「攻击者不会留下姓名，但归因其行为的人会。」

11月1日，美国联邦调查局发布通告，把10月29日币安约63亿美元被盗案归因于朝鲜。通告中使用了一个代号：TraderTraitor。

这个代号并不指某家公司，也不是组织架构图上的一格。它是美国政府给一类持续性网络行为起的名字。从Bybit、DMM到币安，多起巨额加密货币案件正被逐步归到这条线索之下。

事件背景：一个代号，如何串联起多起大案

2022年4月，FBI、美国网络安全和基础设施安全局与财政部联合发布编号AA22-108A的通告，TraderTraitor一词首次正式出现。当时它指的是伪装成炒币软件的木马，例如DAFOM、TokenAIS与CryptAIS。

两年后，这个标签从恶意软件升级为行为归属。2024年12月23日，FBI、美国国防部网络犯罪中心与日本警察厅在DMM被盗3亿美元案中，首次使用「被追踪为TraderTraitor的朝鲜网络行为者」表述，并列出了Jade Sleet、UNC4899与Slow Pisces等别名。

在业界，这条线长期被称为Lazarus Group、APT38、BlueNoroff与Stardust Chollima。它们并非四支独立队伍，而是不同安全公司对同一攻击体系及其资金链的命名。Lazarus是总称，TraderTraitor则主要指向其中专注加密资产的分支。

核心数据拆解：97亿美元、63亿美元、42%

63亿美元

这是币安10月29日被盗案的涉案金额，也是目前被直接点名TraderTraitor的案件之一。

这一数字说明攻击目标已从单一钱包转向拥有大量资产与复杂签名流程的大型交易平台。攻击者关注的不再是私钥本身，而是控制资产转移的机制。

约42%、27亿美元

截至11月1日，约42%的被盗资金，约27亿美元，已被稳定币发行方与Arbitrum安全委员会冻结。

冻结比例较高，反映出链上追踪、发行方黑名单权限与多签网络治理正在形成协同。但冻结并不等于完全追回，后续处置仍取决于司法与跨链资产归属。

24亿美元、42万枚ETH与18,270枚BTC

攻击者手中仍持有约42万枚以太坊与18,270枚比特币，价值约24亿美元。

这意味着案件仍处于持续追损阶段。剩余资产规模也说明，即使部分资金被冻结，主要风险尚未完全解除。

97亿美元、34.4亿美元

被广泛提及的十二起案件中，九起由不同机构归因，涉案金额约97亿美元。币安排名第一，约63亿美元；其余十一起自2022年至2026年合计约34.4亿美元。

需要注意的是，各案件归因口径并不一致。部分有美国官方点名，部分仅由链上分析机构推断。因此，汇总数字适合观察规模，不宜视为同一份司法认定的统一清单。

128亿美元、85%

TRM统计显示，朝鲜自2017年以来涉及约100起事件，累计金额约128亿美元；今年迄今约74亿美元。2026年全球加密资产被盗总额中，约85%被归因于朝鲜相关行为者。

这些数据来自特定研究机构，主要用于趋势判断。不同机构的统计范围与归因标准可能存在差异。

市场影响：攻击目标已从银行报文转向签名流程

TraderTraitor并非突然出现。2016年孟加拉央行案件中，攻击者伪造SWIFT指令，试图从纽约联储账户转走10亿美元，最终成功转移约8,100万美元。

当时负责资金转移手法的线被称为APT38或BlueNoroff。如今，相似的研究目标、寻找人工审核缝隙与伪造流程的能力，被转移到了交易平台、DeFi、钱包服务商与加密基金。

攻击手法主要有三类。第一类是假招聘：通过职业社交平台接触目标，发送所谓编程测试或内部工具，诱导安装木马。Ronin约6.2亿美元案件即与此类社交工程有关。

第二类是供应链污染：攻击GitHub仓库、软件包注册表或身份服务商，使下游多家公司暴露于风险中。第三类是交易流程篡改：通过获取登录凭证、修改内部通讯或向钱包前端注入脚本，使签名者看到正常页面、签下异常交易。

对交易平台而言，最大风险已不再是某个钱包离线，而是多签、审批与签名环境是否被整体渗透。对个人用户而言，来源不明的软件、招聘任务与开发者工具，都是高风险入口。

真正值得警惕的不是金额，而是攻击正在前移

说实话，63亿美元足以吸引全部注意力，但更值得关注的是攻击位置的变化。

过去攻击者主要寻找私钥漏洞；现在则试图控制交易被批准的方式。无论是修改钱包前端，还是预先签好授权，目标都指向「让原本有权的人，在不知情的情况下完成转账」。

这要求平台把安全预算从资产存储扩展到开发设备、内部通讯、审批流程与第三方服务。攻击面越接近日常办公环境，传统冷热钱包划分的防护作用就越有限。

总结：归因正在清晰，追回仍是长期工程

FBI将币安约63亿美元被盗案归因于TraderTraitor，使多条朝鲜相关加密攻击线索进一步汇聚。约42%资金已被冻结，但攻击者仍持有约24亿美元资产。

未来应持续观察三件事：剩余资产能否继续被追踪与冻结；交易平台是否升级签名与审批流程；去中心化跨链服务在反洗钱与紧急处置中的责任边界如何界定。

这起案件真正说明的，不是某个平台不够谨慎，而是国家级攻击已将加密资产视为高价值、流动性强的目标。技术漏洞可以修补，但持续的社会工程与供应链渗透，需要整个行业长期应对。

FAQ

Q1：TraderTraitor具体指什么？

A：TraderTraitor是美国政府给一类朝鲜网络行为起的代号，最早用于命名伪装成炒币软件的木马，后来延伸至朝鲜针对加密货币交易平台、DeFi与钱包服务商的攻击行为。

Q2：币安被盗资金目前追回情况如何？

A：截至11月1日，约42%的被盗资金，约27亿美元，已被稳定币发行方与Arbitrum安全委员会冻结。攻击者仍持有约24亿美元资产，具体追回进度仍可能变化。

Q3：TraderTraitor与其他朝鲜黑客名称有何关系？

A：Lazarus是总称；APT38、BlueNoroff、Stardust Chollima及Jade Sleet等，是不同安全公司对同一攻击体系或其资金链使用的名称，并非完全独立的组织。