歷史上兩起最大的加密貨幣劫案竟由同一集團操控：FBI 將幣安盜竊案與 TraderTraitor 聯繫起來

加密貨幣產業正面臨一項重大的安全事件：據報導，加密貨幣史上金額最大的兩起盜竊案，均與同一個具有北韓背景的駭客集團有關。

美國聯邦調查局（FBI）已指認 TraderTraitor 為竊取幣安超過 63 億美元數位資產的幕後集團。這項歸因將幣安事件與 2025 年 2 月約 15 億美元的 Bybit 駭客攻擊案連結起來；FBI 此前也曾將後者與同一集團掛鉤。

如果最終的鑑識與法律調查確認上述判斷，這些案件就不只是兩起彼此獨立的交易所遭竊事件。它們共同揭示了具國家背景的網路犯罪集團，正以前所未有的規模，結合社交工程、惡意軟體、錢包基礎設施攻擊，以及複雜的鏈上洗錢技術。

加密貨幣盜竊再創紀錄

據報導，幣安事件已超越 Bybit 攻擊案，成為有史以來金額最大的加密貨幣盜竊案。雖然隨著調查人員追蹤更多錢包並確認受影響資產，相關估算仍可能有所變動，但目前傳出的損失金額已達數十億美元。

FBI 的歸因尤其重要，因為這與區塊鏈情報公司的早期分析相互吻合。據報導，TRM Labs 與 Chainalysis 等機構的研究人員，已在幣安與 Bybit 攻擊案中發現多項相似之處，包括：

• 相近的作案模式
• 反覆使用中介錢包
• 迅速將被盜資金分散至多條區塊鏈
• 使用去中心化服務及跨鏈兌換
• 重疊的洗錢基礎設施
• 先以小額初始轉帳為後續交易做準備

區塊鏈交易原本就具備公開可查的特性，但公開可見並不代表資金容易追回。攻擊者可以將資產拆分成數千筆轉帳，經由多個網路轉移、兌換代幣，並使用提升隱私性的服務，讓資金來源與流向更難追查。

TraderTraitor 是誰？

TraderTraitor 普遍被視為更廣泛的北韓網路犯罪體系中的核心行動分支，該體系通常與 Lazarus Group 有關。

這個名稱反映出其一貫的攻擊手法：鎖定參與加密貨幣交易、區塊鏈開發、數位資產保管及金融基礎設施的人員與組織。其行動包括虛假招募活動、惡意應用程式、身分冒充，以及攻擊能夠存取簽署系統或錢包相關軟體的員工。

美國政府曾多次警告，與北韓有關聯的網路行動者，正利用加密貨幣盜竊為該政權創造收入。FBI 官方網路犯罪資源以及 CISA 發布的警示，提供了更多關於國家支持的網路行動與數位資產威脅的背景資訊。

TraderTraitor 的重要性不僅在於其竊取資產的金額，也在於該集團有能力攻擊區塊鏈系統周邊的人員與組織層面。

重大加密貨幣劫案中的共同模式

幣安與 Bybit 事件，是一連串據稱與 TraderTraitor 或同一個北韓關聯網路有關的攻擊行動之一。

DMM Bitcoin：約 3.08 億美元

2024 年 5 月，日本交易所 DMM Bitcoin 遭受攻擊，損失約 3.08 億美元，相當於當時約 4,502.9 枚 BTC。

調查人員認為，這起事件源於一場社交工程攻擊。攻擊者在 LinkedIn 上以虛假招募為手段，鎖定錢包軟體公司 Ginco 的一名員工。據報導，該員工被誘導執行惡意程式碼，讓攻擊者得以干預公司的營運環境。

這起案件揭示了一項關鍵的安全現實：攻擊者不一定要直接攻破區塊鏈。只要取得開發人員、管理員或交易核准流程的存取權，就可能授權一筆災難性的轉帳。

Bybit：約 15 億美元

2025 年 2 月的 Bybit 攻擊案，當時成為已知金額最大的加密貨幣盜竊案，估計損失約 15 億美元。

FBI 曾公開指認 TraderTraitor 與這起事件有關。這次攻擊也讓外界更加關注交易核准系統、多重簽名架構，以及用於檢視複雜數位資產轉帳的介面所涉及的風險。

多重簽名錢包可以降低單一私鑰遭到入侵的風險，但它並非完整的解決方案。如果多名簽署者遭到欺騙、簽署介面顯示誤導性資訊，或攻擊者入侵周邊基礎設施，多重簽名流程仍可能遭到利用。

KelpDAO：約 2.92 億美元

2026 年 4 月，據報導 KelpDAO 損失約 2.92 億美元。

安全研究人員指出，這起事件呈現出多項與過往 TraderTraitor 活動一致的特徵，包括與 Tornado Cash 有關的小額初始轉帳、提前準備簽署相關交易，以及在主要攻擊發生前精心安排資金流動。

在這類案件中，歸因往往是機率性的，而不是立即便能確定。分析人員會比較交易行為、基礎設施重複使用情況、錢包關聯、惡意軟體模式及轉帳時間，之後才得出結論。

Bitget：據報損失 3.5 億至 3.87 億美元

2026 年 9 月，Bitget 發生一起事件，不同消息來源估計損失介乎 3.5 億至 3.87 億美元。

據報導，分析人員發現，被盜資金與過去被認為涉及 TraderTraitor 活動的錢包存在關聯。疑似重疊之處包括共用的洗錢路線、相似的資金拆分模式，以及後來與其他重大盜竊案資金混合的資產。

當多起盜竊案使用相同的兌換服務、跨鏈橋或中介地址時，區塊鏈調查人員有時便能辨識出更廣泛的行動網路。不過，資金經由共用基礎設施流動，並不能自動證明每起事件都是由同一批人策劃。最終歸因必須結合鏈上證據與鏈下情報。

幣安：超過 60 億美元

據報導，幣安盜竊案發生於 2026 年 10 月，損失金額超過 60 億美元。FBI 現已將事件歸因於 TraderTraitor，使其成為歷史上最大加密貨幣劫案的核心主角。

這起事件的規模之所以引人注目，原因有二。第一，它顯示單次入侵所造成的財務損失，現已足以與傳統金融領域的重大犯罪相提並論。第二，這也表明該集團的技術，已從機會主義式的網路釣魚，演變為針對複雜數位資產生態系統的長期攻擊行動。

為什麼幣安與 Bybit 案件如此重要？

這兩起最大規模的加密貨幣盜竊案彼此相連，將改變業界評估交易所安全性的方式。

1. 區塊鏈可能不是最主要的弱點

在許多大規模事件中，底層區塊鏈協議仍按照設計正常運作。真正的問題往往出現在人員與應用程式和區塊鏈互動的環節：

• 交易所資產保管系統
• 開發人員環境
• 簽署裝置
• 交易核准儀表板
• 雲端基礎設施
• 員工通訊管道
• 第三方錢包軟體
• API 金鑰與存取憑證

因此，區塊鏈安全必須被視為一項端到端的完整工作，而不能只理解為智能合約程式碼的安全問題。

2. 社交工程仍然極為有效

虛假工作機會、投資邀請、合作提案及技術文件，至今仍是非常有效的攻擊媒介。

區塊鏈公司員工經常收到大量未經邀請的訊息。一個惡意檔案或應用程式，可能看起來十分正當，尤其當它被包裝在真實感十足的招募或商務開發對話中時，更容易讓人放下戒心。

因此，組織應假設即使具備豐富技術經驗的員工，也可能成為攻擊目標。安全培訓不應只涵蓋密碼與釣魚連結，還必須包括程式碼儲存庫、遠端存取工具、錢包軟體、瀏覽器擴充功能及簽署流程。

3. 交易檢視介面必須讓人看得懂

一筆交易在高層次上看似合法，細節中卻可能暗藏危險。攻擊者可能操縱代幣授權、合約互動、目的地地址或交易參數。

安全團隊應採用獨立的驗證管道，並要求簽署者確認以下內容：

• 確切的目的地地址
• 要轉移的資產與金額
• 即將授予的合約權限
• 網路與區塊鏈識別碼
• 交易的用途
• 交易是否符合已核准的內部請求

僅因交易出現在熟悉的介面中，便不加思索地核准，可能是數位資產營運中最危險的習慣之一。

4. 鏈上追蹤功能強大，但不代表能立即追回資金

公開帳本讓調查人員能夠追蹤被盜資產，這在許多傳統現金犯罪中往往難以做到。然而，能夠追蹤並不代表一定能夠追回。

攻擊者可能使用：

• 跨鏈橋
• 去中心化交易所
• 代幣兌換
• 多個中介錢包
• 提升隱私性的服務
• 場外交易經紀商
• 只有在長時間延遲後才啟用的休眠錢包

結果便形成調查人員與犯罪分子之間持續不斷的競賽。交易所、資產託管機構、分析公司與執法機關必須迅速共享資訊，因為事件發生後最初幾個小時，往往是最關鍵的時期。

使用者與組織現在可以採取哪些措施？

TraderTraitor 相關案件，為個人使用者與專業加密貨幣團隊提供了切實可行的教訓。

將長期持有資產與活躍交易資金分開

不需要每天交易的資產，不應持續連接至交易所帳戶或面向網際網路的應用程式。採用分隔式資產保管模式，可以在交易帳戶、API 金鑰或工作站遭到入侵時，限制暴露的資產規模。

使用硬體進行交易核准

硬體錢包可以讓私鑰與一般用途的電腦隔離，降低遭到惡意軟體攻擊的風險。不過，硬體裝置並不能取代仔細的交易驗證。使用者在核准轉帳前，仍必須確認地址、網路、金額及合約互動內容。

維持獨立的助記詞備份

錢包的復原助記詞應在離線環境中產生並保存。絕對不應將其輸入網站、通訊應用程式、雲端文件或不明軟體。

使用者也應避免拍攝助記詞照片，或以數位方式複製助記詞。實體備份則應防止未經授權的存取、火災、水損及意外遺失。

將未經邀請的招募訊息視為安全事件

對於在 Web3 領域工作的人而言，工作邀請或合作請求可能其實是攻擊企圖。任何檔案、程式碼儲存庫、視訊會議應用程式、瀏覽器擴充功能及錢包相關工具，在安裝或執行前，都應透過另一個獨立通訊管道進行確認。

為財務資產管理團隊增加營運控管

管理大量數位資產的組織，應考慮採取以下措施：

• 多層且彼此獨立的核准機制
• 地址白名單與提款延遲
• 簽署前進行交易模擬
• 將簽署裝置與通訊裝置分開
• 嚴格依角色分配存取權限
• 緊急暫停程序
• 持續監控錢包活動
• 定期檢視第三方整合服務
• 定期進行事件應變演練

面對資金充足的攻擊者，沒有任何單一控管措施足以提供完整防護。最強大的防線，是技術隔離、流程紀律與快速偵測三者的結合。

這對未來的加密貨幣安全意味著什麼？

近期事件再次印證了威脅環境正在發生更廣泛的轉變。加密貨幣盜竊已不再局限於攻擊防護不佳的個人錢包，或利用明顯的智能合約漏洞。大型犯罪集團正日益鎖定連接人員、應用程式、交易所與區塊鏈的各種基礎設施。

最具價值的安全改進，可能來自以下方面：

• 更完善的簽署介面
• 更清晰的交易模擬功能
• 更強的裝置隔離
• 改善員工安全培訓
• 交易所與調查人員之間更迅速的合作
• 更有效的制裁與資產凍結程序
• 自動偵測可疑資金流動
• 提高資產保管架構的透明度

對整個產業而言，核心教訓十分明確：保護私鑰固然必要，但那只是問題的一部分。保護數位資產，同時也需要確保每筆交易周邊的裝置、身分、應用程式、核准程序與通訊管道安全無虞。

個人使用者可採取的實用防護措施

對於持有大量加密貨幣的個人使用者而言，硬體錢包可以提供重要的防護層，將私鑰操作與連接網際網路的電腦分離。

OneKey 硬體錢包採用離線金鑰隔離與裝置內交易核准的設計。這有助於降低電腦上的惡意軟體暗中竊取私鑰的風險。不過，使用者仍必須仔細核對每筆交易，並遵循安全的備份做法，因為如果復原助記詞遭到洩露，或使用者核准了惡意交易，硬體式資產保管同樣無法保護資金。

幣安與 Bybit 案件說明了，建立自主管理的資產保管機制，應被視為一套完整的安全流程，而不只是購買一部裝置。安全的金鑰生成、離線備份、地址驗證，以及嚴謹的簽署習慣，在防禦日益複雜的加密貨幣盜竊行動時，缺一不可。