历史上规模最大的两起加密货币劫案由同一团伙实施：FBI 将币安失窃案与 TraderTraitor 联系起来

加密货币行业正面临一项重大的安全动态：据报道，加密货币历史上规模最大的两起盗窃案均被归因于同一个与朝鲜有关联的黑客组织。

美国联邦调查局（FBI）已确认，TraderTraitor 是窃取币安超过 63 亿美元数字资产的团伙。此次归因将币安事件与 2025 年 2 月约 15 亿美元的 Bybit 黑客攻击事件联系起来，FBI 此前也曾将后者与同一团伙关联起来。

如果最终的取证和法律调查证实这些结论，那么这两起案件就不仅仅是两次孤立的交易所入侵事件。二者共同表明，与国家有关联的网络犯罪团伙正在以前所未有的规模，将社会工程、恶意软件、钱包基础设施攻击以及复杂的链上洗钱技术结合起来。

加密货币盗窃案再创新纪录

据报道，币安事件已经超过 Bybit 攻击事件，成为有记录以来规模最大的加密货币盗窃案。尽管随着调查人员追踪更多钱包并确认受影响资产，相关估算可能会发生变化，但目前报告的损失金额已达到数十亿美元。

FBI 的归因尤为重要，因为这一结论与区块链情报公司的早期分析相吻合。据报道，TRM Labs 和 Chainalysis 等机构的研究人员发现，币安和 Bybit 攻击事件之间存在多项相似之处，包括：

• 相似的行动模式
• 反复使用中间钱包
• 通过多条区块链快速转移被盗资金
• 使用去中心化服务和跨链兑换
• 重叠的洗钱基础设施
• 使用小额初始转账，为后续交易做准备

区块链交易从设计上就是公开的，但公开可见并不意味着资金就容易追回。攻击者可以将资产拆分成数千笔转账，通过多个网络进行转移，兑换代币，并使用增强隐私性的服务来增加追踪和归因的难度。

TraderTraitor 是谁？

TraderTraitor 被普遍认为是更广泛的朝鲜网络犯罪生态中的核心行动分支，该生态通常与 Lazarus Group 联系在一起。

该团伙的名称反映了其一贯采用的一种策略：针对参与加密货币交易、区块链开发、数字资产托管和金融基础设施的个人与组织。其行动包括发起虚假招聘活动、传播恶意应用程序、冒充他人，以及攻击能够访问签名系统或钱包相关软件的员工。

美国政府曾多次警告称，与朝鲜有关联的网络行为者利用加密货币盗窃为该政权创收。FBI 官方网络犯罪资源以及 CISA 发布的公告，为国家支持的网络行动和数字资产威胁提供了更广泛的背景信息。

TraderTraitor 的重要性不仅在于其窃取资产的价值，还在于该团伙具备攻击区块链系统外围人员和组织层面的能力。

重大加密货币劫案中的共同模式

币安和 Bybit 事件是更广泛攻击序列的一部分，而这些攻击被认为与 TraderTraitor 或同一朝鲜关联网络有关。

DMM Bitcoin：约 3.08 亿美元

2024 年 5 月，日本交易所 DMM Bitcoin 遭受攻击，损失约3.08 亿美元，按当时价格计算约合 4,502.9 枚 BTC。

调查人员认定，此次事件源于一场社会工程攻击。攻击者在 LinkedIn 上采用虚假招聘方式，针对钱包软件相关公司 Ginco 的一名员工实施攻击。据报道，该员工被诱导执行恶意代码，使攻击者得以干扰该公司的运营环境。

该案例揭示了一个关键的安全现实：攻击者并不总是需要直接攻破区块链。只要能够获取开发人员、管理员的权限，或控制交易审批流程，就可能足以授权一笔灾难性的转账。

Bybit：约 15 亿美元

2025 年 2 月发生的 Bybit 攻击成为当时已知金额最大的加密货币盗窃事件，预计损失约为 15 亿美元。

美国联邦调查局（FBI）公开将该事件归因于 TraderTraitor。此次攻击也引发了人们对交易审批系统、多重签名机制，以及用于审核复杂数字资产转账的界面所存在风险的关注。

多重签名钱包可以降低单个密钥遭到入侵所带来的风险，但它并非完整的解决方案。如果多名签名者受到欺骗、签名界面显示误导性信息，或者攻击者攻破了相关基础设施，多重签名流程仍然可能被利用。

KelpDAO：约 2.92 亿美元

据报道，KelpDAO 于 2026 年 4 月遭受了约 2.92 亿美元的损失。

安全研究人员指出，该事件呈现出若干与此前 TraderTraitor 活动相符的特征，包括与 Tornado Cash 相关的小额初始转账、提前准备与签名相关的交易，以及在主要攻击发生前经过精心安排的资金转移。

在此类案件中，归因往往是基于概率的判断，而不是能够立即得出的结论。分析人员会比对交易行为、基础设施复用情况、钱包之间的关联、恶意软件特征以及转账时间等信息，然后再得出结论。

Bitget：据报道损失 3.5 亿至 3.87 亿美元

据不同来源估计，2026 年 9 月发生的一起涉及 Bitget 的事件造成的损失在 3.5 亿至 3.87 亿美元之间。

据报道，分析人员发现，被盗资金与此前和 TraderTraitor 相关活动存在关联的钱包之间存在联系。疑似重合之处包括共用的洗钱路径、相似的资金拆分模式，以及后来与其他重大盗窃事件资金发生混合的资产。

当多起盗窃事件使用相同的兑换服务、跨链桥或中间地址时，区块链调查人员有时能够识别出一个更广泛的行动网络。但与此同时，资金经由共同基础设施流转，并不能自动证明所有事件都是由同一批人员实施的。最终归因需要将链上证据与链下情报结合起来。

Binance：超过 60 亿美元

据报道，Binance 盗窃事件发生于 2026 年 10 月，损失超过 60 亿美元。美国联邦调查局将其归因于 TraderTraitor，这使该组织成为加密货币历史上最大劫案的核心嫌疑方。

此次事件的规模之所以引人注目，原因有二。首先，它表明，单次入侵造成的经济影响如今已经可以与传统金融领域的重大犯罪相提并论。其次，这说明该组织的技术已经从机会主义式网络钓鱼，演变为针对复杂数字资产生态系统的长期行动。

Binance 与 Bybit 案件为何重要

这两起金额最大的加密货币盗窃案之间的联系，改变了整个行业评估交易所安全性的方式。

1. 区块链可能并不是最主要的薄弱环节

在许多大规模事件中，底层区块链协议仍在按照设计正常运行。真正的问题出现在人员和应用程序与区块链交互的环节：

• 交易所托管系统
• 开发人员环境
• 签名设备
• 交易审批控制面板
• 云基础设施
• 员工沟通渠道
• 第三方钱包软件
• API 密钥和访问凭证

因此，区块链安全必须被视为一项端到端的系统性工作，而不能仅仅归结为智能合约代码的问题。

2. 社会工程攻击依然极其有效

虚假的工作机会、投资机会、合作提案以及技术文档，仍然是极具杀伤力的攻击途径。

在区块链公司工作的员工经常会收到大量未经请求的消息。恶意文件或应用程序可能看起来完全合法，尤其是当它被嵌入一段看似真实的招聘或业务拓展对话中时。

因此，组织应假定即使是技术经验丰富的员工，也可能成为攻击目标。安全培训不仅需要涵盖密码和钓鱼链接，还应包括代码仓库、远程访问工具、钱包软件、浏览器扩展程序以及签名流程。

3. 交易审查必须便于人工理解

一笔交易从整体上看可能是合法的，但其中可能包含危险细节。攻击者可能操纵代币授权、合约交互、目标地址或交易参数。

安全团队应使用独立的验证渠道，并要求签名者确认：

• 目标地址的完整内容
• 转移的资产及数量
• 即将授予的合约权限
• 网络和链标识符
• 交易的目的
• 交易是否与已获批准的内部请求相符

仅仅因为一笔交易出现在熟悉的界面中，就盲目批准它，是数字资产运营中最危险的习惯之一。

4. 链上追踪功能强大，但并非即时完成

公开账本使调查人员能够追踪被盗资产，而这种能力在传统现金案件中往往无法实现。然而，能够追踪并不意味着一定可以追回资产。

攻击者可能使用：

• 跨链桥
• 去中心化交易所
• 代币兑换
• 多个中间钱包
• 增强隐私的服务
• 场外交易经纪商
• 仅在长时间延迟后才启用的休眠钱包

这导致调查人员与犯罪分子之间展开一场持续的竞赛。交易所、托管机构、分析公司和执法机构必须迅速共享信息，因为事件发生后的最初几个小时可能至关重要。

用户和组织现在可以采取哪些措施

TraderTraitor 案件为个人用户和专业加密团队都提供了切实可行的经验教训。

将长期持有资产与活跃交易资金分开

日常交易不需要使用的资产，不应继续连接到交易所账户或面向互联网的应用程序。采用分隔式托管模式，可以在交易账户、API 密钥或工作站遭到入侵时，限制暴露的资产数量。

使用基于硬件的交易批准方式

硬件钱包可以让私钥与通用计算机隔离，从而降低遭受恶意软件攻击的风险。不过，硬件设备并不能取代谨慎的交易验证。用户在批准转账前，仍必须检查地址、网络、金额和合约交互内容。

保存独立的助记词备份

钱包的恢复短语应离线生成并保存。绝不应将其输入网站、即时通讯应用、云文档或未知软件。

用户还应避免拍摄恢复短语的照片，或以数字方式复制恢复短语。实体备份应防止未经授权的访问、火灾、水灾和意外丢失。

将未经请求的招聘消息视为安全事件

对于从事 Web3 工作的人来说，招聘邀约或合作请求可能是攻击尝试。文件、代码仓库、视频会议应用、浏览器扩展程序以及与钱包相关的工具，在安装或运行前，都应通过独立的通信渠道进行验证。

为资金管理团队增加运营控制措施

管理大量数字资产的组织应考虑采取以下措施：

• 多层相互独立的审批机制
• 地址白名单和提现延迟
• 签名前进行交易模拟
• 将签名设备与通信设备分开
• 严格的基于角色的访问控制
• 紧急暂停流程
• 持续监控钱包活动
• 定期审查第三方集成
• 定期开展事件响应演练

面对资金雄厚的对手，任何单一控制措施都不足以提供充分防护。最强有力的防御来自技术隔离、流程纪律和快速检测的结合。

这对加密货币安全的未来意味着什么

最近发生的事件进一步印证了威胁形势正在发生更广泛的变化。加密货币盗窃已不再局限于攻击安全措施薄弱的个人钱包，或利用明显的智能合约漏洞。大型犯罪团伙正越来越多地将目标转向连接用户、应用程序、交易所与区块链的基础设施。

最有价值的安全改进可能来自以下方面：

• 更完善的签名界面
• 更清晰的交易模拟
• 更严格的设备隔离
• 更完善的员工安全培训
• 交易所与调查机构之间更快速的协作
• 更有效的制裁与资产冻结流程
• 自动检测可疑资金流动
• 提高托管架构的透明度

对于整个行业而言，核心教训十分明确：保护私钥是必要条件，但只是问题的一部分。保护数字资产还需要确保围绕每笔交易的设备、身份、应用程序、审批流程以及通信渠道都安全无虞。

为个人用户提供的实用防护层

对于持有大量加密货币的个人而言，硬件钱包可以通过将私钥操作与联网电脑隔离开来，提供重要的防护层。

OneKey 硬件钱包采用离线密钥隔离和设备端交易审批的设计理念。这有助于降低电脑上的恶意软件在用户不知情的情况下窃取私钥的风险。不过，用户仍应仔细核实每笔交易，并遵循安全的备份实践，因为如果助记词泄露，或用户批准了恶意交易，基于硬件的钱包托管也无法保护资金安全。

币安和 Bybit 发生的案件表明，自托管应被视为一套完整的安全流程，而不只是购买一台设备。面对日益复杂的加密货币盗窃活动，安全生成密钥、离线备份、核验地址以及养成严谨的签名习惯，都至关重要。