TraderTraitor

FBI、CISA 與美國財政部的聯合通報記載，相關活動至少自2020年起即被觀察到，目標包括加密貨幣交易所、DeFi 協議、邊玩邊賺遊戲公司、加密貨幣交易公司、專注加密領域的風險投資基金，以及持有大量加密貨幣或高價值 NFT 的個人；系統管理員和 DevOps 等崗位的員工常被鎖定。攻擊者通過多種通信平臺大規模發送魚叉式網絡釣魚信息，常以高薪招聘為幌子，誘使受害者在 Windows 或 macOS 上下載木馬化的加密貨幣應用。⁠[1]

這些應用使用 JavaScript、Node.js 和 Electron 框架編寫，源自開源項目，名稱包括偽裝成加密貨幣投資組合應用的 DAFOM、宣傳基於人工智能交易的 TokenAIS 與 CryptAIS、以 Windows NSIS 安裝程序分發的 AlticGO、聲稱提供實時幣價與預測的 Esilet，以及聲稱是人工智能與深度學習平臺的 CreAI Deck。應用中名為“update”（更新）的函數功能會下載並運行惡意載荷，通報所述載荷為可在 Windows 和 macOS 上運行的遠程訪問木馬 Manuscrypt，可收集系統信息、執行任意命令並下載更多載荷；入侵後的行動會按受害者定製，有時在初次入侵一週內展開。⁠[1]

2022年4月18日，FBI、CISA 與美國財政部發布聯合網絡安全通報 AA22-108A，標題為“TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies”（TraderTraitor：朝鮮國家支持的高級持續性威脅組織針對區塊鏈公司）。通報稱美國政府觀察到朝鮮國家支持的行動者使用與 Lazarus GroupLazarus GroupLazarus Group 是網絡安全研究和政府公告中使用的朝鮮國家支持網絡活動組織名稱，涉及間諜活動、破壞性攻擊及金融盜竊。不同機構對其範圍和分支的劃分有所差異；美國財政部將其歸於朝鮮偵察總局控制，並於2019年對其實施制裁。點擊查看完整詞條 相似的手法，業界以 Lazarus Group、APT38、BlueNoroff 和 Stardust Chollima 等名稱追蹤這一群體；TraderTraitor 原本是美國政府對上述一系列惡意應用的命名。通報還指出，這些手法與此前通報的 Lazarus Group 木馬化加密貨幣應用 AppleJeus 相似。⁠[1]

2023年7月18日，GitHub 首席信息安全官 Alexis Wales 發文披露一場針對科技公司員工個人賬戶的小規模社會工程活動，並高度確信實施者是支持朝鮮目標的組織，即 CISA 所稱的 TraderTraitor。攻擊者冒充開發者或招聘人員，在 GitHub、LinkedInLinkedInLinkedIn 是面向職場人士的社交網絡平臺，2002年由 Reid Hoffman 等人創立、2003年上線，2011年在紐約證券交易所上市，2016年被 Microsoft 以約262億美元收購後成為其全資子公司，收入來自會員訂閱、廣告和招聘解決方案。點擊查看完整詞條、SlackSlackSlack 是面向組織的通信與協作平臺，以頻道、消息檢索和應用集成組織工作，提供音視頻溝通、文檔協作及 AI 輔助功能。產品於2014年正式商業發佈，其開發公司於2021年被 Salesforce 收購。點擊查看完整詞條 和 TelegramTelegramTelegram 是由 Pavel 與 Nikolai Durov 創辦的雲端即時通信服務，提供個人聊天、群組、頻道、機器人及跨設備訪問。服務於2013年推出，運營團隊位於迪拜；普通雲聊天與端到端加密的秘密聊天採用不同架構。點擊查看完整詞條 上使用假身份或接管真實賬戶，邀請目標協作 GitHub 倉庫並運行其中代碼；倉庫內的惡意 npm 依賴作為第一階段惡意軟件，再下載第二階段惡意軟件。受害者多與區塊鏈、加密貨幣或網絡賭博相關，少數與網絡安全相關。GitHub 表示其自身和 npm 系統未被入侵，已封禁相關賬戶並公佈入侵指標。⁠[2]

2023年7月24日，Mandiant 發佈對 JumpCloud 供應鏈攻擊的分析：攻擊始於針對目錄服務商 JumpCloud 的魚叉式網絡釣魚，攻擊者在其命令框架中植入惡意代碼；6月27日，一段惡意 Ruby 腳本經 JumpCloud 代理在一家下游客戶處運行並下載後續載荷。JumpCloud 稱受影響客戶不足5家、設備不足10臺。Mandiant 將實施者記為 UNC4899，高度確信其是朝鮮偵察總局內部專注加密貨幣的單位，並表示依據可信合作方的情報，UNC4899 很可能對應 CISA 通報中的 TraderTraitor。⁠[3]

2024年12月，FBI 將日本加密貨幣交易所 DMM Bitcoin 當年5月的被盜事件歸因於其追蹤為 TraderTraitor 的朝鮮國家關聯網絡行動者，並列出 Jade Sleet、UNC4899 和 Slow Pisces 等別名。FBI 所述過程為：2024年3月下旬起，攻擊者在 LinkedIn 上冒充招聘人員，接觸日本加密錢包軟件公司 Ginco 的一名員工，以入職前測試為名發送含惡意 Python 代碼的 GitHub 項目，攻陷其電腦；5月中旬後，攻擊者利用會話 Cookie 冒充該員工進入 Ginco 的通信系統；5月下旬，攻擊者很可能篡改了 DMM 的一筆正常交易請求，導致4,502.9枚比特幣流失，按當時價格約值3.08億美元。⁠[4]

FBI 是與美國和日本的調查機構一同作出上述歸因的。⁠[5]

2025年2月26日，FBI 發佈公共服務公告，稱朝鮮應對2025年2月21日前後從 Bybit 盜取約15億美元虛擬資產一事負責，並將這類活動稱為 TraderTraitor。公告稱，行動者迅速把部分資金換成比特幣等資產，分散到多條區塊鏈上的數千個地址，預計還會進一步洗錢並最終兌換為法幣；FBI 呼籲 RPC 節點運營方、交易所、跨鏈橋、鏈上分析公司和 DeFi 服務商屏蔽與這些地址相關的交易，並公佈了51個以太坊Ethereum（以太坊）Ethereum 是2015年上線的開放式通用智能合約區塊鏈，原生資產為 ether（ETH）。項目由 Vitalik Buterin 提出並由八位聯合創始人共同推進；網絡現採用權益證明，以 EVM、賬戶模型、rollup 擴容路線和開放 EIP 流程為核心。點擊查看完整詞條地址。⁠[6]

2025年4月14日，Palo Alto NetworksPalo Alto NetworksPalo Alto Networks 是一家美國網絡安全公司，提供網絡防護、雲安全、安全運營、身份安全和人工智能安全產品，並通過 Unit 42 提供威脅情報、評估與事件響應服務。點擊查看完整詞條 旗下 Unit 42 發佈報告，稱朝鮮國家支持的組織 Slow Pisces 主要為朝鮮政權創收，通常針對大型加密貨幣機構。該組織在 LinkedIn 上冒充招聘人員接觸加密貨幣開發者，先發送無害的職位說明 PDF，再引導目標運行偽裝成編程測試的 GitHub 項目（以 Python 和 JavaScript 為主）；只有經核實的目標才會收到惡意載荷。報告首次披露兩種 Python 惡意軟件：主要在內存中運行的加載器 RN Loader，以及竊取 macOS 鑰匙串、SSH 密鑰和 AWS、Kubernetes、Google Cloud 配置文件的 RN Stealer。⁠[7]

2026年9月24日18:31（UTC），BitgetBitgetBitget是2018年上線的數字資產交易平臺，提供現貨、衍生品、跟單交易、Launchpad、鏈上交易及其他數字資產服務。平臺後來通過控股BitKeep把業務擴展至非託管錢包，並在2025年提出Universal Exchange（UEX）定位，逐步接入股票、黃金、外匯等傳統資產產品。Gracy Chen自2024年5月起任首席執行官。Bitget品牌由不同司法轄區的關聯實體提供服務，許可、註冊、產品範圍和用戶限制因地區而異。點擊查看完整詞條 的安全系統發現未經授權的轉賬，最初統計熱錢包和溫錢包損失3.516億美元，後續更新為約3.9006億美元。Bitget 將攻擊者描述為“suspected North Korean threat actors”（疑似朝鮮威脅行為者），首席執行官 Gracy ChenGracy ChenGracy Chen是企業管理者、投資人和數字資產行業從業者，自2024年5月起擔任Bitget首席執行官。她早年學習應用數學並從事財經與科技節目主持，2015年開始接觸和投資加密資產，之後參與金融科技與虛擬現實創業；2022年6月以首位董事總經理身份加入Bitget，負責全球增長、戰略、業務及企業發展。她擁有新加坡國立大學學士學位和麻省理工學院工商管理碩士學位。點擊查看完整詞條 表示攻擊手法“highly consistent with known patterns of North Korean hacker organizations”（與朝鮮黑客組織的已知模式高度一致）。TRM Labs 發現相關錢包與 Bybit 等此前朝鮮攻擊存在重疊，認為指向 TraderTraitor；Elliptic 也發現被盜資金與清洗 Bybit 贓款所用地址存在關聯。⁠[8]

TRM Labs 表示，2026年10月29日，攻擊者從幣安在十條區塊鏈上的錢包轉出約63.6億美元，其中大部分在20:05（UTC）起約20分鐘內完成，為有記錄以來最大的加密資產盜竊案，約為 Bybit 案的四倍；幣安估計影響約63億美元。幣安初步調查顯示，入侵始於一名 DevOps 工程師被攻陷的筆記本電腦，攻擊者進入一個服務容器後提交了未經授權的提現交易，暫未發現錢包私鑰洩露。⁠[9]

TRM Labs 在10月29日發文，以“high confidence”（高置信度）將攻擊歸因於 TraderTraitor。Chainalysis 首席執行官 Jonathan Levin 寫道：“We assess Binance hack for $6.4B was likely done by DPRK group TraderTraitor due to links to previous hack.”（我們評估，64億美元的幣安被盜案很可能由朝鮮組織 TraderTraitor 所為，因為與此前的攻擊存在關聯。）ZachXBTZachXBTZachXBT 是以化名活動的區塊鏈調查員，研究加密資產詐騙、盜竊和資金流向，並擔任 Paradigm 事件響應顧問。他通過公開調查、鏈上分析以及與安全研究者和執法部門的合作參與資產追蹤。點擊查看完整詞條 表示，幣安與 Bitget 兩案的被盜資金經 THORChainTHORChainTHORChain 是以獨立區塊鏈運行的跨鏈去中心化交易協議，支持比特幣、以太幣等原生資產兌換。網絡使用 RUNE 連接流動池併為節點提供經濟擔保，由節點運營者採用軟件升級和鏈上參數共同運行。點擊查看完整詞條 後匯入同一地址，“This indicates the same actor is likely behind both incidents.”（這表明兩起事件很可能出自同一行動者。）⁠[10][5]

TetherTether USDt（USD₮）Tether USDt（USD₮，常寫作 USDT）是2014年起發行的美元錨定穩定幣，前身名為 Realcoin，由 Brock Pierce、Reeve Collins 與 Craig Sellars 聯合創辦。代幣由發行公司在多條區塊鏈上鑄造和贖回，錨定依賴儲備、發行贖回機制和市場套利，不是去中心化算法穩定幣。點擊查看完整詞條、CircleCircleCircle 是由 Jeremy Allaire 與 Sean Neville 於 2013 年創辦的金融科技公司，發行美元穩定幣 USDC 和歐元穩定幣 EURC，並提供跨鏈轉賬、支付網絡及區塊鏈基礎設施。公司於 2025 年在紐約證券交易所上市，股票代碼為 CRCL。點擊查看完整詞條、RippleRippleRipple 是一家美國金融科技公司，法人名稱 Ripple Labs Inc.，向銀行、支付機構、基金和企業提供基於區塊鏈與數字資產的跨境支付、數字資產託管、美元穩定幣、主經紀商和企業資金管理服務。公司業務大量使用 XRP Ledger 公鏈及其原生代幣 XRP，但兩者並不等同於公司本身；2020年至2025年間，公司與美國證交會就 XRP 銷售是否構成未註冊證券發行打了近五年官司。點擊查看完整詞條 和 World Liberty FinancialWorld Liberty FinancialWorld Liberty Financial 是2024年9月推出的加密金融企業，由美國總統 Donald Trump 家族與 Steve Witkoff 家族成員等共同創辦，發行治理代幣 WLFI 並以美元穩定幣 USD1 為主要產品。它因 Trump 家族從代幣銷售中獲得大額收入、外國投資方入股及監管審批等問題，持續受到美國國會議員和倫理觀察人士關於利益衝突的質疑，公司與白宮均否認存在不當行為。點擊查看完整詞條 凍結約26.7億美元穩定幣，ArbitrumArbitrumArbitrum是由Offchain Labs開發的以太坊擴容技術及網絡體系。其Arbitrum One採用樂觀彙總，Nova採用AnyTrust數據可用性方案；相關技術還用於構建專用鏈。Arbitrum將鏈外執行與以太坊結算結合，並支持EVM及Stylus合約。點擊查看完整詞條 安全委員會在其網絡上凍結8,426枚 ETH 和7,460萬枚 ARB。TRM Labs 表示，攻擊者為搶在凍結前轉移資金，把 USDT 賣給做市商，並在 AaveAaveAave 是部署在以太坊等多條公有區塊鏈上的去中心化、非託管借貸協議，用戶可把加密資產存入資金池賺取利息，或以超額抵押方式借款。協議由 AAVE 代幣持有人組成的 Aave DAO 治理。點擊查看完整詞條 上以 USDT 抵押借出 ETH；攻擊者仍持有逾42萬枚 ETH 和18,270枚比特幣，約值24億美元，不在任何發行方的凍結範圍內。⁠[9]

10月30日，FBI 僅表示“The FBI is aware of the incident and is engaged with relevant public and private partners.”（FBI 已知悉該事件，正與相關公共和私營部門合作伙伴協作。），當時未將事件歸因於朝鮮。⁠[11]

10月31日（星期六），FBI 表示朝鮮應對幣安安全事件負責，稱 FBI 與美國特勤局、美國國稅局一同觀察到被其稱為 TraderTraitor 的朝鮮惡意網絡活動。FBI 表示，被盜資產主要被換成以太坊，“It is expected these assets will then be further laundered by converting them using DeFi and instant swap services”（預計這些資產隨後將通過 DeFi 和即時兌換服務進一步清洗）。⁠[12]

FBI 請加密貨幣交易所和鏈上分析公司屏蔽與多個相關地址有關的交易，並指出 TraderTraitor 也是2025年15億美元 Bybit 被盜案的實施者。⁠[13][10]

特朗普10月31日（星期六）晚在海湖莊園的萬聖節聚會上被問及此事時表示並不擔心，稱“we’re learning about it”（我們正在瞭解情況），並說“We don’t know if it’s North Korea - but if it is, we’ll talk to North Korea about it”（我們不知道是不是朝鮮，但如果是，我們會和朝鮮談這件事）。⁠[13][14]

不同機構對這一活動集群使用不同名稱：MicrosoftMicrosoftMicrosoft（微軟）是由 Bill Gates 和 Paul Allen 於1975年創辦、總部位於美國華盛頓州雷德蒙德的科技公司，業務涵蓋 Windows、Microsoft 365、Azure、企業軟件、人工智能、遊戲和設備。點擊查看完整詞條 威脅情報稱之為 Jade Sleet，GoogleGoogleGoogle是一家美國科技公司，由Larry Page與Sergey Brin創辦，1998年註冊成立，2015年成為Alphabet旗下企業。其業務涵蓋互聯網搜索、廣告、軟件平臺、雲計算及人工智能。點擊查看完整詞條 旗下 Mandiant 稱之為 UNC4899，Palo Alto Networks 的 Unit 42 稱之為 Slow Pisces，並列出 Jade Sleet、TraderTraitor 和 PUKCHONG 等別名。⁠[2][3][7]

美國財政部表示，TraderTraitor 成員被認為屬於範圍更廣的 Lazarus Group。⁠[10]