朝鲜黑客深度渗透加密生态，67亿资产被窃取

核心提要：网络安全专家揭露朝鲜关联技术人员长期参与DeFi项目开发，利用技术伪装与复杂洗钱手段，通过多轮攻击累计攫取超67亿美元数字资产，其手法正向非本国人员协同操作演进。

朝鲜系技术人才嵌入去中心化金融核心架构

网络安全研究员泰勒·莫纳汉披露，与朝鲜存在关联的IT专业人员已深度介入全球去中心化金融生态多年。她在最新推文中指出，这些个体在2020年DeFi热潮期间即活跃于多个主流协议的技术开发环节，其简历中所列的区块链工程经验经核实基本真实，表明其贡献具有实质性而非虚构。

跨国协作模式下的隐蔽渗透路径

莫纳汉列举了SushiSwap、THORChain、Yearn Finance、Harmony、Ankr及Shiba Inu等代表性项目作为例证。她特别强调，Yearn团队因实施严格的代码同行评审制度并审慎筛选外部贡献者，展现出较强的防御韧性，相较之下其他项目更易受到潜在渗透风险影响。

她同时警告，相关组织的运作策略正在发生结构性转变，当前可能已启用非朝鲜籍人员承担部分线下协调任务，包括实体接触与身份伪装。据估算，此类活动自启动以来已导致加密领域损失至少67亿美元。

国家主导型攻击呈现规模化升级趋势

链上分析数据揭示，朝鲜已成为全球范围内最具规模的国家支持型网络犯罪主体。2025年数据显示，该国黑客团伙单年窃取数字资产总额突破20.2亿美元，较前一年增长51%，占全年所有服务类安全事件总价值的76%。尽管整体攻击频率下降，但每次行动的平均金额显著攀升。

这一趋势归因于其依托提前部署的技术人员，在交易所与托管平台内部完成权限获取。得手后，资金通常被切割为低于50万美元的小额交易，并借助跨链桥接、混币服务及中文区域金融网络实现清洗与转移。

社交工程攻击链持续优化迭代

安全联盟追踪发现，攻击者频繁使用伪造的Zoom或微软Teams会议链接发起网络入侵，诱导目标设备安装恶意软件。此类攻击常始于被攻陷的Telegram账户，攻击方冒充熟人邀请参与视频通话，利用预先录制的视频流营造真实场景，进而诱导用户下载伪装成系统更新的恶意程序，从而夺取终端控制权。

一旦成功植入，不仅可窃取敏感信息，还可通过劫持账号横向扩展攻击范围，形成闭环式渗透链条。

攻击面拓展至供应链与支付系统

2024年3月1日发生的Bitrefill安全事件被怀疑源自朝鲜黑客集团。调查指出，攻击者通过感染员工终端进入内部系统，获取高权限凭证后深入数据库，清空热钱包资产，并利用礼品卡发行渠道实现变现。

其使用的恶意软件特征、链上行为模式以及重复调用的历史基础设施，均与此前拉撒路（Lazarus）和Bluenoroff等知名组织高度一致，凸显其攻击框架的延续性与成熟度。