朝鲜黑客渗透DeFi：40协议遭潜伏，内部攻击成常态

核心提要：MetaMask开发者披露，自2020年起朝鲜IT人员已潜入至少40个主流DeFi协议代码库。其通过长期伪装身份、构建虚假履历实施深度渗透，近期Drift Protocol遭遇2.8亿美元攻击即为典型案例。行业正面临系统性信任危机。

朝鲜黑客深度渗透主流DeFi生态，虚假身份体系暴露

MetaMask核心开发者泰勒·莫纳汉证实，自2020年起，朝鲜籍信息技术人员已悄然嵌入至少40个广泛使用的DeFi协议代码库。这一发现源于对Drift Protocol遭受2.8亿美元黑客攻击事件的链上追踪，确认攻击方为与朝鲜国家背景相关的网络组织。

渗透周期长达七年，技术伪装高度成熟

调查揭示，这些人员并非临时入侵者，而是以开发者身份长期驻留于项目团队中。其简历所列的七年区块链开发经验经核实属实，但背后实为系统性情报收集行为。他们通过数月甚至数年的身份建构，在职业履历、公开社交资料及专业资质方面完成全方位伪装，足以通过合作方的合规审查。

拉撒路集团累计盗取超70亿美元，规模堪比多国年GDP

据多家安全机构联合分析，朝鲜国家支持的“拉撒路”组织自2017年以来共窃取约70亿美元数字资产，覆盖超过36个国家的年度经济总量。2025年针对Bybit平台发起的15亿美元攻击，成为全球加密货币史上最大单次失窃案。该组织惯用策略是长期潜伏、内部测绘，待漏洞被精准定位后实施定时打击。

攻击模式分化明显，非单一集团主导

链上分析师zachXBT指出，将所有朝鲜相关攻击归因于“拉撒路”存在严重认知偏差。实际操作中，不同子团队分别负责社会工程学诱骗、虚假招聘与远程渗透，技术门槛并不高。若至2026年仍误判此类攻击为高级威胁，往往反映组织内部安全意识薄弱。真正风险不在于技术复杂度，而在于其持续性与累积规模。

从远程渗透迈向实体接触，行动边界持续扩张

某加密交易所透露，曾有一位资历优异的候选人通过视频面试，却始终拒绝线下会面，最终引发怀疑。最新情报显示，该组织已启用非朝鲜籍人员执行实地接触任务，彻底规避了过往因地理暴露带来的风险。这标志着其攻击模式正从纯数字渗透转向线上线下结合的复合型战略。

内部渗透路径清晰，虚假身份经受多重验证

Drift Protocol的调查报告指出，此次攻击未依赖外部漏洞，而是由内部人员完成。攻击者构建了完整的虚拟身份体系，涵盖工作经历、认证证书与专业社交网络。整个形象塑造过程历时数月，具备应对商业合作尽职调查的能力。安全团队确认该行动由朝鲜关联组织UNC4736实施，其亦涉2024年Radiant Capital事件，两者在资金流向与身份复用上存在明确关联。

行业信任基础被动摇，人才审核机制亟待重构

莫纳汉的披露令整个去中心化金融领域陷入反思。若超过40个协议在不知情下雇佣了朝鲜背景技术人员，意味着现有基础设施已被深度测绘，未来潜在攻击布局难以预判。尽管Drift事件是迄今最详尽记录的案例，但长达七年的渗透周期表明，此类问题远未结束。当“七年经验”可能对应的是系统性侦查时，行业必须重新评估人才筛选与协议审计的根本逻辑。