20分钟转走63亿美元资产，朝鲜黑客是怎样炼成的？

　　10月底的那场风波，将全球最大加密货币交易所币安（Binance）推到了风暴的中心。

　　黑客通过长达数月的潜伏与精密的社工渗透，在短短二十分钟内，就转走了63.4亿美元的资产，创下了区块链历史上的最高失窃纪录。

　　面对这个大窟窿，币安选择全额兜底，通过各方协助在链上冻结拦截了约28.5亿美元，并动用自有资金在公开市场上大规模扫货，在极短时间内补齐了资产漏洞，重新开放了用户的正常提现。

　　这次惊天失窃案发生之后，币安创始人赵长鹏（CZ）与马斯克在公开舆论场还有过一次交锋。

　　当时，马斯克在社交平台X上发文调侃币安的巨大漏洞，并隐晦嘲讽中心化交易所的风险控制形同虚设，直接转发并评论道：“Everyday is Zeroday.”

　　“现在不是起哄的时候，请住手。”他说，币安持有马斯克火箭公司SpaceX超过10亿美元的股份。

　　币安的这场惊天大劫案，目前线索指向了一个令全球金融界头疼的名字，朝鲜黑客。

　　BBC中文网在深度报道中说，来自朝鲜的“精英”黑客组织再次成为了这起人类历史上最大规模数字资产劫案的头号嫌疑者。

　　在西方，这群黑客通常被称为Lazarus集团或其演变出的专门针对加密资产的TraderTraitor（在业内亦被称为Jade Sleet或UNC4899）等分支。在现实中，他们是隶属于朝鲜最高情报机构——侦察总局的正规国家级网络部队。

　　对于长期遭受国际严厉制裁、外汇极度枯竭的朝鲜而言，网络盗窃是被最高层确立为一项关乎国运的“国家战略任务”。

　　BBC所指出的，如果有关指控最终属实，这宗破纪录的惊天大案再次向全世界赤裸裸地展示了：涉嫌来自朝鲜的黑客如今究竟已经拥有了多么恐怖、足以撼动全球金融秩序的强大破坏能力。从早期的传统银行系统到近年来席卷全球的区块链跨链桥、DeFi协议与头部加密交易所，这群隐秘的数字部队通过一桩桩惊天大案，为朝鲜掠夺了数十亿美元的黑金，直接支撑了其特殊的国家财政与武器研发。

　　为了支撑这台庞大的国家级盗窃机器，朝鲜建立了一套极其冷酷且高效的精英选拔与培养机制。

　　这一切始于全国范围内的“千里挑一”。

　　回溯历史，1990年代，朝鲜因核开发受到国际社会的沉重制裁，又接连遭遇特大洪水，经历了建国以来最严重的经济危机。当时他们甚至涉足伪造货币和毒品走私，但线下交易屡屡被国际刑警破获。于是，平壤高层将目光彻底转向了数字世界。金正日曾下令打造“信息技术企业”，最初让挑选出来的人才在海外编写游戏程序等赚取微薄的美元。随着全球金融实现数字化，朝鲜如鱼得水，逐渐将核开发之外最顶尖的人力资源倾斜向了网络战领域。

　　在朝鲜的教育体系中，各地初高中学校每隔一段时间就会展开隐秘的选拔，专门通过数学、物理和计算机竞赛，将那些展现出极高逻辑思维和编程天赋的十岁出头儿童挑选出来。这些孩子一旦被选中，就会脱离原本的生活轨迹，被集体送往平壤的重点特殊学校，接受高强度、军事化管理的数学与计算机科学魔鬼训练。其中只有最顶尖的学生才能升入大学，接受特殊教育。

　　当这些天才少年进入大学阶段（如金策工业综合大学）后，便直接转由朝鲜最高国家安全部门接管。他们的日常训练完全脱离真实的外网环境，而是在高度封闭、模拟西方主流金融系统与区块链交易所架构的局域网中进行。

　　培训内容极其深奥且极端，涵盖了尖端反编译、密码学、操作系统内核篡改、漏洞挖掘以及针对各种企业内网的无声渗透。学员每天上6节90分钟的课程，学习编程语言和操作系统，深入研究Windows架构，并要求独立编写恶意软件，不依赖现成工具。

　　朝鲜培养一名黑客约需九年。

　　在朝鲜的黑客阵营里，内部有着极其严苛的分工。其中，侦察组负责在全球范围内搜集开源情报，精准锁定全球各大金融机构、加密交易所的安全薄弱点。而行动组则负责突破最坚固的防火墙，研究各大社交平台、LinkedIn猎头伪装、设计精妙的“假面试”与社会工程学攻击，编写恶意木马和零日漏洞利用工具。

　　另外，还有兑换组。其成员精通区块链混币器、跨链桥、去中心化金融（DeFi）洗钱通道，专门在中东、北欧或东南亚等对朝鲜警惕性较松懈的地方，将窃取的巨额虚拟资产分层洗白并兑换成现金。

　　毕业后，黑客被分配到以国家为目标的行动小组，在海外以合法企业员工身份潜伏约两年，学习当地语言和文化。薪酬每月最高2000美元，是朝鲜大使工资的两倍。

　　在这支被朝鲜官方视作国家英雄的数字部队里，黑客们的个人待遇与国内普通民众的困境有着天壤之别。

　　由于他们源源不断地为国家带回救命的外汇，这些黑客在平壤享有极高的社会特权。他们通常被安排住在平壤市中心的高档住宅区里，配有专属的进口轿车，享受着全国罕有的高质量电力供应，甚至可以定期享用从海外进口的高档食品和消费品。

　　他们的直系亲属也能在户口评定、子女教育和医疗资源上获得国家的特殊照顾。

　　不仅如此，为了刺激这些数字士兵的产出，朝鲜内部实行了极其诱人的物质奖励机制。据资料显示，这些黑客能够获得成功窃取金额5%到10%不等的巨额奖金。在朝鲜，这个收入甚至远远超过了中央部级官员。

　　此外，他们服役满7年以上即可免除兵役，全家还能获得50平米左右的平壤核心区住宅。这些总人数不超300人的精锐黑客，平时需要忍受每天12小时以上疯狂敲击键盘的巨大压力，但相比于成为平壤特权阶层的诱惑，没有任何一种激励机制比这更具绝对的驱动力。而整个朝鲜侦察总局下属的网络战单位“121局”拥有数千名人员，分散在白俄罗斯、印度、马来西亚、俄罗斯以及东大等海外宿舍中。

　　虽然他们经手数十亿美元的巨款，但每一分钱都要如数上缴国家，个人所能获得的现金奖励相比于惊天的盗窃体量而言只是九牛一毛。比金钱更能驱动他们的，是绝对的纪律与生死压力。在朝鲜严苛的体制下，任何一次行动的失败、因个人疏忽导致的身份暴露，或者未能完成上级下达的创汇指标，后果都是毁灭性的。正因如此，这群朝鲜黑客具有常人难以想象的极度耐性和纪律性。

　　近年来，随着全球西方科技公司和区块链项目对远程招聘警惕性的提高，朝鲜黑客发展出了一套极为隐蔽的“远程 IT 劳工”伪装战术。他们会盗用真实欧美公民的身份信息、伪造护照和 LinkedIn 简历，将自己包装成经验丰富的海外高级工程师或区块链开发者，堂而皇之地应聘西方企业的远程职位。为了彻底掩盖自己身处平壤或东大丹东等地的真实IP，他们甚至在海外雇佣不知情的代理人，在当地架设专门的转发服务器或直接租用远程办公电脑，让公司HR和面试官误以为他们正在本地居家办公。

　　为了识别朝鲜黑客，西方科技界和区块链安全公司近年来被逼出了各种五花八门的“反间奇招”。其中最经典的防范手段之一，就是在视频面试的环节中，面试官会突然向候选人提出一些带有明显冒犯性的政治要求。例如，直接要求对方在镜头前说出几句公开侮辱或批判朝鲜领导人的话。对于西方应聘者而言，这虽然有些匪夷所思，但出于配合或觉得好玩，往往会顺口照做。然而，对于全家老小性命皆悬于国内的朝鲜黑客来说，这句大逆不道的话是绝对不敢说出口的。只要对方在听到这个要求时瞬间脸色煞白、支支吾吾、找借口挂断视频或者坚决拒绝，面试官便立刻知道，这是一个伪装成程序员的朝鲜黑客。

　　在朝鲜，公开批评最高领导人可能导致三代人被送进政治犯集中营。

　　这些年来，朝鲜黑客在国际上犯下了一桩又一桩惊天大案。其中最为外界熟知的代表人物之一，便是曾被美国联邦调查局（FBI）公开全球通缉的朝鲜王牌黑客朴镇赫（Park Jin-hyok）。

　　朴镇赫出生于1981年或1984年，毕业于平壤金策工业综合大学，说得一口流利韩文、英文及中文，过往曾派驻中国沈阳等地，表面上受雇于前线空壳合资公司“朝鲜世博”，暗地里却主导了多项毁灭性的网络犯罪。由于其在FBI通缉令上的证件照面容清秀，一度引发全球网民热议，甚至被众多媒体戏称为“朝鲜玄彬”或“朝鲜许光汉”。

　　美国司法部早在2018年就对朴镇赫正式提出指控，指控他是拉撒路集团（Lazarus Group）及“高级持续性威胁38”（APT38）的核心成员，涉嫌主导了多起轰动世界的恶性网络袭击。

　　其中包括2014年索尼影业大瘫痪事件。当时索尼影业在喜剧电影《刺杀金正恩》上映前夕遭黑客组织大规模网络攻击，泄露了大量内部机密邮件与高管薪资。由于黑客发出恐怖袭击威胁，美国各大院线一度取消放映计划。FBI调查证实，这正是朴镇赫及其同伙在朝鲜政府授意下发起的报复性袭击，这也是朝鲜黑客第一次以国家级网络战姿态震撼好莱坞。

　　带着这样的背景再看这次63亿美元的惊天大案，一切就有了清晰的脉络。根据币安官方发布的初步调查报告，并结合路透社与美国执法机构的披露，整起案件完美复刻了朝鲜黑客近年来最擅长的供应链渗透与社工诱骗组合拳。

　　攻击最早可以追溯到当年的6月。当时，币安钱包开发团队的一名员工在不知情的情况下，下载了一个被黑客精心窜改的恶意AI工具。虽然币安在事后很快发现了这一异常情况，并紧急更换了设备、修改了相关凭证，但该员工及其钱包团队其他成员的身份资讯、社交网络关系网早已在无形中暴露给了潜伏在暗处的黑客。

　　到了9月，攻击进一步升级。另一位币安的软件工程师在求职网站上挂着简历，不久后，一位自称“项目总监”的人主动联系了他，声称手头有个极具潜力的技术岗位想聊聊。对方随即安排了一位HR与他进行视频面试，不仅全程真人露脸，为了彻底让他放下戒心，这位HR还将自己的真实社交账号发给了他，上面布满了本人的生活照和日常视频，看着就像一个活生生的真实存在。到了第二轮面试，对方将阵地转移到一个常用的聊天软件上，与一位自称是这家公司CEO的人进行沟通，但实际上，这家公司从头到尾都是虚构的。

　　当面试接近尾声时，对方顺理成章地交办了一项“技术测试”，要求他下载并运行一份随附的代码题。这位币安员工毫无防备，直接在自己的工作电脑上下载并执行了带有“恶意程式码库”的测试包。然而，这份看似普通的代码在安装环节却暗中自动执行，悄悄将电脑上原本正常的开发工具pyenv替换成了带有木马的版本。这个木马不仅能够无缝连回黑客的远程服务器，还具备极强的反侦察能力，会自动清理各种运行痕迹，甚至连当时币安电脑上安装的杀毒软件也未能检测出任何异常。

　　等到10月20日前后，攻击者已经利用这台被入侵的电脑以及一款内部AI工具，成功取得了钱包开发者及其团队中另一名钱包开发者的系统控制权限。以此为跳板，黑客利用渗透工程师电脑的DevOps权限，在币安的内部网络中步步为营，直奔交易所的核心钱包系统。

　　最终在10月29日晚，致命的20分钟降临。

　　从美东时间下午4时起的短短二十分钟内，几十亿美元的资产在区块链的世界里悄无声息地易主。据区块链分析机构Elliptic指出，黑客在得手后迅速将赃款主力兑换为以太币（ETH），透过分布于超过800个新钱包的跨链桥及去中心化金融（DeFi）工具进行多层分层洗钱。直到十多分钟后，币安的安全系统才最终锁定并清除了这一非授权指令，但巨大的时间差，已经造成了毁灭性的结果。63.4亿美元被瞬间卷走，一举刷新了2025年2月ByBit交易所遭黑客盗取15亿美元的旧纪录，成为了人类区块链历史上迄今为止规模最大的一次资产失窃案。

　　区块链分析公司Chainalysis指出，由于涉案金额庞大，洗钱过程可能持续数月甚至数年。黑客可能长期持有部分资产，等待变现机会。

　　在巨额资产流失的瞬间，恐慌情绪迅速在全网蔓延，比特币应声下挫，整个加密货币市场随之震荡，无数投资者开始疯狂涌向平台要求提现。不过，币安在危机之中的应对表现令人称道。他们公开称，所有用户的损失由平台全部兜底，不让用户承担一分钱。

　　同时，一场全球范围内的资本与技术大救援随之展开。一方面，各方区块链安全伙伴的紧急配合下，全球执法部门与加密公司协力在链上迅速精准冻结了约28.5亿至29亿美元的资产。另一方面，对于那些无法被冻结的资产，币安直接动用自有资金在公开市场上进行大规模扫货，在极短时间内补齐了资产漏洞，重新开放了用户的正常提现通道。

　　值得一提的是，在迅速向币安伸出援手的公司中，还包括特朗普家族的世界自由金融。

　　美国认为此次攻击是名为“TraderTraitor”（亦被称为Jade Sleet或UNC4899）的朝鲜黑客组织，并认定其隶属于侦察总局旗下的拉撒路集团。面对美国的指控，朝鲜迅速予以了强烈的回击。金正恩的妹妹金与正，通过朝鲜国家通讯社发表了一份措辞严厉的声明，抨击FBI周六提出的正式指控是“毫无新意的荒谬言论”。

　　金与正称，这是对朝鲜民主主义人民共和国的严重政治挑衅，并强调“朝鲜政府一贯的政策是坚决反对网络空间中的所有恶意行为”。

　　帕利政策研究所创始人兼主管、前联合国军驻韩国司令部军官迈克尔·博萨克在接受法新社采访时评论称：“朝鲜之所以感到不得不作出回应，很可能是因为该事件引发了国际社会的极大关注。”他指出，从币安掠夺的这笔高达63.4亿美元的巨额战利品，“几乎占了朝鲜估计年国内生产总值的四分之一”。博萨克说：“这一否认不仅关乎声誉，朝鲜政府需要维护现有的地下渠道，以便继续洗钱并使用这种加密货币。”

　　针对币安事件，主张与朝鲜缓和关系的韩国总统李在明在周二公开表态，强调当前应对数字威胁的措施存在“明显局限”，尽管他在发言中提到了“一个黑客团伙”，但并未直接点名肇事者。他呼吁：“我们必须建立一套全面的预防体系，以应对日益严峻的网络安全危机。”

　　此外，韩国国家情报院已对全国2100多个中央政府部门及地方自治团体等机构展开紧急网络安全检查，要求排查对外网络接口、监控系统运行及安全补丁安装情况，以防范潜在网络攻击。