撰文：ChandlerZ，Foresight News

編者注：在加密世界，財富可以在幾分鐘內轉移，一次看似尋常的招聘、一次軟件更新，或許就藏著通往巨額資產的入口。Foresight News 欄目「加密故事會」追蹤那些離奇事件背後的人，沿著公開資料和資金線索，尋找故事中尚未被看清的部分。

第二期，我們走近 Lazarus Group。這個與朝鮮有關的黑客組織，曾被指與 Sony Pictures 遇襲、孟加拉國央行失竊，以及多起加密資產盜竊有關。幣安遭遇攻擊後，它再次出現在公眾視野裡。這些隱藏在屏幕背後的人從哪裡來？他們如何接近目標，又如何轉移盜來的資產？

2026 年 10 月，幣安 63.4 億美元數字資產被盜，創下加密行業歷史紀錄。

而就在一個多月前，一名幣安工程師在求職平台上收到看似普通的面試邀請。招聘方先安排了一場視頻面試，又請一名自稱公司 CEO 的人進行第二輪面試。臨近結束時，對方發來一份編程作業，請工程師下載到工作電腦上。

根據 11 月 3 日公佈的初步調查報告，那家招聘公司完全由攻擊者虛構，作業裡藏著惡意代碼。攻擊者藉此潛入工程師電腦，並於 10 月 20 日利用幣安內部 AI 工具橫向滲透，拿到了部署系統的權限令牌，最終攻破錢包簽名系統。儘管幣安緊急攔截並凍結了約 28.5 億美元，但這起由「假招聘」開啟的入侵，依然創下了加密行業的失竊紀錄。

美國聯邦調查局（FBI）將此案歸因於朝鮮黑客活動 TraderTraitor，它正是臭名昭著的 Lazarus Group 的核心分支。就在幣安遇襲當天，Microsoft 發佈的調查報告揭示了更危險的進化，這群朝鮮黑客已將生成式 AI 全面納入日常行動，不僅用 AI 批量偽造招聘公司、定製面試話術，甚至直接用開源 AI 工具輔助漏洞滲透。

經過多年演化，這支隱秘部隊已將加密行業變成了龐大的創匯機器。據 Chainalysis 與韓國大韓貿易投資振興公社數據，2025 年朝鮮黑客竊取了至少 20.2 億美元加密資產，是朝鮮當年全國貨物出口額（4.69 億美元）的 4.3 倍。而 TRM Labs 測算顯示，截至 2026 年 10 月，朝鮮黑客已累計竊取約 128 億美元；在 2026 年全球高達 87 億美元的加密黑客損失中，朝鮮一家就壟斷了 85% 的份額，而在 2020 年，這一比例僅為 7%。

為何在各國執法機構持續追查與嚴厲制裁下，Lazarus 反而越偷越猛，甚至包攬了全球八成以上的鏈上巨劫？這些隱藏在屏幕背後的人究竟是誰，他們如何訓練、如何潛伏，又如何洗白百億贓款？

這些問題，或許可以從被發現的朝鮮黑客說起。

被發現的朝鮮黑客

要看清這群「幽靈程序員」的真實面目並不容易，但在十餘年的貓鼠遊戲中，依然有幾道裂縫，讓外界得以窺見屏幕背後的真容。

第一道裂縫，出現在 15 年前寄往中國大連的一份簡歷裡。

2011 年 1 月，朝鮮公司 Chosun Expo 向一家海外企業推薦了畢業於平壤金策工業綜合大學的年輕人 Pak Jin Hek（即 Park Jin Hyok，朴鎮赫），接替大連團隊的開發工作。簡歷裡的 Park 懂英中雙語、精通 Java，做過在線遊戲開發。那時的他看起來只是個普通的駐外碼農。

2011 年 5 月，他在郵件裡閒聊說自己 9 月就在大連住滿一年了，準備回朝鮮結婚，希望能長期留在國內。幾個月後，他告知對方自己下週回國。

CBS 報道中使用的 Park Jin Hyok 通緝圖片

然而多年後，當 FBI 順著索尼影業遇襲、孟加拉國央行 8100 萬美元失竊及 WannaCry 勒索軟件案溯源時，意外翻出了 Park 當年的工作郵箱。他忘了徹底切割：其日常郵箱的通訊錄裡赫然保存著黑客行動賬號「Kim Hyon Woo」的地址，另一個工作賬號則擁有打開黑客雲端加密文件的權限，甚至共用過相同的設備與網絡地址。

這一絲生活痕跡與行動網絡的交叉，讓 Park 成了 FBI 通緝令上的標誌性面孔。據路透社採訪的脫北計算機人士透露，朝鮮有天賦的理科生會被層層篩選，送入軍方網絡部門或派往海外。

白天，他們是為公司賺取外匯的外包碼農；夜晚，則是聽令於國家的暗網獵手。

如果說十年前的 Park 還需要肉身駐紮海外，第二個暴露的潛伏者，則展示了 AI 時代「完美偽裝」的可怕。

2024 年 7 月，美國網絡安全公司 KnowBe4 招聘了一名遠程高級工程師。求職者盜用了合法的美國公民身份，頂著一張 AI 精修合成的頭像，連過四輪視頻面試和全部背景調查。破綻直到公司寄出 Mac 工作電腦那一刻才浮現，收貨地址實際上是美國本土的一個筆電農場，專門幫海外黑客託管電腦以偽造美國 IP。電腦開機不到 25 分鐘，這名「新員工」就迫不及待地通過樹莓派植入惡意軟件，瞬間觸發終端警報。當安全團隊來電核查時，對方迅速支吾斷聯，最終被 Mandiant 與 FBI 確認為朝鮮潛伏人員。

到了 2025 至 2026 年，當 AI 換臉和假身份讓常規背調失效時，加密圈抓出第三位朝鮮黑客的方式，更是充滿了黑色幽默。

隨著大批偽裝成日美開發者的朝鮮 IT 人員湧入 Web3 行業，一些不堪其擾的加密項目發明了一道百試百靈的終極面試題「金正恩測試」。2026 年 4 月，區塊鏈安全調查員 Tanuki42 公開了一段 82 秒的遠程面試錄像：化名 Taro Aikuchi、自稱住在東京目黑區的求職者在技術問答中對答如流，但當面試官突然要求他跟著念一句辱罵金正恩的粗話以排除朝鮮特工時，這位「日本工程師」瞬間臉色大變。

他先是假裝信號不好，在面試官再次追問後陷入死寂，隨後倉促切斷連線。幾分鐘內，他火速修改 Telegram 賬號、清空記錄並註銷了 LinkedIn 頁面。

即便這些技術人員掌握了最前沿的區塊鏈代碼與 AI 深偽技術，但在嚴密的監控與連坐體制下，公開侮辱最高領導人仍是他們絕對不敢跨越的生死紅線。

從大連出租屋裡共用郵箱的朴鎮赫，到用 AI 騙過四輪面試的假美國工程師，再到因一句政治忌諱秒斷網線的「東京開發者」，這三個跨越 15 年的暴露瞬間，拼湊出了 Lazarus 龐大冰山的一角。

Lazarus，不只是「網絡搶錢」

2014 年 11 月，Sony Pictures 的電腦系統遭到破壞，大量內部未公開資料與高管郵件被洩露，一個自稱「Guardians of Peace」的組織宣佈負責。當時 Sony 正準備發行虛構刺殺朝鮮領導人情節的電影《The Interview》，美國司法部在隨後的起訴中稱，受朝鮮支持的攻擊者不僅竊取資料、癱瘓電腦，還向員工發出炸彈威脅。

幾個月後，安全公司 Novetta 牽頭對攻擊中的惡意軟件展開跨案溯源。研究人員發現，Sony 事件中的部分代碼與此前多起網絡攻擊留下的工具同出一源。2016 年發佈的《Operation Blockbuster》報告將這股藏在暗處的攻擊力量統稱為「Lazarus Group」。

隨著調查深入，外界逐漸意識到，Lazarus 並非一個單一的搶錢團夥，而是一部分工嚴密的國家機器。2019 年美國財政部制裁 Lazarus、BlueNoroff 和 Andariel 時，明確將它們指向了朝鮮最高軍事情報機構偵察總局（RGB）。

安全公司 Palo Alto Networks 旗下的 Unit 42 在 2024 年繪製了一張全景關係圖。在偵察總局的指揮傘下，多個網絡活動集群各司其職，獵場早已跨越加密行業，覆蓋了全球金融、國防軍工與媒體情報。

Unit 42 在 2024 年繪製的朝鮮偵察總局相關網絡活動集群關係圖

在這張網絡中，主攻區塊鏈和加密行業的只是其中一部分，例如與幣安案 TraderTraitor 重合的 Slow Pisces（又名 Jade Sleet），以及專門通過虛假交易軟件散播 AppleJeus 木馬的 Gleaming Pisces（又名 Citrine Sleet）。

而在加密圈之外，其他分支的行動同樣驚心動魄。在傳統金融領域，Alluring Pisces（即 BlueNoroff/APT38）早在加密牛市前就把全球銀行系統當成了提款機。其最轟動的代表作是 2016 年孟加拉國央行大劫案。

在國防與軍工領域，Jumpy Pisces（即 Andariel）則扮演著「以戰養戰」的技術竊密者角色。根據美國司法部 2024 年 7 月公佈的起訴書，該分支形成了一條獨特的閉環。他們一邊用 Maui 勒索軟件攻擊美國多家醫院和醫療機構，強行索要贖金以籌集行動經費，另一邊則用這筆錢購買服務器，潛入美國防務承包商、空軍基地以及韓國國防研發機構，針對性地竊取 F-15 戰鬥機引擎、軍用偵察衛星、潛艇以及核燃料與鈾濃縮設施的機密設計藍圖。

在媒體與戰略情報上，Selective Pisces（Diamond Sleet）與 Sparkling Pisces（Kimsuky）把精力放在了竊取機密與製造寒蟬效應上。除了早年癱瘓 Sony Pictures 這類文娛巨頭，他們近年來多次偽裝成歐美主流媒體記者、智庫學者，向報道朝鮮事務的西方記者、外交官及國防智庫發送藏有木馬的「採訪提綱」或會議邀請；甚至曾在社交媒體上批量註冊高仿賬號，偽裝成頂尖安全研究員去「反釣魚」谷歌等公司的安全專家，以此竊取尚未公開的軟件漏洞（0-day）與各國對朝政策底牌。

研究人員主要依據攻擊目標、惡意軟件特徵和服務器基礎設施來劃分集群，但當不同團隊在行動中共享代碼庫或跳板服務器時，要像切豆腐一樣分清每次行動究竟由哪撥人完成，幾乎是不可能的任務。

但可以確定的是，「搶錢」與「竊密」在這部機器裡早已高度咬合。

從央行賬戶到交易所錢包

在加密交易所成為主要目標之前，銀行已經進入調查人員的視野。

2016 年 2 月，孟加拉國央行連接 SWIFT 國際銀行報文系統的電腦遭到入侵。美國司法文件稱，攻擊者以央行名義發出轉賬指令，要求紐約聯邦儲備銀行將央行賬戶裡的美元匯往海外。

攻擊者試圖轉出近 10 億美元，其中 8100 萬美元到達菲律賓的賬戶，隨後經過銀行、匯款機構和賭場渠道；另一筆 2000 萬美元則被斯里蘭卡的收款銀行攔截。調查人員發現，菲律賓的收款賬戶早在前一年就已用虛假姓名開立。

收款賬戶之外，攻擊者還需要了解銀行如何處理轉賬。Mandiant 研究 APT38 針對金融機構的攻擊後發現，他們進入受害機構網絡後，會搜集賬號憑證，查找處理 SWIFT 交易的電腦，再尋找發送轉賬指令的機會。在該公司觀察到的案件中，攻擊者平均在受害網絡內停留約 155 天，最長一次接近兩年。

Mandiant 梳理的 APT38 攻擊流程

幾年後，加密行業的資金也逐漸成為目標。2022 年，鏈遊 Axie Infinity 使用的 Ronin 跨鏈橋失竊，損失超過 6 億美元，FBI 將攻擊歸因於 Lazarus。兩年後，日本交易所 DMM Bitcoin 失去 4502.9 枚比特幣，案發時價值約 3.08 億美元。美國和日本執法機構將該案歸因於 TraderTraitor。

調查人員還原了 DMM 案件的入口，2024 年 3 月，一名假扮招聘人員的攻擊者在 LinkedIn 上聯繫了錢包軟件公司 Ginco 的員工，發送了一份所謂的求職測試，裡面藏有惡意代碼。攻擊者取得訪問權限後冒充這名員工，隨後利用公司的通信系統，據信篡改了一筆 DMM 的正常交易請求。

到了 2025 年 2 月，加密交易所 Bybit 準備把一筆以太坊從冷錢包轉入日常使用的錢包。冷錢包用於保存資產，這筆轉賬需要通過錢包服務商 Safe 的界面，由多名授權人員共同簽名。負責調查的安全公司 Sygnia 後來梳理了攻擊過程，早在 2 月 4 日，Safe 一名開發者的電腦就已出現惡意活動；次日，攻擊者利用該開發者的訪問令牌進入 Safe 的雲環境。

2 月 19 日，攻擊者在 Safe 網頁調用的代碼中植入惡意內容，並設置觸發條件，等待 Bybit 的目標錢包發起操作。兩天後，Bybit 的授權人員通過 Safe 界面處理轉賬，看到的是一筆看似正常的內部轉賬請求。

但據安全公司 NCC Group 復盤，簽名人員實際批准的交易包含一項惡意操作，調用攻擊者預先部署的合約，改變冷錢包的控制邏輯。交易執行後，攻擊者無需再次取得原有的多重簽名，就能轉走錢包裡的資產。約 15 億美元資產隨後流出。

Curvegrid 繪製的 Bybit 失竊過程示意圖

據 Sygnia 調查，惡意代碼在交易發生約兩分鐘後被移除。調查認為，Safe 開發者電腦最初遭入侵可能涉及社交工程，但具體接觸方式仍未確認。

Bybit 的多重簽名設置要求幾名授權人員共同批准交易，原本可以減少單個賬號失守帶來的風險。攻擊者進入 Safe 的雲環境後，改動了這些簽名人員共同使用的網頁，最終讓惡意交易獲得批准。

除了入侵軟件服務商，一些朝鮮人員還被指利用虛假身份進入加密企業。美國司法部 2025 年指控四名朝鮮公民參與一項盜竊計劃，其中兩人以開發者身份分別受僱於區塊鏈公司和虛擬代幣公司。檢方稱，他們利用工作機會盜取並轉移了超過 90 萬美元的虛擬資產。

值得注意的是，招聘流程的另一端同樣可能藏著陷阱。Microsoft 對被其稱為 Sapphire Sleet 的活動集群進行調查後發現，攻擊者會在社交平台冒充招聘人員，先與目標討論工作機會，再安排技術面試，要求對方安裝偽裝成會議工具或開發工具更新的惡意軟件。DMM 案件中的 Ginco 員工收到的那份求職測試，也出現在類似的接觸過程中。

甚至這些手法還在持續更新，Microsoft 在 2026 年 10 月的報告中指出，朝鮮相關攻擊者已將生成式 AI 用於研究目標、編寫聯繫內容和塑造虛假身份。一份看起來針對求職者經歷精心準備的邀請，背後可能經過了對其工作背景和社交關係的搜集。

盜來的錢，去了哪裡？

轉走資產之後，攻擊者通常會先把資金拆分到多個新錢包，有些地址收到錢後又逐次向下轉移，留下分散的鏈上記錄。隨後，資金可能經過去中心化交易所或跨鏈服務，被換成其他代幣，或轉移至另一條區塊鏈。每多經過一次轉換，調查人員就要繼續追蹤新地址及其交易對手。

Bybit 失竊後的資金流向提供了一條線索，2025 年 2 月，Bybit 被盜的以太坊開始流向數以千計的地址。攻擊者將資金拆分、兌換，再通過跨鏈服務轉移。TRM Labs 稱，48 小時內，至少 1.6 億美元已被轉移並進入洗錢渠道。

在追蹤這些轉賬時，鏈上調查員 ZachXBT 注意到了另一群人。按照他在 2026 年 10 月公開的調查，Bybit 遇襲後，Telegram 和 Discord 公開群組裡出現了十多個賬號，尋求處理與被盜資金有關的訂單。其中一名使用 Jimmy Green 網名的交易商，引起了他的注意。

ZachXBT 決定以客戶身份接近對方，2025 年 3 月 6 日，他向一個新地址轉入 34.97 萬枚 USDC，準備與 Jimmy 進行多筆交易。Jimmy 提供了一個收款地址，讓他轉入以太坊鏈上的 USDC，再換取波場鏈上的 USDT。ZachXBT 追蹤發現，為這個收款地址支付鏈上手續費的錢包，可以追溯到 Bybit 被盜資金，並出現在公開的涉案地址名單上。

為了繼續接觸 Jimmy，ZachXBT 又與他完成了多筆交易，每筆承擔約 5% 的損耗。兩人聊起交易，也聊麻將、食物和家庭。隨著聯繫增多，Jimmy 開始向這名自以為是客戶的人談起自己團隊的業務，包括為朝鮮客戶轉移 Bybit 資金，以及團隊在香港和中國內地的運作情況。

ZachXBT 稱，Jimmy 曾提前一天告訴他，一筆資金將被轉移到 Solana，第二天鏈上便出現了相應轉賬。3 月 12 日，Jimmy 發來一張跨鏈交易截圖，ZachXBT 根據金額和時間，在 THORChain 上找到了與之匹配的訂單。對方隨後提供的三個 Solana 地址，幫助他追蹤到一組價值超過 1200 萬美元的 Bybit 被盜資金；按照他的說法，Tether 後來凍結了與這組地址有關的 44.2 萬枚 USDT。

Jimmy 還向 ZachXBT 聲稱，他的團隊處理了 Bybit 大部分被盜資產。ZachXBT 認為，自己觀察到的洗錢模式與這一說法相符。他將調查結果交給參與案件的執法人員和私營機構調查員，直到 2026 年 10 月才公開這段經歷。

在安全事件發生後，幣安宣佈與事件有關的約 30 億美元資產已在鏈上被凍結。TRM Labs 觀察到，攻擊者通過去中心化交易所和做市商出售部分資產，也在 Aave 和 JustLend 等借貸協議中抵押部分被盜資產，借出其他資產。

與此同時，幣安開始補足受影響資產，平台 11 月 2 日表示，相關資產已有約 95% 獲得補足，並公佈了部分主要資產的儲備證明。11 月 3 日，幣安宣佈進一步恢復更多資產和網絡的提現，安全調查仍在進行。

Bitmine疑似透過3個錢包購入7.5萬枚ETH，約合1.22億美元

熱門文章