2026-11-04 00:35:07 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

《纽约邮报》专访慢雾：币安 63 亿美元被盗案，朝鲜黑客如何运作？

原创

慢雾安全团队
慢雾安全团队

慢雾科技

2026年11月2日 19:03
中国香港

去阅读

**近日，美国知名媒体《纽约邮报》(New York Post) 发布报道《How North Korea’s ruthless state-sponsored hackers, main suspects in the $6.3B Binance heist, operate》，聚焦朝鲜黑客组织在加密货币盗窃活动中的运作方式。

(https://nypost.com/2026/10/30/tech/how-north-koreas-ruthless-state-sponsored-hackers-main-suspects-in-the-6-3b-binance-heist-operate/)

报道将朝鲜黑客组织列为币安(Binance) 约 63 亿美元被盗事件的主要嫌疑人，并采访了慢雾(SlowMist) 安全运营负责人 Lisa 和创始人 Cos。两位受访者围绕朝鲜黑客组织的攻击手法、链上资金追踪、跨国攻击网络及 AI 技术对网络攻击的影响等话题，分享了慢雾的调查发现与分析。

币安 63 亿美元被盗案：朝鲜黑客成为主要嫌疑人**

**##

慢雾安全运营负责人 Lisa 在采访中透露，慢雾旗下反洗钱 & 链上追踪工具 MistTrack在追踪被盗资金时发现，与币安被盗资金相关的地址与 2025 年初 Phemex 被盗事件中涉及的地址存在关联。此前，慢雾的调查已发现 Phemex 被盗事件与朝鲜黑客组织存在关联。

(https://x.com/MistTrack\_io/status/2116021647279005841)

Lisa 强调，朝鲜黑客组织的优势不仅体现在攻击能力上，也体现在长期积累的资金转移与洗钱基础设施上。被盗加密资产通常会在不同数字钱包之间快速转移，并通过兑换其他加密货币等方式，增加后续追踪和拦截的难度。

攻击从社会工程开始，人员防护同样关键**

**##

谈及朝鲜黑客组织的攻击手段，Lisa 指出，与传统黑客组织直接寻找代码漏洞不同，朝鲜黑客往往从针对人员的社会工程攻击入手。

在具体实施过程中，攻击者通常会先通过伪装身份与开发人员建立信任。慢雾在 2025 年开展的一项调查发现，攻击者曾冒充项目团队，以付费修复软件为由联系开发人员；也有攻击者伪装成投资者，向开发人员提供交易软件供其测试。部分攻击者甚至会提前支付报酬，以此建立信任。

取得信任后，攻击者便可能进一步将恶意代码植入正常的软件开发和协作流程中。他们会对真实且公开可用的软件项目进行修改，并将恶意代码隐藏其中。从表面来看，调试代码、测试功能或修改配置等操作，都可能只是正常开发流程的一部分。

即使开发人员采取了安全措施，也未必能够完全规避此类攻击。 Lisa 举例称，部分开发人员会选择在隔离环境中运行软件，但攻击者可能随后以项目无法正常运行为由，要求其进行看似合理的配置调整，进而削弱原有隔离环境的防护效果，并逐步获取更多控制权限。一旦进入目标公司的内部网络，攻击者便可能进一步窃取凭证，尝试接近与公司资金管理相关的关键系统，同时利用企业自身的工具掩饰攻击活动。

此外，攻击者还会利用受害者的心理弱点，进一步增加事件调查的难度。Lisa 提到，部分员工在意识到自己可能遭到欺骗后，会因为担心承担责任而主动删除相关记录，甚至未能及时报告安全事件。这不仅增加了后续调查和证据收集的难度，也可能为攻击者争取更多时间。