FBI认定朝鲜黑客盗走了币安64亿美元虚拟货币

原创

网络安全透视镜
网络安全透视镜

网络安全透视镜

2026年11月2日 11:30
江苏

去阅读

10 月 29 日晚上 20:05 UTC，币安 XRP Ledger 上的 5 个热钱包 几乎同时向同一个地址转出 2.33 亿枚 XRP 。接下来半小时里，Solana、NEAR、Base、Optimism、Bitcoin、Tron、Ethereum、Arbitrum、Avalanche 的热钱包被 接连抽干 。23:00 之后，第二波又来了。

两天后，FBI 给出结论：这是朝鲜的 TraderTraitor 干的。 64.3 亿美元，史上最大单笔加密资产盗窃 。

事实是否如此，个人还是有点怀疑的，毕竟在欧美什么坏事都喜欢把帽子扣在社会主义国家阵营。出了事不是中国黑客就是朝鲜黑客，大家当个乐子看了就行了，个人行为也不代表国家行为。

本文看点

01

三小时，十一链，六十四亿

02

从 Provider 到 ROOFDECK 的投递链

03

冻结 28.5 亿与洗钱赛跑

01

THE HEIST

三小时，十一链，六十四亿

事件时间线

20:05 UTC · 攻击开始

5 个 XRP Ledger 钱包向同一地址转出 2.33 亿 XRP，随后半小时内 9 条链的热钱包相继被抽干。

23:00 UTC 之后 · 第二波

Avalanche 与 Polygon 上的币安钱包再次遭到提取。

10 月 29 日 · 全网最大单笔

11 条链、82% 的资产在 Ethereum 与 Bitcoin 上被盗走，Elliptic 核算为 64.3 亿美元。

10 月 31 日 · FBI 归因

FBI 联合 USSS 与 IRS-CI 发布警报，锁定 TraderTraitor，并公布用于洗钱的钱包地址清单。

11 月 1 日 · 币安恢复提现

币安宣布 06:00—09:00 UTC 恢复第一阶段提现，先从比特币网络开始，充值不受影响。

关键数字

64.3亿

美元被盗总额

11

条链被同时抽空

28.5亿

美元已被冻结查扣

32.5亿

美元仍可自由流动

按链拆分的损失

这个数字有多大？Bybit 那起是 14.6 亿美元，这是它的四倍多；2003 年萨达姆从伊拉克央行提走 10 亿美元逃离伊拉克，这是它的六倍多。Elliptic 统计， 朝鲜关联实体近年累计窃取加密资产已超过 65 亿美元 ——这一案几乎把它翻了一倍。

币安表示用 SAFU 基金和公司资金兜底，已 预留超过 63.4 亿美元 ，其中约 50 亿以被盗时的同种代币形式持有，其余部分通过市场和 OTC 买入。

02

DELIVERY CHAIN

从 Provider 到 ROOFDECK

入口不在交易所，在开发者的终端上

Zscaler ThreatLabz 披露的恶意样本叫 terraform-provider-awsbeta\_v1.0.0 ，Go 写成， 伪装成 HashiCorp 官方的 AWS Provider 。手法很朴素：把恶意逻辑塞进 main 直接调用的兄弟包 awsbeta ， Terraform 一加载 Provider 就执行了 。配套的还有一枚一次性标记 session.lock ，落在系统临时目录，用来防重复执行。

下载地址更像真的：域名仿 HashiCorp 品牌，路径仿 Terraform 插件的合法 metrics 接口，看着就是一次正常的插件拉取。

五段投递链

...text

投毒的 Terraform Provider（Go，包名 awsbeta）

→ Bash 跨平台加载器（safari\_updater）

→ 伪装成 .woff 字体的加密载荷（AES-256-CBC）

→ FLATROOF 后门（Rust，跨平台）

→ 嵌入式 Python 窃密器

→ ROOFDECK 远程控制后门

载荷伪装成字体文件

Bash 加载器按操作系统与 CPU 架构拼出 .woff 文件名：Linux 用 NotoSansCJK ，macOS 用 HiraginoSans ，Windows 用 MalgunGothic ，字重对应架构（Bold 对 x86\_64，Regular 对 arm64，ExtraBold 对 ARMv7，Italic 对 32 位 x86）。文件里用 @@ENDFONT@@ 标记真实载荷，后面是 base64 编码加 AES-256-CBC 加密。

脚本会挑 开发机上一定存在的那一个解释器 ，Python、Node.js、Perl 或 OpenSSL 都能上。macOS 上还会先摘掉隔离标记，再补一个 ad-hoc 签名骗过 Gatekeeper。

落盘位置一个比一个像正品

FLATROOF 与 ROOFDECK

FLATROOF 是 Rust 写的跨平台后门，配置用 PBKDF2-HMAC-SHA256 加 AES-256-GCM 加密。C2 分三条腿走： Telegram Bot API 收命令、GitHub API 轮询、攻击者自建 webhook ，断掉任何一条都不影响另外两条。持久化是老套路——Linux 写 systemd 服务，macOS 挂 zlogout，Windows 写注册表 Run。

它内置的 Python 窃密器才是真正目标。Chromium 的 History、Cookies、Login Data、Web Data，Firefox 的 places.sqlite 、 logins.json 、 key4.db ，Linux 上的 Secret Service，macOS 的 login.keychain-db ，Windows 的凭据管理器，以及 MetaMask、Phantom、Trust Wallet、Rabby 四个钱包扩展。

Windows 侧还塞了两个原生小工具：一个 注入挂起的 Chromium 进程以恢复浏览器主密钥 ，另一个是兜底复制 Cookie 的辅助程序。研究者还注意到脚本里注释过密、混着 emoji、异常处理重复、命名风格不统一—— 这套东西，很可能是 AI 写出来的 。

防守侧该怎么查

...bash

1. 临时目录的一次性标记与加载器

find /tmp \"$TMPDIR\" -maxdepth 2 \( -name 'session.lock' -o -name 'safari\_updater' \) 2>/dev/null

2. 伪装成字体的加密载荷

find ~ -name '\*.woff' -size +50k 2>/dev/null | head -50

3. 三个落盘位置

ls -la ~/.config/git/update \

~/Library/com.apple.iTunesCloud/SystemUpdate \

~/AppData/Local/Microsoft/Edge/service.exe

4. C2 与外联域名

grep -R -E 'hashicorp-terraform\.io|arusupport-region1-webhook|servehttp\.com|pastebin\.com' /var/log 2>/dev/null

03

SOCIAL ENGINEERING

招聘邀约、AI 人设与两条供应链

技术链再漂亮，也得有东西把人骗进来。微软的追踪显示，TraderTraitor 用 AI 定制话术、伪造身份、规避检测， 冒充一家 AI 区块链情报公司的招聘者 ，用软件工程师岗位约人面试。

MICROSOFT

The actor leveraged tailored domains, social media profiles, and industry-specific knowledge to pose as recruiters for a spoofed AI-powered blockchain intelligence company, using software engineer-themed opportunities to initiate contact and schedule interviews with individuals who engaged with the outreach.

紧接着，攻击者用两家额外的空壳公司重复同一套话术，基础设施与行业知识都对得上。目标圈得很准：网络安全、AI、区块链，以及 招聘与人才猎头行业的从业者 。

招聘钓鱼的标准剧本

1

在 LinkedIn、Facebook 铺出像模像样的公司主页，伪造身份撑过最初的检查。

2

以 AI 驱动的区块链情报公司身份发起接触，用软件工程师岗位开场约面试。

3

让候选人提交一个看起来无害的 GitHub 仓库，恶意逻辑藏在 npm 或 PyPI 的依赖里。

4

视频面试环节，诱导安装所谓缺失的音频编解码器，或者把命令放进剪贴板让对方执行。

Rust 基金会在 9 月 17 日专门发过警告，提醒 crate owner 留意这类 看起来很正当的视频通话邀请 。

04

MONEY TRAIL

钱往哪儿跑

FBI 的判断是，被盗资产正主要转换成 ETH，再经 DeFi 与即时兑换服务继续洗。理由很直白： 稳定币有发行方，能被冻结；ETH 和 BTC 没有发行方，谁也冻不了 。

Tether 的反应速度值得记一笔。USDT 抵达攻击者的以太坊主钱包后， 37 分钟内就冻结了 11.8 亿 USDT ，接着 17 分钟内又追加冻结 4 个地址；Circle 晚 3 分钟，冻结 8.23 亿 USDC。

洗钱动作的自动化指纹

1

随机化金额——主 Tron 洗钱钱包两天内发出 1,113 笔转账，中位间隔 90 秒，最长停顿 39 分钟，跨越了平壤的夜晚。

2

极速转手——收到资金的地址通常 2 分钟内转出，部分只要 30 秒。

3

时间切片抛售——LINK 被拆成 89 笔、PEPE 94 笔卖出，间隔约 36 秒。

4

模板化开户——新钱包一律先打入 0.5 ETH 付手续费，几分钟内开始交易。

5

无视价格——4.34 亿 USDT 换成 160,451 ETH，隐含 12% 到 26% 的价格损失；先要速度，不要价格。

Aave 上还有一手：另一个钱包抵押 5,990 万 USDT 借出 19,762 ETH，Aave 随后冻结相关市场，贷款已逼近清算线。Tron 上 2.34 亿 USDT 换成 6.38 亿 TRX，拆分后经至少 6 座跨链桥基本全部转为 ETH。Elliptic 还确认， 部分 Tron 资金与 2026 年 9 月 Bitget 攻击的收益混在一起洗 ，两笔赃款已经合并。

05

DEFENSE

给防守方的清单

FBI 在警报里点名了需要负责的一批角色：THORNode 运营者、RPC 节点运营者、即时兑换服务商、DeFi 服务商、区块链分析公司，以及其他虚拟资产服务商。要求是 阻断与这些地址或其衍生地址相关的交易 ，把它们当作与朝鲜洗钱活动相关的风险指标，发现异常资金流就联系当地 FBI 分局，线索报给 IC3。

公开地址清单

FBI 公布的地址清单覆盖 Ethereum、Bitcoin 与 Solana 三条链，数量上千。下面是节选片段， 完整清单请直接取 FBI 警报页原始地址 ，不要依赖二手整理。

...text

ETH（节选）

0x8532FA14ACAf483729C449b8458aedDb900543D4

0xc887aF690E0301CD4edBbCe8F8d31b4EC65B286A

0x897C80d1a9729E94460e2Bd93178bD5215158DF3

BTC（节选）

bc1qxrxujwxfnvz040jw76d26zhjdg5jura7hs968s

bc1qepc70u3u476vgvg3hfcwjgu4mecxe2uchs4lag

SOL

AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaU

NOTE

几个容易踩的坑，先说清楚：FBI 公布的是持有或曾持有被盗资产的地址，既没有标注每条地址当前余额或冻结数量，也不代表全部已被冻结。直接把它当黑名单用会误判——真正要盯的是与这些地址及其衍生地址之间的资金流向，以及各冻结方给出的确切边界。

对开发者与运维

Provider 来源收口

只从官方 Registry 或公司内部镜像安装，锁定版本并校验哈希。

流水线管控

CI 流水线里禁止加载未经审批的第三方 Provider，别让一台构建机成为跳板。

终端基线

临时目录、~/.config、~/Library、~/AppData 下的异常可执行文件纳入监控。

社工防线

MFA 全开；任何面试环节要求安装编解码器、执行剪贴板命令的，一律拒绝。

对链上监控与合规团队

实时地址筛查

接入实时筛查，与清单地址或其衍生地址有交集立即告警。

C2 特征检测

仿冒 HashiCorp 域名、伪装成字体的 .woff 载荷、Telegram Bot API 与 Pastebin、Nostr relay 的异常调用。

∞

THE END

写在最后

这次攻击最值得记下的，不是 64.3 亿这个数字，而是它的路径。币安的热钱包不是被暴力攻破的，交易所的风控也不是没起作用—— 门是从外面开的，开门的人叫开发者 。当攻击者把刀递到开发者手里，你没法指望一个交易所的应急响应团队替整个行业挡刀。

「供应链入口一旦被武器化，防守方再多的边界防护都是在给攻击者筛目标。」

Terraform Provider 这条路能走通是有前置条件的：官方 Registry 里塞进了包，招聘话术把人骗到面试桌，面试里再让人交出一个无害的仓库。这三件事凑齐才成立， 缺一环攻击就落不到实处 。所以防守也不能只盯一个点——供应链来源要审、开发者终端要管、招聘流程要有人把关。

至于剩下的 32.5 亿美元，按 Bybit 案的节奏，洗干净需要数月。这几个月里，每一个跨链、每一次兑换、每一次进交易所，都是一次拦截窗口。FBI 一次性放出上千个地址，等于把这道窗口期的门票发给了全行业。 剩下的，看谁真的接了 。

END

我是 网络安全透视镜

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。