FBI 指责朝鲜对币安 60 亿美元加密货币盗窃案负责

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年11月2日 09:00
湖北

去阅读

导读

美国联邦调查局（FBI）将从币安（Binance）窃取60亿美元的行为归咎于朝鲜，并敦促加密货币公司拦截与被盗资金相关的交易。

美国联邦调查局（FBI）已认定，曹县是2026年10月29日前后从加密货币交易所币安（Binance）窃取超过60亿美元虚拟资产的幕后黑手。该局在一份公开警报中公布了这一调查结果。FBI 明确将此次盗窃归咎于与曹县关联的高级持续威胁组织（APT）“TraderTraitor”，该组织也被追踪为Lazarus Group（拉撒路集团）和APT38。

币安尚未指认肇事者，但区块链分析公司 TRM 已经率先将此次攻击归因于TraderTraitor，而 Chainalysis 也表示对这一结论高度有信心。

“美国联邦调查局（FBI）发布信息称，曹县涉嫌于2026年10月29日前后，从加密货币交易所币安（Binance）窃取超过60亿美元的虚拟资产。FBI将曹县的这一特定恶意网络活动称为‘交易叛徒’。”FBI的声明中写道。

“美国联邦调查局（FBI）联合美国特勤局（USSS）和美国国税局刑事调查局（IRS-CI）的合作伙伴发现，TraderTraitor 团伙主要将被盗资产兑换为以太坊（ETH）。预计这些资产随后将通过去中心化金融（DeFi）和即时兑换服务进一步洗钱，为后续洗钱环节做准备。”

攻击者通过一名工程师的笔记本电脑的访问权限进入服务容器，并发送了未经授权的提现请求。币安表示，目前未发现攻击者盗取任何钱包私钥的证据。

美国联邦调查局（FBI）联合美国特勤局（USSS）以及美国国税局刑事调查局（IRS-CI）发现，TraderTraitor 团伙将被盗资产大多兑换成了以太坊（ETH）。这些机构预计，该团伙下一步将通过去中心化金融（DeFi）和即时兑换服务对资金进行更多洗钱操作，为后续环节做准备。即时兑换服务的名称可谓名副其实。

该警报针对私营企业和执法机构。美国联邦调查局（FBI）、美国特勤局（USSS）以及美国国税局刑事调查司（IRS-CI）正呼吁多类企业协助打击洗钱活动，其中包括支持THORChain网络的THORNode运营方、为应用提供区块链访问权限的RPC节点运营方、即时加密货币交易所、去中心化金融（DeFi）平台、区块链分析公司以及其他加密货币服务提供商。

要求很明确：这些公司应拦截任何涉及 TraderTraitor 所使用钱包地址的交易，包括可追溯至这些地址的资金。据美国联邦调查局（FBI）称，这些地址已接收被盗资金，且由曹县攻击者控制或与他们密切相关。警报中包含了这些地址的完整列表。

如果你运营着上述任何一项服务，首要任务是对照这份清单核查你的黑名单。其次，要关注那些间接涉及这些地址的交易流程——因为联邦调查局要求拦截所有“源自”这些地址的资金，而非仅阻止直接转账。区块链分析公司的命名由来便是如此，因为追踪衍生资金正是他们的核心工作。

美国联邦调查局（FBI）表示，其致力于通过识别、防范并打击朝鲜的网络犯罪及虚拟资产盗窃行为，来保护虚拟资产行业。

TRM 称，攻击者于10月29日从币安（Binance）的十个区块链钱包中转出了约63.6亿美元，其中大部分资金在世界协调时间20:05开始的约20分钟内被转移。这是有史以来规模最大的加密货币盗窃事件，金额约为2025年2月比特币（Bybit）15亿美元黑客攻击事件的四倍。

“2026年10月29日，一名攻击者从币安（Binance）的10条区块链钱包中转移了约63.6亿美元，其中大部分资金在世界协调时20:05开始的约20分钟内被转走。这是有记录以来最大的加密货币盗窃案，金额约为2025年2月Bybit黑客事件15亿美元的四倍。币安已确认发生安全事件，并暂停了多条网络的提现操作。”

TRM实验室表示：“基于可靠的链上和链下情报，TRM实验室将此次攻击归因于曹县顶尖黑客组织TraderTraitor。我们对此判断有高度信心。TRM实验室正在追踪资金流向，并通过信标网络（Beacon Network）向合作伙伴发出预警。”

冻结资金的行动仅取得了部分成效。Tether、Circle、Ripple以及World Liberty Financial冻结了价值约26.7亿美元的稳定币，Arbitrum安全委员会冻结了8426枚ETH和7460万枚ARB，总计约27亿美元。但攻击者抢先一步，向做市商出售USDT，并在Aave平台上以USDT为抵押借入ETH。如今，攻击者持有超过42万枚ETH和1.827万枚BTC，其中约24亿美元的资产脱离了任何发行方的管控范围。

早期的冻结数据也十分混乱，在最初的报告中，Tether 和 Circle 冻结了约 17.9 亿美元与可疑转账相关的稳定币。这些金额对应的是不同时间节点，在未确认其涵盖的资产是否不同之前，不应将它们相加。冻结仅适用于有发行方可以发起操作的代币，而以太坊（Ether）和比特币（Bitcoin）没有发行方。

新闻链接：

https://securityaffairs.com/202221/apt/fbi-blames-north-korea-for-6-billion-binance-crypto-theft.html

今日安全资讯速递

APT事件

Advanced Persistent Threat

1. FBI 指责朝鲜对币安 60 亿美元加密货币盗窃案负责

美国联邦调查局（FBI）将从币安（Binance）窃取60亿美元的行为归咎于朝鲜，并敦促加密货币公司拦截与被盗资金相关的交易。

🔗https://securityaffairs.com/202221/apt/fbi-blames-north-korea-for-6-billion-binance-crypto-theft.html

2. 黑客利用 VMware ESX 零日漏洞降低审计追踪可见性

黑客利用 VMware ESX 零日漏洞，以减少审计踪迹可见性。CrowdStrike披露，该漏洞已被名为“Warp Panda”的威胁组织用于针对美国法律行业的攻击。

🔗https://thehackernews.com/2026/10/china-linked-hackers-exploited-vmware.html

3. 俄罗斯黑客利用 MDaemon 邮件服务器漏洞安装后门，无需用户交互

与俄罗斯有关联的威胁组织正在利用MDaemon 邮件服务器软件中的漏洞在服务器上执行代码。受害者无需打开或点击任何内容。

🔗https://gbhackers.com/mdaemon-mail-server-flaw/

4. VAPOR PANDA 利用 AI 驱动的 ARTEX 扩大全球间谍活动

CrowdStrike OverWatch 监测到一支名为VAPOR PANDA的组织利用 ARTEX 结合 DeepSeek 大语言模型（LLM）以及另一款商用大语言模型，对多个高价值目标并行开展入侵活动。

🔗https://www.crowdstrike.com/en-us/blog/vapor-panda-uses-artex-to-scale-global-campaign/

5. 未知 APT 利用 NetamLoader 攻击为亚洲政府定制的 Win10 系统

卡巴斯基研究人员发现NetamLoader，这是一种基于XAML标记语言构建的.NET加载框架。这似乎是一起针对亚洲政府机构专用的定制版Windows系统的供应链攻击。

🔗https://securelist.com/netamloader/121676/

一般威胁事件

General Threat Incidents

1. SMS of Death：安卓系统遭受攻击，隐形短信可拦截电话和紧急服务

SMS of Death（死亡短信）能让攻击者通过一条隐藏的、无需点击的短信致使安卓通话服务崩溃，进而阻断电话通话，甚至连紧急电话也无法拨打。

🔗https://securityaffairs.com/202184/security/sms-of-death-android-under-attack-an-invisible-sms-can-block-calls-and-emergency-services.html

2. 新型供应链攻击导致 Polymarket 交易者损失 200 万美元以上

与网站监控工具相关的恶意代码旨在劫持已登录的 Polymarket 会话并窃取用户资金。

🔗https://www.securityweek.com/2-million-drained-from-polymarket-traders-in-new-supply-chain-attack/

3. 攻击者利用互联网暴露的 Palo Alto Networks 管理接口中的 PHP2Shell 漏洞

网络安全公司在更新其安全公告时表示，已观察到针对暴露在互联网上的 Palo Alto Networks 管理界面的活跃利用。

🔗https://thehackernews.com/2026/10/attackers-exploit-php2shell-flaws-in.html

4. Hugging Face 恶意软件活动卷土重来，劫持 GPU 进行加密货币挖矿

一场滥用 Hugging Face 模型仓库的加密货币挖矿与后门攻击活动在被取缔后数日内卷土重来。其中有一个模型被下载了超过 28,000 次。

🔗https://www.bleepingcomputer.com/news/security/hugging-face-malware-campaign-returns-to-hijack-gpus-for-crypto-mining/

5. 黑客在 Cursor 市场上分发恶意 Claude Code 扩展以安装持久化 SSH 后门

Microsoft 警告称，通过 Cursor 市场分发的恶意 Claude Code 扩展试图在开发人员工作站上安装持久化 SSH 后门。

🔗https://gbhackers.com/hackers-distribute-malicious-claude-code-extension/

6. Northflank 安全泄露导致客户 AI API 密钥被滥用

云应用托管平台 Northflank 警告客户轮换其平台上存储的所有凭据和密钥，此前发生的安全漏洞导致客户的 AI API 密钥被未经授权使用。

🔗https://www.bleepingcomputer.com/news/security/northflank-security-breach-leads-to-abuse-of-customers-ai-api-keys/

7. Cloudflare 报告显示第三季度网络层 DDoS 攻击达 1820 万次，增长 38%

这家网络基础设施和安全公司表示，其在2026年第三季度自动缓解了1820万次网络层（L3）DDoS攻击和14.4万亿次HTTP DDoS请求。这相当于每天197,400次攻击，或每0.44秒一次攻击。

🔗https://thehackernews.com/2026/10/cloudflare-reports-182-million-network.html

8. 诡异新型信息窃取恶意软件利用人工智能对受害者进行“自动曝光”

这款被命名为“Volta-Autodoxer”的新型恶意软件利用人工智能工具收集受害者的大量数据，包括登录凭证、信用卡号、Discord 会话以及优步外卖（UberEats）的收据。

🔗https://www.wired.com/story/kernel-panic-volta-autodoxer-ai-infostealer-malware/

9. Amatera：这款活跃的信息窃取器的工作原理与传播方式

2026年上半年在拉丁美洲地区位居ESET信息窃取软件检测榜单首位的恶意软件，是网络犯罪走向专业化的一个典型例证。

🔗https://www.welivesecurity.com/en/malware/amatera-how-prolific-infostealer-works-spreads/

10. 日本航空遭受第三方数据泄露，暴露乘客信息

日本航空 (JAL) 宣布，Amadeus 的乘客服务系统发生数据泄露，约 92,000 名客户的数据因此被曝光。

🔗https://www.bleepingcomputer.com/news/security/japan-airlines-suffers-third-party-data-breach-exposing-passenger-info/

11. 黑客泄露超过 40,000 名国土安全部员工的数据

一名黑客在未披露的入侵后泄露了超过 40,000 名 DHS 员工的个人数据，其中包括 CBP、ICE 和 CISA 的员工。

🔗https://securityaffairs.com/202103/data-breach/hacker-leaks-data-on-more-than-40000-homeland-security-employees.html

漏洞事件

Vulnerability Incidents

1. Drupal 警示存在被攻击者利用的严重 Commerce Core 漏洞

Drupal 警告管理员为 Commerce Core 模块修补一个关键的访问绕过漏洞，目前攻击者已在野外利用该漏洞。该漏洞被追踪为CVE-2026-118539，源于一处缺失的授权缺陷，可被未认证攻击者利用，影响 Commerce Core 0.0.0 至 2.41 以及 3.0.0 至 3.3.13 版本。

🔗https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/

2. Alpine Linux 在遭受 RCE 攻击尝试后重建 GitLab

黑客试图利用Alpine Linux开发基础设施中的一个关键GitLab漏洞，出于可能遭入侵的担忧，这个开源项目已重建其GitLab服务器并重置了所有密码。此次攻击针对的是 CVE-2026-97229 这一最高危级别的远程代码执行漏洞，多次导致 GitLab 进程崩溃，部分攻击尝试险些成功。

🔗https://www.bleepingcomputer.com/news/security/alpine-linux-rebuilds-gitlab-after-attempted-rce-attack/

3. CISA 将正在被积极利用的 GitLab RCE 和 Cisco 防火墙 DoS 漏洞添加至 KEV

CVE-2026-97229 （ CVSS评分： 10.0 ） – GitLab Community Edition和Enterprise中的整数溢出或环绕漏洞

🔗https://thehackernews.com/2026/10/cisa-adds-actively-exploited-gitlab-rce.html

4. 黑客利用 Cisco SD-WAN 漏洞植入旨在窃取加密密钥的恶意软件

Cisco Talos在10月28日表示，这种名为KeyDrift的恶意软件旨在复制加密站点之间流量的密钥，并将其存储以供以后使用。

🔗https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html

5. WordPress RCE 漏洞正遭受活跃攻击，超过 58,000 次攻击尝试已被拦截

黑客正试图利用WordPress Core中未经身份验证的远程代码执行漏洞，目标是在软件更新期间的短暂曝光窗口。所提供的Wordfence记录在24小时内报告了58,693次拦截的攻击。

🔗https://gbhackers.com/wordpress-rce-vulnerability-2/

6. 美国 CISA 将 Ivanti Connect Secure 漏洞添加到其已知被利用漏洞目录中

美国CISA将Ivanti Connect Secure漏洞添加到其已知漏洞目录中

🔗https://securityaffairs.com/202175/security/u-s-cisa-adds-ivanti-connect-secure-flaws-to-its-known-exploited-vulnerabilities-catalog.html

7. 共享 ChatGPT 链接可能在您的会话中运行攻击者代码并读取私密聊天

安全公司 Parameter 的研究人员表示，一个恶意的 ChatGPT 分享链接可在打开该链接的用户已登录会话中运行攻击者的代码，从而使攻击者能够读取用户的私人对话。

🔗https://thehackernews.com/2026/10/a-shared-chatgpt-link-could-run.html

8. 黑客在 Microsoft Teams 上冒充 IT 帮助台，通过 AD CS 攻击获取域管理员权限

黑客在 Microsoft Teams 上冒充 IT 帮助台人员以获取远程访问权限并滥用 Active Directory 证书服务 (AD CS)，将经批准的支持会话转化为特权认证路径。Microsoft 于 2026 年 10 月 30 日披露了两起涉及证书模板滥用和 NTLM 中继的入侵事件。

🔗https://gbhackers.com/hackers-impersonate-it-help-desk-microsoft-teams/

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事