朝鲜：盗梦行动和黑客帝国？

11月4日，全球最大的加密货币交易所币安（Binance）披露了上周发生的重大黑客攻击事件细节。

黑客利用虚假的求职面试和隐藏在广告中的软件入侵了两名币安软件工程师的电脑，然后利用第三名工程师的电脑，从币安的热钱包里盗走价值约63亿美元（约合人民币449亿元）的加密货币。

什么是热钱包？

加密货币交易所会将自己的加密资产分成两部分，一部分存放在联网的设备里，专门用来处理用户即时提现、链上转账，确保用户在交易所操作时不会等很久；另一部分则放在离线的设备里，需要线下手动操作。

前者叫热钱包，相当于银行柜台上的钱。

后者叫冷钱包，是锁在金库里的钱。

热钱包的异常行为触发了内部警报，币安随即采取措施暂停提现、冻结受影响的代币并移除未经授权的权限，快速冻结了价值28.5亿美元的资产。

但仍有大量资产被转移。

在96小时内，黑客在11条区块链上动用约12000个钱包、进行了超过40000笔交易，用跨链跳转、抵押借贷、以币换币、混币等手段，进行高频高速的自动化洗钱。

英国《金融时报》认为，黑客最终拿到了价值约33亿美元的加密货币资产，可能有极小部分已经套现，但要把如此巨大规模的资产洗干净变现（线下兑换和场外交易），还需数月甚至数年时间。

美国联邦调查局（FBI）声称获得了此次事件的情报——这是朝鲜黑客组织做的！

盗窃者乃朝鲜黑客组织TraderTraitor，隶属于拉撒路集团（Lazarus Group）。

该案件跟其他多起加密货币盗窃案类似，是标准的朝鲜式“盗梦行动”（Operation Dream Job），用虚假的求职面试进行渗透，创造黑入系统的机会。

根据韩国统计，2025年朝鲜黑客窃取了至少20.2 亿美元加密资产，是朝鲜当年全国货物出口额（4.69 亿美元）的4.3倍。据TRM Labs测算，在2026年全球高达87亿美元的黑客盗窃加密资产里，朝鲜拿到了接近85%！

他们就是互联网时代“最强大的海盗”！

为什么朝鲜黑客这么强？

教育水平，举国体制，以赛代练和美国制裁。

朝鲜是肯下力气抓教育的，从1956年起普遍实行初等义务教育制，到2014年已经开始实行12年制义务教育，而且以免费教育制为保证。所有儿童只要到了学龄，先在幼儿园接受为期1年的学前义务教育，然后是5年小学、3年初中和3年高中。

朝鲜学生的数学水平相当强，经常能在国际数学奥赛里拿到金牌，队伍总分也经常能杀进全球前10。

有充足的人才，朝鲜才能发展信息技术。

1990年，朝鲜成立了计算机中心（KCC），负责信息技术战略，IT 科研、软件开发、人才培养。

1991年苏联解体，在朝鲜经济遭受重创的同时，一部分在苏联弗伦泽军事学院学习、工作的朝鲜人回国，在美林学院（朝鲜自动化大学）开设计算机科学和编程课程，打开了另一个世界的大门。

1993–1994年爆发朝核危机，朝鲜顶着军事压力，经济困难又赶上换最高首脑，安全焦虑达到高点。

1995年，朝鲜决定开始发展网络对抗能力，要有在战前、战时瘫痪美韩指挥通信、获取情报的能力，1998年在侦查总局下组建第6局（121局）负责相关工作。

据一些叛逃者描述，加入朝鲜黑客意味着更好的待遇（月薪数千美元）、宽敞的公寓和类似科学家的特权（全家平壤户口），还有很强的荣誉感。

必须千里挑一，必须优中选优！

一开始朝鲜黑客还是单打独斗，第一次“组团刷技能”是2009年针对美韩政府网站的“特洛伊行动”——进行大规模分布式拒绝服务（DDoS）攻击，用海量请求瘫痪网站服务。

此后，这种破坏性行动愈演愈烈，目标扩展到韩国的媒体、银行和关键基础设施。

朝鲜黑客在实战中掌握了渗透和获取情报的技巧。

2014年，索尼影业要上映喜剧《采访》（The Interview，国内俗称《刺杀金XX》），遭朝鲜强烈抗议，称这部影片教唆恐怖主义。上映前一个月，索尼遭到自称“和平守卫者”的黑客攻击，导致公司大量内部资料泄露，包括尚未上映的影片、剧本、大量与美国政府、军工部门的往来资料。

虽然朝鲜否认，但美国政府认定就是它干的！

数月后，一家安全公司对索尼事件中的恶意软件进行溯源调查，发现与大量网络攻击用的工具同源，并将这股黑暗力量称为“拉撒路集团”。

2015年，朝鲜遭遇大旱，粮食吃紧，电力不稳，进出口都在下跌，经济全靠卖煤，2016年又遭遇美国推动的煤炭制裁，被迫寻找一切获取外汇的方法。

拉撒路集团从破坏示威转向求财，首要目标就是SWIFT系统。

2016年2月，拉撒路集团成功入侵孟加拉国央行连接SWIFT国际银行报文系统的电脑，以孟央行名义发出转账指令，要求纽约联邦储备银行将孟央行账户里的美元打给其他国家央行。（其他国央行旗下某银行的某个账户才能取出钱）

攻击者一共发出35笔虚假SWIFT转账指令，合计近10亿美元。大部分被纽联储拦截，成功转出约1亿美元，其中一笔将foundation拼成fandation被卡住。

攻击者最终从菲律宾的某银行成功取现8100万美元。

2017年，拉撒路集团将目光投向了加密货币交易所——这简直就是黑客赚钱的天堂，2018年9月前就从5家交易所盗取了近6亿美元的加密货币。

随着网络安全越来越受重视，拉撒路集团开始寻找更多的方法绕过防火墙。

盗梦行动（Operation Dream Job）是其中最好用的。2026年4月，拉撒路集团成员冒充加密货币交易公司的代表，在多个行业会议上与Drift交易所的成员会面，用数月建立关系，最终盗取2.8亿美元加密资产。

如果不能欺骗交易所员工打开恶意软件，拉撒路集团甚至会派人去应聘，打入平台内部。

AI时代来临，拉撒路集团的能力还在快速增强。

一周前，微软警告，在其追踪的8个朝鲜主要黑客组织中，已有3个将AI工具深度融入日常攻击流程，达到微软网络威胁AI应用成熟度模型的最高等级。

由于美国和朝鲜的“敌对关系”，美国司法部和FBI碰不到朝鲜黑客的一根头发，拉撒路集团才能在不停地对抗、试错和成功中持续成长！

这不只是一个“当代海盗”故事，还是先进技术的 “启示录”。

朝鲜的黑客帝国，向世界演示了数字时代一种全新的不对称博弈。传统的国家对抗，比拼的是舰队、火炮和工业产能。但在网络空间，只需要一小批经过严苛训练的顶尖技术人才和几台电脑，就可以远距离搅动全球加密市场，撬动数十亿美元财富。

未来的冲突未必硝烟滚滚，更多较量将由人类和AI写在代码中。