TraderTraitor

FBI、CISA 与美国财政部的联合通报记载，相关活动至少自2020年起即被观察到，目标包括加密货币交易所、DeFi 协议、边玩边赚游戏公司、加密货币交易公司、专注加密领域的风险投资基金，以及持有大量加密货币或高价值 NFT 的个人；系统管理员和 DevOps 等岗位的员工常被锁定。攻击者通过多种通信平台大规模发送鱼叉式网络钓鱼信息，常以高薪招聘为幌子，诱使受害者在 Windows 或 macOS 上下载木马化的加密货币应用。⁠[1]

这些应用使用 JavaScript、Node.js 和 Electron 框架编写，源自开源项目，名称包括伪装成加密货币投资组合应用的 DAFOM、宣传基于人工智能交易的 TokenAIS 与 CryptAIS、以 Windows NSIS 安装程序分发的 AlticGO、声称提供实时币价与预测的 Esilet，以及声称是人工智能与深度学习平台的 CreAI Deck。应用中名为“update”（更新）的函数功能会下载并运行恶意载荷，通报所述载荷为可在 Windows 和 macOS 上运行的远程访问木马 Manuscrypt，可收集系统信息、执行任意命令并下载更多载荷；入侵后的行动会按受害者定制，有时在初次入侵一周内展开。⁠[1]

2022年4月18日，FBI、CISA 与美国财政部发布联合网络安全通报 AA22-108A，标题为“TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies”（TraderTraitor：朝鲜国家支持的高级持续性威胁组织针对区块链公司）。通报称美国政府观察到朝鲜国家支持的行动者使用与 Lazarus GroupLazarus GroupLazarus Group 是网络安全研究和政府公告中使用的朝鲜国家支持网络活动组织名称，涉及间谍活动、破坏性攻击及金融盗窃。不同机构对其范围和分支的划分有所差异；美国财政部将其归于朝鲜侦察总局控制，并于2019年对其实施制裁。点击查看完整词条 相似的手法，业界以 Lazarus Group、APT38、BlueNoroff 和 Stardust Chollima 等名称追踪这一群体；TraderTraitor 原本是美国政府对上述一系列恶意应用的命名。通报还指出，这些手法与此前通报的 Lazarus Group 木马化加密货币应用 AppleJeus 相似。⁠[1]

2023年7月18日，GitHub 首席信息安全官 Alexis Wales 发文披露一场针对科技公司员工个人账户的小规模社会工程活动，并高度确信实施者是支持朝鲜目标的组织，即 CISA 所称的 TraderTraitor。攻击者冒充开发者或招聘人员，在 GitHub、LinkedInLinkedInLinkedIn 是面向职场人士的社交网络平台，2002年由 Reid Hoffman 等人创立、2003年上线，2011年在纽约证券交易所上市，2016年被 Microsoft 以约262亿美元收购后成为其全资子公司，收入来自会员订阅、广告和招聘解决方案。点击查看完整词条、SlackSlackSlack 是面向组织的通信与协作平台，以频道、消息检索和应用集成组织工作，提供音视频沟通、文档协作及 AI 辅助功能。产品于2014年正式商业发布，其开发公司于2021年被 Salesforce 收购。点击查看完整词条 和 TelegramTelegramTelegram 是由 Pavel 与 Nikolai Durov 创办的云端即时通信服务，提供个人聊天、群组、频道、机器人及跨设备访问。服务于2013年推出，运营团队位于迪拜；普通云聊天与端到端加密的秘密聊天采用不同架构。点击查看完整词条 上使用假身份或接管真实账户，邀请目标协作 GitHub 仓库并运行其中代码；仓库内的恶意 npm 依赖作为第一阶段恶意软件，再下载第二阶段恶意软件。受害者多与区块链、加密货币或网络赌博相关，少数与网络安全相关。GitHub 表示其自身和 npm 系统未被入侵，已封禁相关账户并公布入侵指标。⁠[2]

2023年7月24日，Mandiant 发布对 JumpCloud 供应链攻击的分析：攻击始于针对目录服务商 JumpCloud 的鱼叉式网络钓鱼，攻击者在其命令框架中植入恶意代码；6月27日，一段恶意 Ruby 脚本经 JumpCloud 代理在一家下游客户处运行并下载后续载荷。JumpCloud 称受影响客户不足5家、设备不足10台。Mandiant 将实施者记为 UNC4899，高度确信其是朝鲜侦察总局内部专注加密货币的单位，并表示依据可信合作方的情报，UNC4899 很可能对应 CISA 通报中的 TraderTraitor。⁠[3]

2024年12月，FBI 将日本加密货币交易所 DMM Bitcoin 当年5月的被盗事件归因于其追踪为 TraderTraitor 的朝鲜国家关联网络行动者，并列出 Jade Sleet、UNC4899 和 Slow Pisces 等别名。FBI 所述过程为：2024年3月下旬起，攻击者在 LinkedIn 上冒充招聘人员，接触日本加密钱包软件公司 Ginco 的一名员工，以入职前测试为名发送含恶意 Python 代码的 GitHub 项目，攻陷其电脑；5月中旬后，攻击者利用会话 Cookie 冒充该员工进入 Ginco 的通信系统；5月下旬，攻击者很可能篡改了 DMM 的一笔正常交易请求，导致4,502.9枚比特币流失，按当时价格约值3.08亿美元。⁠[4]

FBI 是与美国和日本的调查机构一同作出上述归因的。⁠[5]

2025年2月26日，FBI 发布公共服务公告，称朝鲜应对2025年2月21日前后从 Bybit 盗取约15亿美元虚拟资产一事负责，并将这类活动称为 TraderTraitor。公告称，行动者迅速把部分资金换成比特币等资产，分散到多条区块链上的数千个地址，预计还会进一步洗钱并最终兑换为法币；FBI 呼吁 RPC 节点运营方、交易所、跨链桥、链上分析公司和 DeFi 服务商屏蔽与这些地址相关的交易，并公布了51个以太坊Ethereum（以太坊）Ethereum 是2015年上线的开放式通用智能合约区块链，原生资产为 ether（ETH）。项目由 Vitalik Buterin 提出并由八位联合创始人共同推进；网络现采用权益证明，以 EVM、账户模型、rollup 扩容路线和开放 EIP 流程为核心。点击查看完整词条地址。⁠[6]

2025年4月14日，Palo Alto NetworksPalo Alto NetworksPalo Alto Networks 是一家美国网络安全公司，提供网络防护、云安全、安全运营、身份安全和人工智能安全产品，并通过 Unit 42 提供威胁情报、评估与事件响应服务。点击查看完整词条 旗下 Unit 42 发布报告，称朝鲜国家支持的组织 Slow Pisces 主要为朝鲜政权创收，通常针对大型加密货币机构。该组织在 LinkedIn 上冒充招聘人员接触加密货币开发者，先发送无害的职位说明 PDF，再引导目标运行伪装成编程测试的 GitHub 项目（以 Python 和 JavaScript 为主）；只有经核实的目标才会收到恶意载荷。报告首次披露两种 Python 恶意软件：主要在内存中运行的加载器 RN Loader，以及窃取 macOS 钥匙串、SSH 密钥和 AWS、Kubernetes、Google Cloud 配置文件的 RN Stealer。⁠[7]

2026年9月24日18:31（UTC），BitgetBitgetBitget是2018年上线的数字资产交易平台，提供现货、衍生品、跟单交易、Launchpad、链上交易及其他数字资产服务。平台后来通过控股BitKeep把业务扩展至非托管钱包，并在2025年提出Universal Exchange（UEX）定位，逐步接入股票、黄金、外汇等传统资产产品。Gracy Chen自2024年5月起任首席执行官。Bitget品牌由不同司法辖区的关联实体提供服务，许可、注册、产品范围和用户限制因地区而异。点击查看完整词条 的安全系统发现未经授权的转账，最初统计热钱包和温钱包损失3.516亿美元，后续更新为约3.9006亿美元。Bitget 将攻击者描述为“suspected North Korean threat actors”（疑似朝鲜威胁行为者），首席执行官 Gracy ChenGracy ChenGracy Chen是企业管理者、投资人和数字资产行业从业者，自2024年5月起担任Bitget首席执行官。她早年学习应用数学并从事财经与科技节目主持，2015年开始接触和投资加密资产，之后参与金融科技与虚拟现实创业；2022年6月以首位董事总经理身份加入Bitget，负责全球增长、战略、业务及企业发展。她拥有新加坡国立大学学士学位和麻省理工学院工商管理硕士学位。点击查看完整词条 表示攻击手法“highly consistent with known patterns of North Korean hacker organizations”（与朝鲜黑客组织的已知模式高度一致）。TRM Labs 发现相关钱包与 Bybit 等此前朝鲜攻击存在重叠，认为指向 TraderTraitor；Elliptic 也发现被盗资金与清洗 Bybit 赃款所用地址存在关联。⁠[8]

TRM Labs 表示，2026年10月29日，攻击者从币安在十条区块链上的钱包转出约63.6亿美元，其中大部分在20:05（UTC）起约20分钟内完成，为有记录以来最大的加密资产盗窃案，约为 Bybit 案的四倍；币安估计影响约63亿美元。币安初步调查显示，入侵始于一名 DevOps 工程师被攻陷的笔记本电脑，攻击者进入一个服务容器后提交了未经授权的提现交易，暂未发现钱包私钥泄露。⁠[9]

TRM Labs 在10月29日发文，以“high confidence”（高置信度）将攻击归因于 TraderTraitor。Chainalysis 首席执行官 Jonathan Levin 写道：“We assess Binance hack for $6.4B was likely done by DPRK group TraderTraitor due to links to previous hack.”（我们评估，64亿美元的币安被盗案很可能由朝鲜组织 TraderTraitor 所为，因为与此前的攻击存在关联。）ZachXBTZachXBTZachXBT 是以化名活动的区块链调查员，研究加密资产诈骗、盗窃和资金流向，并担任 Paradigm 事件响应顾问。他通过公开调查、链上分析以及与安全研究者和执法部门的合作参与资产追踪。点击查看完整词条 表示，币安与 Bitget 两案的被盗资金经 THORChainTHORChainTHORChain 是以独立区块链运行的跨链去中心化交易协议，支持比特币、以太币等原生资产兑换。网络使用 RUNE 连接流动池并为节点提供经济担保，由节点运营者采用软件升级和链上参数共同运行。点击查看完整词条 后汇入同一地址，“This indicates the same actor is likely behind both incidents.”（这表明两起事件很可能出自同一行动者。）⁠[10][5]

TetherTether USDt（USD₮）Tether USDt（USD₮，常写作 USDT）是2014年起发行的美元锚定稳定币，前身名为 Realcoin，由 Brock Pierce、Reeve Collins 与 Craig Sellars 联合创办。代币由发行公司在多条区块链上铸造和赎回，锚定依赖储备、发行赎回机制和市场套利，不是去中心化算法稳定币。点击查看完整词条、CircleCircleCircle 是由 Jeremy Allaire 与 Sean Neville 于 2013 年创办的金融科技公司，发行美元稳定币 USDC 和欧元稳定币 EURC，并提供跨链转账、支付网络及区块链基础设施。公司于 2025 年在纽约证券交易所上市，股票代码为 CRCL。点击查看完整词条、RippleRippleRipple 是一家美国金融科技公司，法人名称 Ripple Labs Inc.，向银行、支付机构、基金和企业提供基于区块链与数字资产的跨境支付、数字资产托管、美元稳定币、主经纪商和企业资金管理服务。公司业务大量使用 XRP Ledger 公链及其原生代币 XRP，但两者并不等同于公司本身；2020年至2025年间，公司与美国证交会就 XRP 销售是否构成未注册证券发行打了近五年官司。点击查看完整词条 和 World Liberty FinancialWorld Liberty FinancialWorld Liberty Financial 是2024年9月推出的加密金融企业，由美国总统 Donald Trump 家族与 Steve Witkoff 家族成员等共同创办，发行治理代币 WLFI 并以美元稳定币 USD1 为主要产品。它因 Trump 家族从代币销售中获得大额收入、外国投资方入股及监管审批等问题，持续受到美国国会议员和伦理观察人士关于利益冲突的质疑，公司与白宫均否认存在不当行为。点击查看完整词条 冻结约26.7亿美元稳定币，ArbitrumArbitrumArbitrum是由Offchain Labs开发的以太坊扩容技术及网络体系。其Arbitrum One采用乐观汇总，Nova采用AnyTrust数据可用性方案；相关技术还用于构建专用链。Arbitrum将链外执行与以太坊结算结合，并支持EVM及Stylus合约。点击查看完整词条 安全委员会在其网络上冻结8,426枚 ETH 和7,460万枚 ARB。TRM Labs 表示，攻击者为抢在冻结前转移资金，把 USDT 卖给做市商，并在 AaveAaveAave 是部署在以太坊等多条公有区块链上的去中心化、非托管借贷协议，用户可把加密资产存入资金池赚取利息，或以超额抵押方式借款。协议由 AAVE 代币持有人组成的 Aave DAO 治理。点击查看完整词条 上以 USDT 抵押借出 ETH；攻击者仍持有逾42万枚 ETH 和18,270枚比特币，约值24亿美元，不在任何发行方的冻结范围内。⁠[9]

10月30日，FBI 仅表示“The FBI is aware of the incident and is engaged with relevant public and private partners.”（FBI 已知悉该事件，正与相关公共和私营部门合作伙伴协作。），当时未将事件归因于朝鲜。⁠[11]

10月31日（星期六），FBI 表示朝鲜应对币安安全事件负责，称 FBI 与美国特勤局、美国国税局一同观察到被其称为 TraderTraitor 的朝鲜恶意网络活动。FBI 表示，被盗资产主要被换成以太坊，“It is expected these assets will then be further laundered by converting them using DeFi and instant swap services”（预计这些资产随后将通过 DeFi 和即时兑换服务进一步清洗）。⁠[12]

FBI 请加密货币交易所和链上分析公司屏蔽与多个相关地址有关的交易，并指出 TraderTraitor 也是2025年15亿美元 Bybit 被盗案的实施者。⁠[13][10]

特朗普10月31日（星期六）晚在海湖庄园的万圣节聚会上被问及此事时表示并不担心，称“we’re learning about it”（我们正在了解情况），并说“We don’t know if it’s North Korea - but if it is, we’ll talk to North Korea about it”（我们不知道是不是朝鲜，但如果是，我们会和朝鲜谈这件事）。⁠[13][14]

不同机构对这一活动集群使用不同名称：MicrosoftMicrosoftMicrosoft（微软）是由 Bill Gates 和 Paul Allen 于1975年创办、总部位于美国华盛顿州雷德蒙德的科技公司，业务涵盖 Windows、Microsoft 365、Azure、企业软件、人工智能、游戏和设备。点击查看完整词条 威胁情报称之为 Jade Sleet，GoogleGoogleGoogle是一家美国科技公司，由Larry Page与Sergey Brin创办，1998年注册成立，2015年成为Alphabet旗下企业。其业务涵盖互联网搜索、广告、软件平台、云计算及人工智能。点击查看完整词条 旗下 Mandiant 称之为 UNC4899，Palo Alto Networks 的 Unit 42 称之为 Slow Pisces，并列出 Jade Sleet、TraderTraitor 和 PUKCHONG 等别名。⁠[2][3][7]

美国财政部表示，TraderTraitor 成员被认为属于范围更广的 Lazarus Group。⁠[10]