文章总结： Bybit就15亿美元加密失窃案在美国起诉朝鲜Lazarus团伙及侦察总局,目前仅追回约7890万美元,超90%资金已通过混币、跨链、场外OTC洗白消失。文章详细拆解了Lazarus通过招聘社工钓鱼、供应链投毒、多签前端篡改的入侵流程及多层洗钱手法,并提供了交易所、开发者、普通用户的分维度防御方案和中招应急处置流程。 综合评分： 75 文章分类： 安全大事件,威胁情报,恶意软件,安全意识,实战经验

史诗级反击！Bybit正式起诉Lazarus团伙，15亿加密失窃案追缴仅8000万，9成资金已洗白消失

原创

AI紫队安全研究 AI紫队安全研究

AI紫队安全研究

2026年8月25日 11:59 广东

在小说阅读器读本章

去阅读

大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。

关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。

导语

2025年加密史上最大盗窃案迎来重磅司法进展！知名交易所Bybit在美国联邦法院发起诉讼，直接起诉朝鲜、其侦察总局以及国家级APT组织Lazarus（TraderTraitor行动）。

2025年2月交易所冷钱包被盗15亿美元加密资产，时至今日仅追回+冻结约7890万美元，超90%被盗资金通过混币、跨链、场外OTC彻底切断溯源链路，沦为链上“死钱”。

这场官司也是全球首例直接针对国家级黑客组织的加密民事追责案件，今天拆解完整入侵、洗钱、司法追讨全链条，给交易所、Web3团队敲响最高等级安全警钟。

一、案件背景：一场面试，偷走15亿美元加密资产

1. 入侵完整过程（TraderTraitor攻击）

Lazarus团伙经典社工供应链套路：

1. 伪装海外区块链大厂HR，在Linked联系交易所多签钱包开发工程师，发送笔试题源码压缩包；

2. 工程师本地运行测试代码，木马静默植入终端，长期潜伏监控钱包审批流程；

3. 篡改Safe{Wallet}多签前端程序，CEO审批转账时页面显示正常交易，后台资金定向转入黑客钱包；

4. 40万枚ETH瞬间失窃，案发时折合15亿美元，创下加密行业单笔失窃最高纪录。

5. FBI官方定性

案发后FBI第一时间发布预警，将本次攻击代号定为TraderTraitor，实锤归属朝鲜侦察总局下属Lazarus黑客集群，盗取资金全部用于弹道导弹、核研发相关经费。

二、Lazarus顶级多层洗钱流水线，90%资金彻底失联

得手后黑客一套标准化洗白流程，让链上追踪近乎失效：

1. 资金拆分分流

15亿大额资产打散为成千上万小额转账，分散至上万全新空白钱包，规避链上地址聚类分析；

2. 跨链置换伪装

批量通过THORChain无许可跨链桥将ETH兑换BTC，割裂以太坊原始交易痕迹；

3. 专业混币平台清洗

大量资金流入Cryptomixer、eXch等境外匿名混币服务，德国、瑞士警方后续才捣毁这两大洗钱渠道；

4. 场外OTC变现离场

多层清洗后通过无监管场外交易兑换法币，资金转入地下金融网络，链上线索完全断裂。

追缴残酷现状

成功全额追回：4840万美元

多国平台冻结待处置：3050万美元

合计可控资产：仅7890万，占总失窃金额9.8%

剩余90.2%资产经过跨链、混币后，彻底无法追踪，永久失去追回可能

三、美国诉讼完整布局：起诉国家+匿名持币者双线施压

Bybit选择美国哥伦比亚特区联邦法院提起民事诉讼，采用特殊诉讼策略绕开跨国执行难题：

被告名单三层布局

1. 主体被告：朝鲜、朝鲜侦察总局、Lazarus黑客团伙；

2. 匿名被告：所有持有、转移被盗资金的钱包持有人（统称John Doe）；

核心法律武器

援引美国《反 Racketeer 腐败组织法（RICO）》，要求返还全部被盗资产+三倍惩罚性赔偿金；

法院已出具初步永久禁令：诉讼周期内所有涉案加密资产禁止转移、兑换、提现。

诉讼难点

直接起诉主权国家很难落地执行，真正突破口是匿名钱包持有者：

通过法院调证强制各大交易所、托管机构交出持币人实名信息，层层追溯洗钱中间人，拦截剩余可控赃款。

官方表态

Bybit CEO周本直言：“Lazarus攻击不只是一家交易所的灾难，是整个加密行业信任危机。我们同步联动FBI、全球各国监管、链上取证机构持续追踪赃款。”

四、Lazarus四大固定攻击套路，Web3团队全员警惕

1. 招聘社工钓鱼（最高频）

伪装投资人、大厂HR发送测试项目源码，虚拟机以外环境打开即被植入远控，窃取多签、服务器密钥；

2. 开源供应链投毒

污染NPM/Git开源组件，研发安装依赖后自动上传本地钱包配置；

3. 多签钱包前端篡改

长期潜伏监控审批流程，修改页面底层转账逻辑，审批人肉眼无法识别资金转向；

4. 外包服务商跳板攻击

渗透审计、开发外包公司，批量入侵多家合作区块链平台。

五、分维度防御方案（交易所/项目/开发者）

一、交易所&大型Web平台（企业级）

1. 冷热钱包物理隔离，大额资产离线HSM硬件存储，多签采用异地多人分权审批；

2. 上线链上实时风控系统，拦截混币、无许可跨链桥大额转账，同步OFAC制裁地址黑名单；

3. 开发环境与钱包管理终端物理隔离，笔试题、外部代码仅在隔离虚拟机运行；

4. CI/CD流水线增加SCA供应链扫描，拦截恶意混淆开源依赖；

5. 建立跨国家执法协同机制，发现赃款第一时间申请法院冻结令。

二、开发/运维/多签管理员（个人）

1. 求职测试项目绝不使用办公主机打开，统一隔离虚拟机；

2. 办公设备禁止存放私钥、多签授权凭证，硬件钱包单独离线保管；

3. 收到陌生GitHub源码、压缩包先做沙箱查杀，再查看代码；

4. 审批转账时核对链上真实接收地址，不只看前端页面展示信息。

三、普通加密用户

远离匿名混币、无KYC场外OTC，避免被动接收涉案黑资金导致账户冻结；定期核查钱包转账记录，异常小额拆分转账及时上报平台。

六、中招标准应急处置流程

1. 第一时间暂停全部钱包转账功能，隔离受损多签服务器；

2. 联动链上分析机构追踪资金流向，同步向各国交易所发送冻结协查函；

3. 同步提交司法材料，申请法院临时资产禁制令；

4. 全网重置所有后台、多签管理员权限，清除终端木马后门；

5. 全员开展APT社工钓鱼专项安全培训，补齐供应链防护短板。

文末总结

这场15亿失窃案和跨国诉讼给全行业敲响警钟：国家级APT组织洗钱技术早已领先链上追踪能力，一旦被入侵，九成资产将永久无法追回。

社工钓鱼+供应链投毒+多层跨链混币已经形成完整黑色产业链，交易所、DeFi项目、开发团队都处在高风险靶区。

技术加固、流程管控、法律追偿三位一体，才能尽可能降低国家级黑客带来的毁灭性损失。

转发给交易所运维、区块链开发、多签管理员同行，警惕Lazarus团伙全套盗币洗钱套路！

加入知识星球，可获取权益

一、”全球高级持续威胁：网络世界的隐形战争”，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。

二、为什么加入？

职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？

三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」

✅ 职业发展「精准导航」

 1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；

 晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；

 技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。

✅ 安全方案「对症开方」

 实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；

 架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。

✅ 圈子资源「直接对接」

 大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；

四、适合谁？

 想突破职业天花板的安全工程师/架构师；

 需快速落地安全项目的企业负责人；

 关注行业动态的安全爱好者或IT从业人员。

喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AI紫队安全研究 AI紫队安全研究 AI紫队安全研究《史诗级反击！Bybit正式起诉Lazarus团伙，15亿加密失窃案追缴仅8000万，9成资金已洗白消失》