FBI指认朝鲜TraderTraitor组织策划币安63.4亿美元被盗案

FBI锁定TraderTraitor

美国联邦调查局(FBI)于10月31日正式点名,朝鲜国家级黑客组织是史上最大规模的数字资产盗窃案的幕后黑手,并将该行动代号定为TraderTraitor,此时距币安(Binance)钱包约63.4亿美元资产被未经授权转出仅过去两天。币安以中期调查报告形式发布的事件披露,完整还原了这场从6月持续至10月下旬的分阶段入侵。按照币安的说明,事件始于6月:一名软件工程师尝试安装一款AI编程工具,过程中下载了被植入木马的Homebrew安装程序。公司发现了异常,随即隔离该设备并更换了与之关联的凭据。但攻击者并未离场。到了9月,另一名在求职平台上可见其币安任职背景的工程师,收到了一位假冒招聘负责人的猎头邀约,对方安排了视频面试,随后发来一份内嵌恶意软件的开发任务文件。据交易所披露,到10月20日,入侵者已借助被感染的工作站和内部AI工具获取了钱包运营人员的权限,并锁定了一名持有容器部署权限员工的访问令牌。10月29日,被盗凭据被用于进入另一名员工的电脑、部署容器并运行恶意脚本,随后攻击者触及内部钱包签名系统,绕过标准提现流程批准了交易。币安估计受影响资产约63.4亿美元,并表示损失将由公司自行承担,不会转嫁给用户。公司还重建了位于攻击路径上的钱包系统和内部AI工具。FBI此前已将TraderTraitor这一代号用于2025年Bybit的15亿美元被盗案,这意味着币安失窃是该行动的第二次作案,其规模超过Bybit的四倍,也成为加密行业历史上单次金额最大的盗窃。

从金策学院到Ronin桥

支撑此次入侵的能力并非一朝一夕建成。朝鲜早在20世纪80年代就开始挑选数学与科学方面的天才学生从事网络工作,比比特币的诞生早了几十年。美国海军研究生院2004年的一篇论文记载,Mirim学院前身为1984年创立的Mirim学校,1986年扩建为五年制的Mirim学院,招收顶尖高中毕业生和现役军人,学习计算机、编程与电子战。安全公司DTEX的报告显示,金星第一中学的学生在六年内接受约1660小时的计算机教学,内容涵盖Linux、C和C++、Windows、网络与AI,其中最优秀的毕业生会进入金日成综合大学或金策工业综合大学深造。韩国军方估计,截至2024年,朝鲜的网络战人员规模约为8400人,含黑客及其支援人员。早期行动以情报收集和破坏为目的,而非牟利。美国司法部已将与朝鲜关联的行为体与2014年索尼影业遭黑事件、2016年孟加拉国银行案(从SWIFT互联的支付体系中窃取8100万美元)以及2017年WannaCry勒索软件浪潮联系在一起。数字资产随后提供了银行体系无法比拟的东西:一旦交易所钱包或转账权限被控制,价值即可瞬间跨境转移。FBI将2022年Axie Infinity游戏Ronin桥约6.2亿美元的被盗归因于Lazarus和APT38,并将2025年Bybit的15亿美元失窃归因于TraderTraitor。第三条路径则通过就业展开:司法部在2025年表示,与朝鲜关联的人员以伪造或窃取的身份在超过100家美国公司担任远程职位,领取薪水,部分人还接触到了敏感数据。多边制裁监测团队2025年的一份报告得出结论,Bybit的被盗资金很可能已在当年9月之前,通过位于中国、俄罗斯、香港和柬埔寨的中间人全部变现。

仅1%源于代码漏洞

数据足以解释攻击者为何盯上交易所。TRM Labs的统计显示,自2017年以来,朝鲜的加密资产盗窃累计约128亿美元,其中今年截至10月已被卷走74亿美元,约占全球黑客攻击损失的85%。在其被归因的100起攻击中,仅13起利用了智能合约代码漏洞,而这部分金额仅占被盗总额的约1%;把币安案计算在内,88%的资金来自被攻破的私钥、服务器和签名系统。币安的事后复盘在每一个环节上都印证了这一模式:招聘话术设套、开发工具被感染、凭据横向迁移、从内部触及钱包签名系统。对用户而言,教训不只在于自托管,同样在于平台选择,这也正是比较最佳加密货币交易所时,托管风控应当与费率被同等看重的原因。