现疑似朝鲜籍员工。被点名的项目包括 Cosmos Hub、Injective、ZeroLend、Fantom、Sushi、Yearn Finance 和 Truflation。
MetaMask 安全研究员 Taylor Monahan 透露，至少 40 个 DeFi 协议在发展过程中曾雇佣朝鲜 IT 工人，时间跨度长达 7 年。
这些人使用伪造的护照、签证和简历通过筛选，在 Telegram、Discord 和 Indeed 上投递申请，重点瞄准招聘流程宽松、以加密货币发薪的初创团队。远程工作期间，他们几乎不打开摄像头。联合国估算，朝鲜 IT 工人每年可为政权带来最高 6 亿美元收入，而个人只能保留 10% 到 30%。
2024 年 3 月，Blast 链上的 NFT 游戏 Munchables 成为一个典型案例。项目雇佣了一名化名「Werewolves0943」的开发者。链上调查员 ZachXBT 追踪后认定，这名开发者是朝鲜间谍，并利用开发权限从项目中转走 17,400 枚 ETH，价值约 6200 万美元。
事件随后出现反转。在 Blast 创始人 Pacman 和社区多方施压下，这名开发者在 8 小时内交出了全部私钥，并全额退还被盗资金。报道提到，外界并不清楚其归还原因，其中一种猜测是，身份暴露后继续持有赃款只会带来更大风险。
并非所有项目都能拿回资金。2021 年 9 月，Sushi/MISO 平台被盗约 300 万美元。事后调查显示，两名化名「Anthony Keller」和「Sava Grujic」的前承包商在被解雇后仍保留代码库访问权限。Sushi 后来还雇佣了另一名疑似朝鲜籍承包商「Gary Lee」。2023 年，Truflation 创始人 Stefan Rust 发现团队中有 5 名疑似朝鲜工人，占员工总数超过三分之一。随后该公司遭遇一次约 500 万美元的私钥泄露攻击。
CrowdStrike 数据显示，朝鲜 IT 工人在 12 个月内渗透了超过 320 家公司，同比增长约 220%。他们使用虚假身份，在美国本土雇人架设多台电脑集中远程办公，以伪造地理位置，并借助生成式 AI 应对视频面试。安全公司 KnowBe4 也曾披露，一名通过正常招聘流程入职的「员工」在上班后立刻开始部署恶意软件。
一次视频面试里的异常沉默
2026 年 8 月，一名韩裔美国记者在 MetaMask 安全研究员 Taylor Monahan、SEAL Alliance 的 Nick Bax 和 Ump Labs 协助下，伪装成招聘人员「Sophie Wang」，通过视频面试接触到一名疑似朝鲜国家级黑客。
这名求职者自称「Justin Lim」，称自己住在美国加州长滩，但口音被判断为韩国腔。结合链上线索和身份信息，报道认为其真实驻地很可能在俄罗斯海参崴，并称他曾在 2022 年从 MetaPlay 盗取约 270 万美元。
面试过程中，他展示了较强的技术能力，包括讲述如何 fork Velas 网络并让 The Graph 兼容运行；遇到不熟悉的 OpenSea Seaport 协议和 Uniswap v4 时，也会当场调出文档分析。
当面试官提到朝鲜从 Bybit 盗走 15 亿美元时，他露出了整场面试中唯一一次微笑。真正让对话结束的是最后一个问题：请他对金正恩说一句负面评价。短暂沉默后，他退出了 Zoom，随后以「网络不稳定」为由要求改用 Discord 或 Telegram 继续沟通。再次被追问时，他只回了一句：「对这个人了解不多。」
报道称，在朝鲜，公开批评最高领导人可能导致三代人被送进政治犯集中营。这个测试后来被安全社区广泛建议作为招聘筛选手段：要求候选人对金正恩作出负面评价，几乎所有朝鲜开发者都会回避。
「秘密战争」如何培养黑客
朝鲜的网络攻击能力并非短时间内形成。脱北者张世律（Jang Se-yul）向 Business Insider 披露，朝鲜的网络战项目可以追溯到 1980 年代，内部代号为「秘密战争」。在常规军力远逊于美韩联军的情况下，网络作战被视为成本低、回报高的不对称武器。
按其说法，培养一名朝鲜黑客大约需要 9 年。起点是金策工业综合大学（原名自动化大学），每年从约 5000 名申请者中录取 100 人。筛选首先看政治出身。朝鲜的「成分」体系将公民划分为 3 个主要阶层和 56 个子类别，并记录在户籍档案中。
学员每天上 6 节、每节 90 分钟的课程，学习编程语言和操作系统，深入研究 Windows 架构，并被要求独立编写恶意软件，而不是依赖现成工具。
毕业后，这些黑客会被分配到以国家为目标的行动小组，在海外以合法企业员工身份潜伏约 2 年，学习当地语言和文化。薪酬也明显高于普通岗位：每月最高 2000 美元，是朝鲜大使工资的两倍。奖励还包括平壤一套超过 185 平方米的公寓，以及举家迁入首都的资格。
张世律说：「培训黑客的成本极低，这就是一个贫穷的国家也能在这个领域投入巨资的原因。」在他看来，网络威胁比核威胁更直接，也更危险：「这是一场不用开枪的战争。」
Lazarus 只是一个统称
美国财政部在 2019 年制裁了 Lazarus Group、BlueNoroff 和 Andariel 三个实体，并指出它们均受朝鲜侦察总局（RGB）控制。但文章指出，「Lazarus」更像是外界对一个庞大国家级网络攻击体系的统称。
Paradigm 安全研究员 samczsun 在 Bybit 事件后的分析中，梳理了其中几支主要分支：
- TraderTraitor：专攻交易所、托管商和钱包系统，擅长鱼叉式钓鱼和假工作机会。Ronin、WazirX 和 Bybit 被归入这支队伍的典型案例。他们通常不依赖零日漏洞，而是通过操纵人来撬开系统。
- AppleJeus（Citrine Sleet）：围绕加密场景开发木马化软件。2024 年对 Radiant Capital 的渗透被视为代表作之一，还利用 Chromium 零日漏洞 CVE-2024-7971 部署 FudModule Rootkit。
- BlueNoroff（Sapphire Sleet）：早期主要攻击银行和 SWIFT 系统。2016 年曾试图从孟加拉国央行转走 10 亿美元，实际得手 8100 万美元。现在已转向加密和 VC 领域。
- Famous Chollima：通过虚假身份进入科技和加密公司，形成内部渗透能力。CrowdStrike 追踪到的 320 家被渗透公司，主要被归因于这支队伍。
- DangerousPassword：以低成本、大范围投放为特点，常见手法包括钓鱼邮件和伪造视频通话应用。
这些分支在成员、工具和基础设施上存在大量交叉，不同安全机构给出的命名也并不统一。Diamond Sleet、UNC4899、Contagious Interview、Wagemole，指向的往往是同一个对手在不同场景下的不同面具。
AI 正在放大这场不对称战争
币安事件发生后，马斯克在 X 平台发帖称：「Everyday is Zeroday」。
微软威胁情报部门发布的专项研究报告显示，朝鲜活跃的 8 个主要黑客组织中，已有 3 个完成了 AI 工具与日常攻击流程的深度融合，并在微软定义的网络威胁 AI 应用成熟度模型中达到最高等级。
报道称，AI 的使用已经覆盖前期侦察、社工钓鱼、身份伪装、恶意软件编写以及软件供应链投毒等环节。那些过去需要数周准备的钓鱼邮件、伪造简历和恶意代码，现在可以批量生成并自动迭代。
攻击者只需要找到一个漏洞，防御者却必须守住所有漏洞，这就是文章所说的不对称战争。
从 Bithumb 的 700 万美元，到 Ronin 的 6.2 亿美元；从 Bybit 的 15 亿美元，到币安的 62 亿美元，攻击规模一路抬升。文章最后给出的判断是，加密行业面对的并不是零散黑客，而是一个核武国家的整套网络战能力，而且这个对手还在继续变强。
