7.6
深览指数
科技虎嗅·深潮TechFlow··AI 生成
从一份PDF到63亿美元，朝鲜黑客如何攻陷加密世界？
梳理朝鲜黑客组织Lazarus及关联体系近十年对加密行业的攻击路径：从2022年Ronin Bridge通过假招聘PDF植入间谍软件盗走6.2亿美元，到2025年Bybit供应链攻击损失15亿美元、2026年币安热钱包被转出62.6亿美元。文章结合FBI归因、CoinDesk调查报告与安全研究员复盘，揭示其核心手法并非零日漏洞，而是社会工程学——假招聘、假身份入职、渗透多签服务商，并披露朝鲜IT工人渗透超320家公司的规模及朝鲜九年制黑客培养体系。原文 ↗
核心观点
- ▍朝鲜对加密行业的攻击本质是一场国家主导的不对称战争，核心武器不是技术漏洞，而是社会工程学——找到一个人、骗过这个人、用这个人打开系统大门。
- 012022年Ronin Bridge被盗6.2亿美元：攻击者通过LinkedIn假招聘向Sky Mavis工程师发送带间谍软件的PDF录用通知，获取4个验证者密钥，再利用Axie DAO一项已停用但未撤销的临时授权凑齐第5个签名。
- 022025年Bybit冷钱包被盗15亿美元：攻击者未直接攻击Bybit，而是渗透其多签钱包服务商Safe{Wallet}的基础设施植入恶意代码，精准针对冷钱包签名流程，说明供应链上游被攻破时下游防线形同虚设。
- 032026年币安9条链热钱包被同时攻破，转出超62.6亿美元，FBI归因朝鲜黑客；攻击入口是一名运维工程师的笔记本电脑，攻击者利用EIP-7702让热钱包签下委托授权。
- 04CoinDesk 2024年10月调查发现超24家加密公司不知情雇佣了朝鲜IT工人，至少12家确认员工名单中有疑似朝鲜籍；MetaMask研究员Taylor Monahan称至少40个DeFi协议七年间曾雇佣朝鲜IT工人。
- 05CrowdStrike数据显示朝鲜IT工人在12个月内渗透超320家公司，同比增长约220%；联合国估算朝鲜IT工人每年为政权赚取高达6亿美元，个人仅留10%到30%。
- 06朝鲜黑客培养体系可追溯至1980年代代号「秘密战争」的项目：金策工业综合大学每年从约5000名申请者中录取100人，学员每天上6节90分钟课程，培养一名黑客约需九年，毕业后月薪最高2000美元，是朝鲜大使工资的两倍。
- 07微软威胁情报报告显示朝鲜活跃的8个主要黑客组织中已有3个完成AI工具与日常攻击流程的深度融合，达到其AI应用成熟度模型最高等级，覆盖侦察、钓鱼、身份伪装、恶意软件编写与供应链投毒全链条。
反方 / 局限
- — 文章对朝鲜攻击体系的组织命名存在明显混乱：美国财政部2019年制裁Lazarus Group、BlueNoroff和Andariel三个实体，但samczsun的复盘又列出TraderTraitor、AppleJeus、Famous Chollima、DangerousPassword等分支，且承认「不同安全机构给出的命名也各不相同」，同一对手有十几个名字，这削弱了将具体攻击精确归因到某一分支的可信度。
- — Munchables事件中朝鲜开发者8小时内全额退还6200万美元被盗资金，作者仅给出「被暴露身份后继续持有赃款只会招来更大麻烦」的猜测，未解释为何一个国家级攻击者会因身份暴露而放弃赃款，这一反常案例与「朝鲜黑客以盗取资金为政权融资」的主线叙事存在张力。
- — 文章核心论点「每次攻击都从一个人开始」无法解释币安事件中EIP-7702委托授权和Bybit事件中Safe{Wallet}恶意代码植入所体现的技术性攻击面，将供应链渗透与协议层漏洞简化为社会工程学胜利，存在归因过度简化的风险。
Lazarus Group朝鲜侦察总局（RGB）币安BybitRonin BridgeSky MavisAxie InfinitySafe{Wallet}FBICoinDeskCrowdStrike微软威胁情报金策工业综合大学TraderTraitorBlueNoroffFamous ChollimaAppleJeussamczsunTaylor MonahanZachXBT张世律金正恩EIP-7702社会工程学供应链攻击朝鲜IT工人渗透秘密战争
11 分钟 · 6 卡片 · 12 资料
读原文 →