FBI将币安6.3亿美元事件归因于TraderTraitor组织

币安上周出现约6.3亿美元资金流出事件，美国联邦调查局（FBI）与多家链上分析机构将其归因于被追踪为TraderTraitor的朝鲜相关组织。按公开统计，这是加密行业迄今规模最大的单笔事件，约为2025年2月Bybit约15亿美元事件的四倍，后者同样被FBI指向该组织。

事件规模与归因依据

TRM Labs在4月的估算显示，朝鲜相关方面自2017年以来累计涉及金额约60亿美元，本次单笔事件大致使这一数字翻倍。Chainalysis表示，其主要依据是币安相关资金与2025年9月Bitget约3.88亿美元事件所得资金出现合并流向。Chainalysis与TRM均以较高置信度将该事件归因于TraderTraitor。

接触方式：从招聘沟通到代码文件

根据FBI公开材料与Bybit方面的调查，该组织的行动多始于招聘邀约或对可信软件供应商的接触。2024年3月，有人以LinkedIn招聘者身份联系日本钱包软件公司Ginco的一名员工，并发送一份托管在GitHub上的“编程测试”，其中包含的代码使该员工的电脑被控制。两个月后，相关人员使用窃取的会话信息冒充该员工进入Ginco的通信系统，调查人员认为这一访问权限可能被用于操纵来自日本交易所DMM Bitcoin的一笔正常转账请求，该平台随后损失约4503枚比特币，价值约3.08亿美元。

币安事件中的接触过程

币安首席安全官Jimmy Su介绍，2025年9月，一名软件工程师被自称项目总监的人联系。一名自称人力资源代表者对其进行了面试，并分享带有个人照片的社交账号以建立信任；第二轮面试由一名自称CEO者进行，结束时要求该工程师把编程作业下载到工作电脑上。该文件包含的代码随后使相关人员能够使用这台机器以及一个内部AI工具进行操作。

TRM Labs全球政策与政府事务负责人Ari Redbord表示，该组织在技术层面之外更侧重对人的接触，“先接触人，再接触代码”，并会在目标环境中停留数周再集中转移资金。

组织来源与历史记录

公开资料显示，TraderTraitor可追溯至2016至2017年间由朝鲜侦察总局组建的一支专门团队。2025年10月，由11国组成的多边制裁监测小组在报告中将其列入该局第110研究所。该组织还被以Jade Sleet、UNC4899、Slow Pisces等名称追踪，通常被归入外界常称的Lazarus体系。2022年4月，FBI、美国网络安全和基础设施安全局与财政部曾发布联合公告，描述隐藏于加密交易应用中的代码，以及针对交易所、去中心化金融协议与投资者的活动，最早可追溯至2020年。

凭证与权限层面的观察

除上述事件外，FBI曾将该组织关联方与2023年的AlphaPo、CoinsPaid和Atomic Wallet事件联系起来，涉及金额分别约6000万、3700万和1亿美元；LayerZero的取证团队认为KelpDAO跨链桥约2.92亿美元事件也出自该组织。Chainalysis的Tom McLouth表示，进入目标系统后，该组织会寻找云服务登录凭证与密钥以扩大访问范围，并在一次入侵中使用管理员权限关闭多因素认证、取得访问后再将其恢复。他提到，“一把有效密钥不一定代表合法用户”，机构需要同时核查凭证的使用者与使用场景。

资金去向与各方回应

McLouth表示，该组织的目标不止于取得资产，还包括将资产转换为可用形式。在以往案例中，场外交易商将加密资产兑换为法币，这些交易实体多位于监管要求较低的司法辖区。相关转账仍会留下记录，调查人员可据此追踪资金路径。他还提到，从公开数据与法律行动看，这些人员多在朝鲜境外、分布于数十个国家运作，呈分散化趋势。

朝鲜方面否认相关指控。金与正在一份声明中称FBI的结论为“荒谬言论”。

信息来源：CoinDesk