FBI 锁定 TraderTraitor：63 亿币安案背后的朝鲜黑客网

据 Woofun AI 消息，11 月 1 日，美国联邦调查局(FBI) 正式将 10 月 29 日遭遇的 63 亿美金损失归咎于朝鲜黑客组织，并首次使用'TraderTraitor'这一代号指代涉案主体。

这一官方定性不仅揭示了此次巨额盗窃案的幕后黑手，更标志着针对加密货币领域的国家支持型网络攻击已进入全新阶段。FBI 在通告中明确指出，TraderTraitor 并非独立实体，而是朝鲜 Lazarus 集团下属专门从事加密资产盗窃的行动分支，其作案手法之精密、影响范围之广，已对全球数字金融安全构成系统性威胁。此次归因不仅是对单一案件的回应，更是对过去数年间一系列未解加密大案的系统性梳理与定性。

值得注意的是，TraderTraitor 这一名称的演变本身即是一部加密安全攻防史。2022 年 4 月，美国网络安全和基础设施安全局(CISA)、美国财政部与 FBI 联合发布编号为 AA22-108A 的通告，首次正式提出该概念，当时主要指向 、、 等伪装成交易软件的木马程序，这些恶意软件通过窃取私钥实施盗窃。

然而，随着攻击手段的升级，该标签逐渐从具体工具扩展至行为模式。2024 年 12 月 23 日，FBI、美国国防部网络犯罪中心与日本警察厅在针对 被盗 3 亿美金案的联合声明中，进一步细化了 TraderTraitor 的定义，将其描述为'被追踪为 TraderTraitor 的朝鲜网络行为者'，并列出了其在不同安全厂商处的别名：微软称之为 Jade Sleet，谷歌标记为 UNC4899，Palo Alto Networks 则称其为 Slow Pisces。

这一系列命名对应着业界熟知的 Lazarus Group、APT38（Mandiant）、BlueNoroff（卡巴斯基）和 Stardust Chollima（CrowdStrike），它们实为同一攻击链条的不同侧面。TraderTraitor 的核心特征在于其高度专业化，自 2020 年起，该分支几乎完全聚焦于区块链领域，目标涵盖交易平台、DeFi 协议、钱包服务商及持有大量加密资产的个人。

这种战术迁移并非偶然，而是源于传统金融诈骗手法的自然延伸。Lazarus 集团的历史可追溯至 2014 年对索尼影业的攻击，以及 2016 年对孟加拉央行的入侵。在 2016 年 2 月的孟加拉央行案中，攻击者（当时被称为 APT38 或 BlueNoroff）伪造 SWIFT 指令，企图从账户转移 10 亿美元，最终因拼写错误导致 8,100 万得手。

这一案例展示了攻击者对银行工作流程、人工审核漏洞及指令伪造技术的深刻理解。这些在传统金融领域磨练出的技能，被原封不动地移植到加密货币行业，形成了今天所见的高精度攻击模式。从作案手法来看，TraderTraitor 展现出多样化的社会工程学与供应链攻击能力。第一种是假招聘策略，攻击者在 LinkedIn 上伪装成猎头，向目标发送包含恶意代码的'编程测试'或'内部工具'安装包， 网络 6.2 亿美元被盗案即由此引发。第二种是供应链污染，通过 恶意仓库、 投毒包或 身份服务商入侵，实现'一点突破，全线沦陷'的效果。

第三种是直接篡改交易，如在 DMM 案中，攻击者窃取登录凭证，潜入钱包公司 Ginco 内部通讯，修改转账指令；在 案中，黑入 开发者电脑，在前端注入脚本，使签名者误签异常交易。币安此次案件更是将此类手法推向极致：攻击者提前 36 小时准备，签署 50 份 授权，利用新功能让热钱包'租借'执行程序，在 40 分钟内跨 10 个网络转移资产，显示出其对签名系统的深度渗透。