揭秘朝鲜黑客做过的惊天加密大案：为什么这么强？钱流向哪里？

2025年6月13日 01:53

邓通，金色财经

2025年6月11日，据日本共同社报道，日本首相石破茂计划在6月15日至17日于加拿大举行的七国集团峰会（G7峰会）上，提出加强对朝鲜窃取Crypto等恶意网络活动的打击力度。这将是G7峰会首次讨论朝鲜窃取Crypto问题。据多位日本政府相关人士透露，此举旨在通过多国合作加强监管，切断朝鲜利用网络攻击*非*法获取Crypto资金的渠道，这些资金被认为用于开发大规模杀伤性武器。

朝鲜黑客都做过哪些惊天大案？盗取了多少Crypto？朝鲜为何擅长黑客攻击？这些钱都用在哪里了？

一、朝鲜黑客做过的惊天大案

Top1：Bybit，14.6亿美元

2025年2月21日，总部位于迪拜的Crypto交易所Bybit遭遇了约14.6亿美元的加密资产被盗事件。初步报告显示，攻击者使用了恶意软件诱骗交易所批准了将资金转移至窃贼账户的交易，这是迄今为止规模最大的Crypto盗窃案。Elliptic公司分析了多种因素，包括对被盗加密资产*洗*钱路径的分析，判断此次Bybit盗窃案的幕后黑手是朝鲜的LazarusGroup。Top2：RoninNetwork，6.2亿美元

2022年3月，为AxieInfinity即玩即赚游戏构建的Ethereum侧链被利用，窃取了价值6.2亿美元的Ethereum和USDC。Ronin只能找回被盗资金的一小部分。这次攻击被归咎于据称与朝鲜政府有联系的组织LazarusGroup。Top3：DMMBitcoin，3.08亿美元

2024年5月31日，日本交易所DMMBitcoin被盗取了4502.9枚Bitcoin。事件发生时，这些Bitcoin价值3.08亿美元。美国联邦调查局、国防部和日本警察厅表示，被盗事件是与朝鲜有关的黑客所为。Top4：KuCoin，2.75亿美元

2020年9月，总部位于新加坡的Crypto交易所KuCoin价值2.75亿美元的Crypto被盗，其中包括1.27亿美元的ERC20Tokens，用于Ethereum智能合约。不过，后续通过链上追踪，成功冻结了1.7亿美元资产，Tether和Circle等机构也配合对赃款进行了标记，最终迫使黑客返还了部分资金。朝鲜黑客组织LazarusGroup被指控为本次盗窃案凶手。Top5：WazirX，2.3亿美元

2024年7月18日，印度Crypto交易所WazirX遭遇2.3亿美元的损失。有证据表明，这名黑客可能是朝鲜政府支持的LazarusGroup，该集团已将大部分被盗资产兑换成Ethereum。 Top6：AtomicWallet，1亿美元

2023年6月，AtomicWallet服务的用户被盗走价值超过1亿美元的Crypto，联邦调查局随后证实了与朝鲜黑客组织LazarusGroup有关。Top7：RadiantCapital，5000万美元

2024年10月16日，借贷协议RadiantCapital被盗约5000万美元。RadiantCapital称，黑客通过Telegram发送恶意软件发动了攻击，该恶意软件由一名与朝鲜结盟的黑客冒充前承包商发送，我们高度确信此次攻击是由朝鲜（DPRK）附属威胁行为者所为。Top8：Stake.com，4100万美元

2023年9月，在线赌场和博彩平台Stake.com价值4100万美元的Crypto被盗，作案者是LazarusGroup。Top9：Upbit，4100万美元

2019年11月，Upbit被盗34.2万枚Ethereum，时值4100万美元，警方依据朝鲜IP地址分析结果、虚拟资产流向、朝鲜词汇使用痕迹和与美国联邦调查局（FBI）合作获取的证据认为是朝鲜黑客组织Lazarus和Andariel犯下的罪行。二、起底朝鲜黑客组织LazarusGroup1.LazarusGroup介绍

LazarusGroup据称由朝鲜政府运营。虽然人们对该组织知之甚少，但研究人员已将自2010年以来发动的多起网络攻击归咎于该组织。据脱北者金国松称：该部队在朝鲜内部被称为“414联络处”。

该组织已知最早的攻击事件被称为“特洛伊行动”，发生于2009年至2012年。这是一场网络间谍活动，利用简单的分布式拒绝服务攻击(DDoS)技术，针对位于首尔的韩国政府。他们还发动了2011年和2013年的攻击。尽管尚不确定，但他们也可能是2007年针对韩国的攻击事件的幕后黑手。该组织最知名的一次攻击事件是2014年对索尼影业的攻击。对索尼影业的攻击使用了更为复杂的技术，凸显了该组织随着时间的推移变得越来越先进。

据报道，2015年，LazarusGroup从厄瓜多尔的奥地利银行窃取了1200万美元，从越南的TienPhong银行窃取了100万美元。他们还将波兰和墨西哥的银行作为目标。2016年的银行抢劫案，包括对孟加拉国银行的攻击，成功窃取了8100万美元，这起事件被归咎于该集团。据报道，2017年，LazarusGroup从台湾远东国际银行窃取了6000万美元，尽管实际被盗金额不清楚，但大部分资金已被追回。

LazarusGroup还制造多起案件，在此不再赘述。2.LazarusGroup如何*洗*钱

LazarusGroup的*洗*钱过程：第一步是将所有被盗的Tokens兑换为“原生”Blockchain资产，如ETH。这是因为Tokens有发行方，在某些情况下可以“冻结”包含被盗资产的钱包，而ETH或Bitcoin则没有中央机构可以冻结。

第二步是对被盗资金进行“分层”，以试图掩盖交易路径。Blockchain的透明性意味着这些交易路径可以被追踪，但这些分层策略会使追踪过程复杂化，为*洗*钱者争取宝贵的变现时间。分层过程可以采取多种形式，包括：通过大量Crypto钱包转移资金；使用跨链桥或交易所将资金转移到其他Blockchain；使用DEXs、Tokens交换服务或交易所在不同加密资产之间切换；使用“混币器”，如TornadoCash或Cryptomixer。

朝鲜的LazarusGroup是现有最“专业”且资源最丰富的加密资产*洗*钱者，他们不断调整技术以逃避被盗资产被识别和扣押。

详情可查看金色财经文章《史上最大盗窃案：Bybit黑客资金流向追踪》3.LazarusGroup成员的“伎俩”

朝鲜黑客组织LazarusGroup成员曾冒用虚假身份，在美国新墨西哥州和纽约州设立两家空壳公司——BlocknovasLLC与SoftglideLLC，借虚假招聘传播恶意软件，专门攻击Crypto开发者。

网络安全公司SilentPush披露，这些公司利用假面试诱导受害者，窃取加密钱包、密码等敏感信息，已造成多名开发者中招。SilentPush称这是罕见的“朝鲜黑客在美注册合法公司实施网络攻击”案例。三、朝鲜黑客偷了多少钱？

联合国调查朝鲜规避制裁的专家小组在2024年估计，朝鲜自2017年以来已窃取超过30亿美元的Crypto。

据Chainalysis报告显示，2023年，与朝鲜有关的黑客通过20起事件窃取约6.605亿美元；2024年，这一数字在47起事件中增加到13.4亿美元，被盗价值增加了102.88%。这些数字占当年被盗总金额的61%，占事件总数的20%。