近期，朝鲜针对Drift平台长达六个月的渗透行动再次引发行业震动，也让一个更深层次的问题浮出水面：为什么朝鲜对加密货币盗窃如此执着？为什么其手法与全球其他国家级黑客组织截然不同？安全专家给出的答案直指核心——加密货币是朝鲜政权在全面制裁下维持生存的关键收入来源。
生存驱动：制裁下的硬通货缺口
“朝鲜没有奢侈去等待。”Yeshiva大学网络安全硕士项目创始人、SVRN首席运营官Dave Schwed指出，“他们面临全面的国际制裁，急需硬通货为武器项目提供资金。联合国及多个情报机构已证实，加密货币盗窃是其核弹道导弹开发的主要融资机制。”这种紧迫性解释了为何朝鲜黑客总是在公共区块链上实施大规模、可追踪的劫掠，而非像其他国家级黑客那样低调使用加密货币规避制裁。
截然不同的国家战略：加密是目标而非工具
Schwed进一步分析称，俄罗斯拥有石油、天然气、大宗商品出口以及愿意变通交易的伙伴，加密货币对其而言只是支付轨道；伊朗也有石油和代理融资网络。而朝鲜几乎没有任何可出售的商品。“他们需要一个能够立即获得全球流动价值的途径，无需任何愿意与之做生意的对手方。”这种区别——将加密货币视为基础设施（俄罗斯/伊朗）还是视为直接攻击目标（朝鲜）——是关键所在。
ENS Labs首席信息安全官、伦敦国王学院网络安全教授Alexander Urbelis补充道：“朝鲜的目标是交易所、钱包提供商、DeFi协议以及持有签名权限或基础设施访问权限的个人工程师和创始人。受害者是任何持有密钥或持有密钥的基础设施的人。”相比之下，俄罗斯和伊朗仅将加密货币视为实现更广泛地缘政治目的的手段，“当他们触及加密货币时，是为了转移资金，而不是从生态系统中窃取。”
战术特点：长达数月的社交工程与供应链渗透
这种单一目标推动朝鲜特工采用更接近情报机构而非普通黑客的策略：建立长达数月的关系、伪造身份、渗透供应链。Drift案例只是最新例证。“你面对的并非来自随机骗子的钓鱼邮件，”Urbelis强调，“而是花了六个月专门建立关系来攻击特定关键人物。”这种长期潜伏能力对当前加密货币行业构成了极为严峻的安全挑战。
加密架构的致命吸引力：交易的最终性
加密货币自身的架构使其成为独特的狩猎场。在传统金融中，即使是成功的黑客攻击也会遇到合规检查、代理行审查、结算延迟以及反转欺诈转账的可能性。2016年朝鲜黑客实施孟加拉国央行抢劫案时，资金转移花费数天，大部分最终被追回或冻结。而在加密货币中，一旦交易被签名并确认，就是最终状态。去年的Bybit事件在约30分钟内转移了15亿美元，这种速度和规模在传统银行系统中几乎不可能实现。
这种最终性从根本上改变了安全逻辑：在银行业，可以通过预防、检测和响应构建合理防御，因为总有窗口冻结资金或逆转电汇；而在加密领域，这个窗口几乎不存在，这意味着在攻击发生前阻止它不仅是更可取的，而且是唯一选择。许多加密项目仍在“即兴发挥”——往往优先考虑速度和创新，而非治理和内控，为类似朝鲜的长期渗透战术创造了条件。
市场影响与行业反思
朝鲜持续高调盗窃对加密货币市场产生了深远影响：一是加剧了投资者对DeFi安全性的担忧，可能导致资金向中心化交易所或更受监管的稳定币转移；二是推动项目方投入更多资源进行背景审查、第三方中介验证和实时威胁监控；三是促使各国监管机构进一步收紧反洗钱和KYC要求。有安全专家直言：“这是目前加密领域最棘手的运营安全问题，我认为行业还没有解决它。”
随着朝鲜黑客战术的不断升级，整个加密货币生态必须重新审视安全优先级——从被动防御转向主动渗透检测，因为在这个领域，失败的代价是永久性的。