领先的加密货币交易所币安上周遭遇了一起价值63亿美元的盗窃事件，该事件<a href="https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack" rel="noopener noreferrer nofollow"> 联邦调查局（FBI）及多家分析机构归因于</a> 与一个名为 TraderTraitor 的朝鲜黑客小组有关。
此次盗窃案是加密货币历史上规模最大的一次，金额超过了之前的四倍<a href="https://www.coindesk.com/business/2025/02/21/bybit-experiences-usd1-46b-in-suspicious-outflows-zachxbt" rel="noopener noreferrer nofollow"> Bybit 被盗 15 亿美元 </a> 2025年2月，联邦调查局也将一起攻击事件归咎于TraderTraitor。
币安盗窃事件几乎一举将规模翻倍<a href="https://www.trmlabs.com/resources/blog/north-korea-stole-76-of-all-crypto-hack-value-in-2026-with-just-two-attacks" rel="noopener noreferrer nofollow"> 超过 60 亿美元 </a> TRM Labs 估计自 2017 年以来，朝鲜黑客已窃取的金额。
据报道，TraderTraitor的攻击往往始于招募宣传或对可信软件供应商的攻破，<a href="https://www.fbi.gov/news/press-releases/fbi-dc3-and-npa-identification-of-north-korean-cyber-actors-tracked-as-tradertraitor-responsible-for-theft-of-308-million-from-bitcoindmmcom" rel="noopener noreferrer nofollow"> 联邦调查局调查结果 </a> 和<a href="https://www.bybit.com/en/press/post/bybit-confirms-security-integrity-amid-safe-wallet-incident-no-compromise-in-infrastructure-blt9986889e919da8d2" rel="noopener noreferrer nofollow"> Bybit的调查</a>。这些漏洞使黑客获得了用于批准转账的系统访问权限。
TRM Labs全球政策与政府事务主管Ari Redbord向CoinDesk表示：“TraderTraitor是朝鲜专门负责窃取加密货币的精英部队。Lazarus是该政权进行各种黑客攻击的总称，而TraderTraitor则是其中专门从交易所和托管机构窃取数字资产的团队。”
“TraderTraitor”这一名称出现在了<a href="https://www.cisa.gov/sites/default/files/publications/AA22-108A-TraderTraitor-North_Korea_APT_Targets_Blockchain_Companies.pdf" rel="noopener noreferrer nofollow"> 2022年4月咨询 </a> 来自联邦调查局（FBI）、网络安全和基础设施安全局（CISA）及财政部的报告。报告描述了隐藏在加密货币交易应用中的恶意软件，以及自2020年以来针对交易所、去中心化金融协议和投资者的攻击。
该集团是<a href="https://www.fbi.gov/news/press-releases/fbi-dc3-and-npa-identification-of-north-korean-cyber-actors-tracked-as-tradertraitor-responsible-for-theft-of-308-million-from-bitcoindmmcom" rel="noopener noreferrer nofollow"> 也被追踪为 Jade Sleet、UNC4899 和 Slow Pisces </a>，属于研究人员通常称为Lazarus的朝鲜黑客行动更广泛网络中的一部分。
美国机构表示，其目的是为平壤筹集资金，并在2022年警告称，这些黑客将继续针对加密公司“以生成和洗钱资金，支持朝鲜政权。”
朝鲜政府至少在一次场合尝试使用 USDT 购买俄罗斯石油。
Chainalysis 高级情报分析师 Tom McLouth 在接受 CoinDesk 采访时表示，TraderTraitor 是一个“以经济利益为驱动的朝鲜威胁集团，偏好针对加密货币相关的组织、机构、去中心化自治组织（DAO）、协议等目标。”
但这些黑客并非电影中那种极其擅长编程、能够轻松突破加密货币交易所安全防护的高手。他们有着不同的作案模式，利用的是人性的弱点，而非人工智能加固的代码漏洞。
<h3 id="">从招聘到被盗资金</h3>
2024年3月，有人冒充领英招聘人员<a href="https://www.fbi.gov/news/press-releases/fbi-dc3-and-npa-identification-of-north-korean-cyber-actors-tracked-as-tradertraitor-responsible-for-theft-of-308-million-from-bitcoindmmcom" rel="noopener noreferrer nofollow">联系了 Ginco 的一名员工</a>，一家日本钱包软件公司。招聘人员向该员工发送了一份据称托管在GitHb上的编码测试，但其中包含的恶意代码最终导致该员工的计算机遭到攻击。
两个月后，攻击者利用被盗的会话信息冒充该员工进入Ginco的通信系统。调查人员称，他们很可能利用该权限操控了日本交易所DMM Bitcoin的一笔合法交易请求。
DMM 损失了约 4,503 枚比特币，价值 3.08 亿美元，这一因素最终导致了 <a href="https://www.coindesk.com/business/2024/12/02/japanese-crypto-exchange-dmm-bitcoin-to-shut-down-after-305-m-hack" rel="noopener noreferrer nofollow">导致平台关闭</a>.
此次攻击背后是TraderTraitor。正如Chainalysis的McLouth所言，该威胁行为者不仅“利用技术漏洞，更是利用信任漏洞”。
“我们能够识别并归因于TraderTraitor的方式之一，涉及他们的预设背景以及为最终利用所做的精细准备，”他说。
该记录不仅限于这些交易所。联邦调查局（FBI） <a href="https://www.fbi.gov/news/press-releases/fbi-identifies-cryptocurrency-funds-stolen-by-dprk" rel="noopener noreferrer nofollow">关联</a> 与 TraderTraitor 相关的黑客涉嫌参与了 2023 年对 AlphaPo、CoinsPaid 及 Atomic Wallet 的盗窃案，涉案金额分别为 6000 万美元、3700 万美元及 1 亿美元。
LayerZero 的法证调查人员评估认为该集团是背后操控者 <a href="https://layerzero.network/publications/kelpdao-incident-report.pdf" rel="noopener noreferrer nofollow">四月的 2.92 亿美元</a> KelpDAO 桥接被盗事件。
在币安，招聘方式重现。首席安全官Jimmy Su表示，<a href="https://www.coindesk.com/business/2026/11/03/binance-s-usd6-3-billion-hack-began-with-a-fake-job-interview-exchange-says" rel="noopener noreferrer nofollow">软件工程师</a> 于九月被一名冒充项目主管的人士联系。
一名自称人力资源代表的人员对该工程师进行了面试，并分享了包含个人照片的社交媒体账号以建立信任。第二次面试由一名所谓的首席执行官进行，面试结束时指示该工程师将一份编码任务下载到其工作电脑上。
该文件包含恶意软件，随后攻击者利用该机器和内部 AI 工具对全球最大的加密货币交易所实施了攻击。
“TraderTraitor 是一位大型猎人，先针对人，再针对代码，”TRM Labs 的 Redbord 告诉 CoinDesk。“他们大规模利用复杂的社会工程手段。一个假的招聘者，一次假的面试，一名员工运行一个文件。”
“从那时起，该组织表现得非常耐心。他们筹划数周，等待时机，然后一次性转移所有资金，”他补充道。“而且，他们似乎每次攻击都能窃取更多资金。只要他们的手法奏效，这种情况将会持续下去。”
Chainalysis 和 TRM 均以高度的信心并基于多种因素，将币安被黑事件归因于 TraderTraitor。
<h2 id="">专为窃取加密货币而打造</h2>
TraderTraitor 的起源可追溯至 2016-2017 年间由朝鲜外交情报机构——侦察总局组建的一支专业加密货币盗窃团队。
一个<a href="https://www.mofa.go.jp/files/100922718.pdf#page=17" rel="noopener noreferrer nofollow"> 2025年10月报告 </a> 由一个由11个国家组成的多边制裁监督小组发布，该小组负责追踪朝鲜制裁违规行为，将TraderTraitor列入该局的第110研究所。Redbord表示，要进入该团队，人才培养始于童年。
有才能的儿童被安排进入专业的 STEM 学校，获得互联网接入，并被派往中国以提升他们的能力。
“试想俄罗斯过去如何培养体操运动员。体系相同，只不过以网络犯罪作为训练项目，”他补充道。
Chainalysis 的 McLouth 表示，一旦进入目标系统，该集团便寻求云服务登录凭证和加密密钥，以便获得更广泛的访问权限。
“有效的密钥并不一定意味着是合法用户，”麦克劳斯说道。
在一次TraderTraitor的入侵事件中，黑客利用管理权限关闭了多重认证，随后获取访问权限并重新开启了该保护措施，他告诉CoinDesk。他未透露受害者身份。
他表示，公司需要审查谁在使用凭证以及在何种情况下使用，同时还要核实凭证的有效性。
安全平台 Immunefi 副总裁 Simone Imbrescia 今年早些时候在接受 CoinDesk 采访时表示，攻击者如果攻破了该操作层，“可能不需要窃取密钥”或寻找智能合约漏洞。
<h2 id="">追踪资金流向</h2>
Chainalysis 表示，其最有力的证据是被盗的 Binance 资金与九月份约 3.88 亿美元 Bitget 黑客案的收益被合并，后者此前被归咎于朝鲜。
平壤否认参与。领导人金正恩的妹妹金与正驳斥联邦调查局的调查结果为“荒谬的言论”<a href="https://abcnews.com/International/wireStory/north-korea-denies-involvement-binance-hack-criticizes-fbi-137788208" rel="noopener noreferrer nofollow"> 在一份声明中 </a>.
“TraderTraitor 在其攻击行为中利用了众多不同的资源、工具以及第三方，”McLouth 表示。
尽管普遍认为这些威胁行为者是在平壤活动，McLouth 表示他们大多在朝鲜境外行动，并引用了合作伙伴的数据和法律行动作为依据
“我们从研究与朝鲜民主主义人民共和国相关的IT工作人员中了解到，他们正在全球数十个国家开展业务，且正逐渐实现去中心化，”麦克卢斯补充道。
然而，该集团的目标不仅仅是筹集资金。“关键在于洗钱这些资金，并使其处于可用的形式，”他表示。
他表示，在以往的操作中，场外交易商最终将加密货币兑换成朝鲜政府随后能够使用的法定货币。这些交易实体通常在监管极少甚至没有监管的司法辖区内运营。
这些资金流动仍会留下交易记录。调查人员可以利用这些记录追踪收益，并识别可中断转账或兑换的服务，他说。
“安全不能等到资金流动时才开始，” McLouth 表示。盗窃发生之前的入侵行为需要像事后洗钱一样被深入研究。
<a href="https://coindesk.com/zh/business/2026/11/05/what-is-tradertraitor-the-hacking-squad-behind-the-usd6-3-billion-binance-heist" rel="noopener noreferrer nofollow">在 CoinDesk 上查看此文章</a>

什么是TraderTraitor，幕后策划价值63亿美元币安劫案的黑客团队？

Table of Contents

CoinDesk 中国人

Other articles published on Nov 5, 2026

Join our free newsletter for daily crypto updates!