幣安 63 億美金黑客定位到 TraderTraitor，和拉撒路什麼關係？

作者：律動 BlockBeats

11 月 1 日，美國聯邦調查局發了一則通告，把 10 月 29 日幣安被盜的那筆 63 億美金歸到了朝鮮頭上。通告裡用了個詞：TraderTraitor。

如果搜索這個名字，會發現，Bybit 的 15 億，Bitget 的 3 億，以及前幾年的幾起加密貨幣大案，都和這個名字有關。

TraderTraitor 不是一家公司，也不是組織架構圖上的一格。它是美國政府給一類行為起的代號。

2022 年 4 月，FBI、美國網絡安全和基礎設施安全局（CISA）、美國財政部聯合發過一份通告，編號 AA22-108A。那是這個詞第一次正式出現。當時它指的是幾款偽裝成炒幣軟體的木馬，比如 DAFOM、TokenAIS、CryptAIS，介面做得像模像樣，裝上去就開始偷私鑰。

幹這件事的人，業界一直叫 Lazarus Group、APT38、BlueNoroff、Stardust Chollima，這不是四支隊伍。Lazarus，也就是拉撒路是總稱；APT38（Mandiant）、BlueNoroff（卡巴斯基）、Stardust Chollima（CrowdStrike）是不同安全公司給同一條搞錢的線起的三個名字。

兩年後，這個標籤落到了具體的行為上。2024 年 12 月 23 日，FBI、美國國防部網絡犯罪中心、日本警察廳聯合發布 DMM 被盜 3 億美金案的歸因，第一次用"被追蹤為 TraderTraitor 的朝鮮網絡行為者"這種說法，並列出了它的三個別名：Jade Sleet（微軟叫法）、UNC4899（谷歌叫法）、Slow Pisces（Palo Alto 叫法）。

現在信息比較明確了，TraderTraitor 是 Lazarus 這個大集團裡，專門做加密資產的，也是現在最來錢的。它至少從 2020 年起就只盯區塊鏈------交易平台、DeFi、錢包服務商、加密基金，還有手裡攥著大量幣的個人。

從搶銀行到搶交易平台

Lazarus 是個傘形名字，底下什麼都有，2014 年刪索尼影業的硬碟，2016 年從孟加拉央行往外轉錢。

比如孟加拉央行這一筆，下手的當時叫 APT38，也叫 BlueNoroff。2016 年 2 月，他們偽造 SWIFT 指令（銀行之間轉帳用的那套國際報文），想從孟加拉央行在紐約聯儲的帳戶裡轉走 10 億美元。最後成了 8,100 萬，因為一筆轉帳的拼寫錯誤，被中間行攔了下來。

那套研究銀行的操作流程、找到人工審核的縫隙、偽造指令的手藝，後來被原樣搬到了加密貨幣交易平台。

差不多 2020 年前後。他們開始升級手法，目標是幣圈。原因也好猜，有錢還沒有監管，流動性還不錯。

下手手段有那麼幾種。

第一種是假招聘。獵頭在 LinkedIn 上找你，聊得挺好，最後發來一個「入職前的編程測試」，或者一個「內部工具」的安裝包。裝上去，機器就歸他們了。Ronin 那 6.2 億美元，就這麼沒的。

第二種是供應鏈。不骗人了，改去污染開發者的工具鏈：GitHub 上的惡意倉庫、npm 上的投毒包、JumpCloud 這種身份服務商。一個人中招，下游一串公司跟著中招。

第三種是直接改交易。日本 DMM 案裡，他們偷的是對方的登錄憑證，潛進錢包公司 Ginco 的內部通訊，然後改掉一筆本該正常的轉帳。Bybit 案裡，他們黑進 Safe{Wallet} 一個開發者的電腦，往網頁前端塞了一段腳本，簽名的人看到的還是正常頁面，簽下去的卻是另一筆。

也包括幣安這一次。

攻擊者提前 36 小時準備，簽好 50 份 EIP-7702 授權，也就是以太坊的一個新功能，能讓錢包臨時「租」一段程序來用，然後讓幣安的熱錢包自己把錢轉出來；40 分鐘，跨 10 個網絡。有安全公司的結論是：他們很可能已經摸到了幣安的簽名系統。

這個組織作案金額

最有名的十二起，九十七億美元。

幣安一家 63 億。剩下十一起，從 2022 年到 2026 年，全部加起來 34.4 億。

Bybit 15 億，是被改掉的前端；Ronin 6.2 億，是被騙開的招聘；Bitget 3.88 億，是被寫進錢包系統的偽造提幣指令。

DMM 3.08 億，WazirX 2.35 億，Harmony 和 Atomic 各 1 億，Alphapo 0.6 億，CoinEx 0.55 億，Stake 0.41 億，CoinsPaid 0.37 億。

圖裡只有幣安、Bybit、DMM 三起被美國政府直接點名 TraderTraitor。Ronin、Harmony、Stake、Alphapo、CoinsPaid、Atomic 由 FBI 歸到 Lazarus/APT38；WazirX 是美日韩 2025 年 1 月的聯合聲明點名；CoinEx 只有鏈上分析機構的推斷。Bitget 那起是多家機構懷疑與 TraderTraitor 有關，但都沒有正式歸因。

TRM 統計，朝鮮自 2017 年以來幹了一百起，累計約 128 億美元；今年迄今 74 億；2026 年全球加密資產被盜總額裡，85% 記在朝鮮帳上。這張表只是其中十二起。

能對上臉的人

美國官方點過名、還留下照片的朝鮮黑客，不止一個。朴鎮赫（Park Jin Hyok）、Jon Chang Hyok、Kim Il 都在 2021 年 2 月那份起訴書裡；2024 年又多了 Rim Jong Hyok，懸賞 1,000 萬美元。

FBI 通緝的朴鎮赫（Park Jin Hyok）

朴鎮赫是最早被起訴的一個：2018 年 6 月，美國司法部對他提出刑事控告，同年 9 月解封。起訴書說，他參與的共謀包括 2014 年索尼影業攻擊、2017 年 WannaCry，以及 2016 年從孟加拉央行轉走的 8,100 萬美元。他至今在逃，從未出庭。

幣安被盜追蹤

幣安已用公司資金、SAFU 基金和期貨保險基金補足約 90%，剩下 10% 是流動性差的代幣；損失全部由公司承擔，不由用戶承擔。

截至 11 月 1 日，已有約 27 億美元、約 42% 被穩定幣發行方和 Arbitrum 安全委員會凍結。攻擊者手裡還攥著 42 萬枚以太坊和 18,270 枚比特幣，約 24 億美元。

洗錢的路子還是常規操作：跨鏈橋換鏈，THORChain 這類服務換幣，混幣器把很多人的幣搅在一起打散，最後走場外交易。

這次有些小插曲，THORChain 近期因一次以太坊鏈重組意外延緩了 Binance 攻擊事件中被盜資金的洗錢進程。此次鏈重組導致 THORChain 錯誤地向一名存入 10 枚 ETH 的用戶重複退款，進而觸發協議緊急暫停，暫時阻止所有用戶進行跨鏈兌換，其中也包括朝鮮黑客組織相關洗錢人員。

上次 Bitget 的被盜贓款過了 THORChain，THORChain 一點都沒有凍結，說去中心化不能凍，可上次自己被盜的時候不是這麼說的。
等 THORChain 恢復服務的時候，如果這次幣安被盜贓款依然過了 THORChain，不知道他們還有什麼藉口來搪塞。