FBI認定朝鮮黑客盜走了幣安64億美元虛擬貨幣
10 月 29 日晚上 20:05 UTC，幣安 XRP Ledger 上的 5 個熱錢包 幾乎同時向同一個地址轉出 2.33 億枚 XRP 。接下來半小時里，Solana、NEAR、Base、Optimism、Bitcoin、Tron、Ethereum、Arbitrum、Avalanche 的熱錢包被 接連抽干 。23:00 之後，第二波又來了。
兩天後，FBI 給出結論：這是朝鮮的 TraderTraitor 乾的。 64.3 億美元，史上最大單筆加密資產盜竊 。
事實是否如此，個人還是有點懷疑的，畢竟在歐美什麼壞事都喜歡把帽子扣在社會主義國家陣營。出了事不是中國黑客就是朝鮮黑客，大家當個樂子看了就行了，個人行為也不代表國家行為。
01
THE HEIST
三小時，十一鏈，六十四億
事件時間線
20:05 UTC · 攻擊開始
5 個 XRP Ledger 錢包向同一地址轉出 2.33 億 XRP，隨後半小時內 9 條鏈的熱錢包相繼被抽干。
23:00 UTC 之後 · 第二波
Avalanche 與 Polygon 上的幣安錢包再次遭到提取。
10 月 29 日 · 全網最大單筆
11 條鏈、82% 的資產在 Ethereum 與 Bitcoin 上被盜走，Elliptic 核算為 64.3 億美元。
10 月 31 日 · FBI 歸因
FBI 聯合 USSS 與 IRS-CI 發布警報，鎖定 TraderTraitor，並公布用於洗錢的錢包地址清單。
11 月 1 日 · 幣安恢復提現
幣安宣布 06:00—09:00 UTC 恢復第一階段提現，先從比特幣網路開始，充值不受影響。
這個數字有多大？Bybit 那起是 14.6 億美元，這是它的四倍多；2003 年薩達姆從伊拉克央行提走 10 億美元逃離伊拉克，這是它的六倍多。Elliptic 統計， 朝鮮關聯實體近年累計竊取加密資產已超過 65 億美元 ——這一案幾乎把它翻了一倍。
幣安表示用 SAFU 基金和公司資金兜底，已 預留超過 63.4 億美元 ，其中約 50 億以被盜時的同種代幣形式持有，其餘部分通過市場和 OTC 買入。
02
DELIVERY CHAIN
從 Provider 到 ROOFDECK
入口不在交易所，在開發者的終端上
Zscaler ThreatLabz 披露的惡意樣本叫 terraform-provider-awsbeta_v1.0.0 ，Go 寫成， 偽裝成 HashiCorp 官方的 AWS Provider 。手法很樸素：把惡意邏輯塞進 main 直接調用的兄弟包 awsbeta， Terraform 一載入 Provider 就執行了 。配套的還有一枚一次性標記 session.lock ，落在系統臨時目錄，用來防重複執行。
下載地址更像真的：域名仿 HashiCorp 品牌，路徑仿 Terraform 插件的合法 metrics 介面，看著就是一次正常的插件拉取。
五段投遞鏈
載荷偽裝成字體文件
Bash 載入器按操作系統與 CPU 架構拼出 .woff 文件名：Linux 用 NotoSansCJK ，macOS 用 HiraginoSans ，Windows 用 MalgunGothic ，字重對應架構（Bold 對 x86_64，Regular 對 arm64，ExtraBold 對 ARMv7，Italic 對 32 位 x86）。文件里用 @@ENDFONT@@ 標記真實載荷，後面是 base64 編碼加 AES-256-CBC 加密。
腳本會挑 開發機上一定存在的那一個解釋器 ，Python、Node.js、Perl 或 OpenSSL 都能上。macOS 上還會先摘掉隔離標記，再補一個 ad-hoc 簽名騙過 Gatekeeper。
落盤位置一個比一個像正品
FLATROOF 與 ROOFDECK
FLATROOF 是 Rust 寫的跨平台後門，配置用 PBKDF2-HMAC-SHA256 加 AES-256-GCM 加密。C2 分三條腿走： Telegram Bot API 收命令、GitHub API 輪詢、攻擊者自建 webhook ，斷掉任何一條都不影響另外兩條。持久化是老套路——Linux 寫 systemd 服務，macOS 掛 zlogout，Windows 寫註冊表 Run。
它內置的 Python 竊密器才是真正目標。Chromium 的 History、Cookies、Login Data、Web Data，Firefox 的 places.sqlite 、 logins.json 、 key4.db ，Linux 上的 Secret Service，macOS 的 login.keychain-db ，Windows 的憑據管理器，以及 MetaMask、Phantom、Trust Wallet、Rabby 四個錢包擴展。
Windows 側還塞了兩個原生小工具：一個 注入掛起的 Chromium 進程以恢復瀏覽器主密鑰 ，另一個是兜底複製 Cookie 的輔助程序。研究者還注意到腳本里註釋過密、混著 emoji、異常處理重複、命名風格不統一—— 這套東西，很可能是 AI 寫出來的 。
防守側該怎麼查
03
SOCIAL ENGINEERING
招聘邀約、AI 人設與兩條供應鏈
技術鏈再漂亮，也得有東西把人騙進來。微軟的追蹤顯示，TraderTraitor 用 AI 定製話術、偽造身份、規避檢測， 冒充一家 AI 區塊鏈情報公司的招聘者 ，用軟體工程師崗位約人面試。
MICROSOFT
The actor leveraged tailored domains, social media profiles, and industry-specific knowledge to pose as recruiters for a spoofed AI-powered blockchain intelligence company, using software engineer-themed opportunities to initiate contact and schedule interviews with individuals who engaged with the outreach.
緊接著，攻擊者用兩家額外的空殼公司重複同一套話術，基礎設施與行業知識都對得上。目標圈得很准：網路安全、AI、區塊鏈，以及 招聘與人才獵頭行業的從業者 。
招聘釣魚的標準劇本
1
在 LinkedIn、Facebook 鋪出像模像樣的公司主頁，偽造身份撐過最初的檢查。
2
以 AI 驅動的區塊鏈情報公司身份發起接觸，用軟體工程師崗位開場約面試。
3
讓候選人提交一個看起來無害的 GitHub 倉庫，惡意邏輯藏在 npm 或 PyPI 的依賴里。
4
視頻面試環節，誘導安裝所謂缺失的音頻編解碼器，或者把命令放進剪貼板讓對方執行。
Rust 基金會在 9 月 17 日專門發過警告，提醒 crate owner 留意這類 看起來很正當的視頻通話邀請 。
04
MONEY TRAIL
錢往哪兒跑
FBI 的判斷是，被盜資產正主要轉換成 ETH，再經 DeFi 與即時兌換服務繼續洗。理由很直白： 穩定幣有發行方，能被凍結；ETH 和 BTC 沒有發行方，誰也凍不了 。
Tether 的反應速度值得記一筆。USDT 抵達攻擊者的以太坊主錢包后， 37 分鐘內就凍結了 11.8 億 USDT ，接著 17 分鐘內又追加凍結 4 個地址；Circle 晚 3 分鐘，凍結 8.23 億 USDC。
洗錢動作的自動化指紋
1
隨機化金額——主 Tron 洗錢錢包兩天內發出 1,113 筆轉賬，中位間隔 90 秒，最長停頓 39 分鐘，跨越了平壤的夜晚。
2
極速轉手——收到資金的地址通常 2 分鐘內轉出，部分只要 30 秒。
3
時間切片拋售——LINK 被拆成 89 筆、PEPE 94 筆賣出，間隔約 36 秒。
4
模板化開戶——新錢包一律先打入 0.5 ETH 付手續費，幾分鐘內開始交易。
5
無視價格——4.34 億 USDT 換成 160,451 ETH，隱含 12% 到 26% 的價格損失；先要速度，不要價格。
Aave 上還有一手：另一個錢包抵押 5,990 萬 USDT 借出 19,762 ETH，Aave 隨後凍結相關市場，貸款已逼近清算線。Tron 上 2.34 億 USDT 換成 6.38 億 TRX，拆分后經至少 6 座跨鏈橋基本全部轉為 ETH。Elliptic 還確認， 部分 Tron 資金與 2026 年 9 月 Bitget 攻擊的收益混在一起洗 ，兩筆贓款已經合併。
05
DEFENSE
給防守方的清單
FBI 在警報里點名了需要負責的一批角色：THORNode 運營者、RPC 節點運營者、即時兌換服務商、DeFi 服務商、區塊鏈分析公司，以及其他虛擬資產服務商。要求是 阻斷與這些地址或其衍生地址相關的交易 ，把它們當作與朝鮮洗錢活動相關的風險指標，發現異常資金流就聯繫當地 FBI 分局，線索報給 IC3。
公開地址清單
FBI 公布的地址清單覆蓋 Ethereum、Bitcoin 與 Solana 三條鏈，數量上千。下面是節選片段， 完整清單請直接取 FBI 警報頁原始地址 ，不要依賴二手整理。
NOTE
幾個容易踩的坑，先說清楚：FBI 公布的是持有或曾持有被盜資產的地址，既沒有標註每條地址當前餘額或凍結數量，也不代表全部已被凍結。直接把它當黑名單用會誤判——真正要盯的是與這些地址及其衍生地址之間的資金流向，以及各凍結方給出的確切邊界。
對開發者與運維
Provider 來源收口
只從官方 Registry 或公司內部鏡像安裝，鎖定版本並校驗哈希。
流水線管控
CI 流水線里禁止載入未經審批的第三方 Provider，別讓一台構建機成為跳板。
終端基線
臨時目錄、~/.config、~/Library、~/AppData 下的異常可執行文件納入監控。
社工防線
MFA 全開；任何面試環節要求安裝編解碼器、執行剪貼板命令的，一律拒絕。
對鏈上監控與合規團隊
實時地址篩查
接入實時篩查，與清單地址或其衍生地址有交集立即告警。
C2 特徵檢測
仿冒 HashiCorp 域名、偽裝成字體的 .woff 載荷、Telegram Bot API 與 Pastebin、Nostr relay 的異常調用。
∞
THE END
寫在最後
這次攻擊最值得記下的，不是 64.3 億這個數字，而是它的路徑。幣安的熱錢包不是被暴力攻破的，交易所的風控也不是沒起作用—— 門是從外面開的，開門的人叫開發者 。當攻擊者把刀遞到開發者手裡，你沒法指望一個交易所的應急響應團隊替整個行業擋刀。
「供應鏈入口一旦被武器化，防守方再多的邊界防護都是在給攻擊者篩目標。」
Terraform Provider 這條路能走通是有前置條件的：官方 Registry 里塞進了包，招聘話術把人騙到面試桌，面試里再讓人交出一個無害的倉庫。這三件事湊齊才成立， 缺一環攻擊就落不到實處。所以防守也不能只盯一個點——供應鏈來源要審、開發者終端要管、招聘流程要有人把關。
至於剩下的 32.5 億美元，按 Bybit 案的節奏，洗乾淨需要數月。這幾個月里，每一個跨鏈、每一次兌換、每一次進交易所，都是一次攔截窗口。FBI 一次性放出上千個地址，等於把這道窗口期的門票發給了全行業。 剩下的，看誰真的接了 。
*以上內容系網友指點山河自行轉載自網路安全透視鏡，該文僅代表原作者觀點和態度。yeeyi號系信息發布平台，僅提供信息存儲空間服務，不代表贊同其觀點和對其真實性負責。如果對文章或圖片/視頻版權有異議，請郵件至我們反饋，平台將會及時處理。