当前位置：首页 > 资讯 > FBI把币安被盗案件归到TraderTraitor头

币安63亿美金黑客锁定TraderTraitor，和拉撒路什么关系？

2026-11-02 08:58:08 | 来源： | 作者：佚名

FBI 将币安 63 亿美金盗案归为 TraderTraitor，它是拉撒路集团专攻加密资产的分支,本文梳理该黑客团伙作案手法、历史大案、赃款处置现状以及相关通缉人员信息，下面一起来看看正文内容吧

2022 年 4 月，FBI、美国网络安全和基础设施安全局（CISA）、美国财政部联合发过一份通告，编号 AA22-108A。那是这个词第一次正式出现。当时它指的是几款伪装成炒币软件的木马，比如 DAFOM、TokenAIS、CryptAIS，界面做得像模像样，装上去就开始偷私钥。

干这件事的人，业界一直叫 Lazarus Group、APT38、BlueNoroff、Stardust Chollima，这不是四支队伍。Lazarus，也就是拉撒路是总称；APT38（Mandiant）、BlueNoroff（卡巴斯基）、Stardust Chollima（CrowdStrike）是不同安全公司给同一条搞钱的线起的三个名字。

两年后，这个标签落到了具体的行为上。2024 年 12 月 23 日，FBI、美国国防部网络犯罪中心、日本警察厅联合发布 DMM 被盗 3 亿美金案的归因，第一次用"被追踪为 TraderTraitor 的朝鲜网络行为者"这种说法，并列出了它的三个别名：Jade Sleet（微软叫法）、UNC4899（谷歌叫法）、Slow Pisces（Palo Alto 叫法）。

现在信息比较明确了，TraderTraitor 是 Lazarus 这个大集团里，专门做加密资产的，也是现在最来钱的。它至少从 2020 年起就只盯区块链——交易平台、DeFi、钱包服务商、加密基金，还有手里攥着大量币的个人。

从抢银行到抢交易平台

Lazarus 是个伞形名字，底下什么都有，2014 年删索尼影业的硬盘，2016 年从孟加拉央行往外转钱。

比如孟加拉央行这一笔，下手的当时叫 APT38，也叫 BlueNoroff。2016 年 2 月，他们伪造 SWIFT 指令（银行之间转账用的那套国际报文），想从孟加拉央行在纽约联储的账户里转走 10 亿美元。最后成了 8,100 万，因为一笔转账的拼写错误，被中间行拦了下来。

那套研究银行的操作流程、找到人工审核的缝隙、伪造指令的手艺，后来被原样搬到了加密货币交易平台。

差不多 2020 年前后。他们开始升级手法，目标是币圈。原因也好猜，有钱还没有监管，流动性还不错。

下手手段有那么几种。

第一种是假招聘。猎头在 LinkedIn 上找你，聊得挺好，最后发来一个「入职前的编程测试」，或者一个「内部工具」的安装包。装上去，机器就归他们了。Ronin 那 6.2 亿美元，就这么没的。

第二种是供应链。不骗人了，改去污染开发者的工具链：GitHub 上的恶意仓库、npm 上的投毒包、JumpCloud 这种身份服务商。一个人中招，下游一串公司跟着中招。

第三种是直接改交易。日本 DMM 案里，他们偷的是对方的登录凭证，潜进钱包公司 Ginco 的内部通讯，然后改掉一笔本该正常的转账。Bybit 案里，他们黑进 Safe{Wallet} 一个开发者的电脑，往网页前端塞了一段脚本，签名的人看到的还是正常页面，签下去的却是另一笔。

也包括币安这一次。

攻击者提前 36 小时准备，签好 50 份 EIP-7702 授权，也就是以太坊的一个新功能，能让钱包临时「租」一段程序来用，然后让币安的热钱包自己把钱转出来；40 分钟，跨 10 个网络。有安全公司的结论是：他们很可能已经摸到了币安的签名系统。