TRM Labs 和 ZachXBT 将币安黑客事件归咎于朝鲜的“拉扎鲁斯”组织

调查人员将矛头指向平壤

针对币安攻击者的追查现已锁定主要嫌疑人：区块链分析公司 TRM Labs 将此次攻击归因于“Tradertraitor”（隶属于 Lazarus 生态系统），并称其为朝鲜的精英黑客组织。 该公司基于链上和链下情报，以极高的确信度得出了这一结论，并估算在各资产被盗时，赃款总值约为63.6亿美元。 独立调查员ZachXBT数小时前得出了类似的结论，当被问及此次资金外流的幕后黑手时，他回答道：

“很可能是拉扎鲁斯组织（朝鲜）”

不过，这些帖子并不自动意味着责任已定，目前尚无任何政府正式指认肇事者。 TRM全球政策主管阿里·雷德博德（Ari Redbord）告诉半岛电视台，此次攻击史无前例，日后将被视为加密货币历史上的一个分水岭，他补充道：

“当朝鲜进行如此大规模的盗窃时，这些资金将用于资助武器扩散及其他破坏稳定的活动。”

老套路，但规模扩大四倍

TRM团队认为，此次攻击的实施手法和特征模式与去年初的Bybit盗窃案一致，FBI曾将该案归咎于同一团伙，2026年4月的Kelpdao黑客攻击案亦被归咎于该团伙。 区块链分析公司Chainalysis另行估算，此次被盗金额约为59.12亿美元，几乎是Bybit案的四倍。

此次攻击的准备工作有条不紊，链上研究员 0xQuit 发现，攻击者的中继节点资金来源于此前两天内三次通过 Tornade Cash 提取的资金，每次 0.1 ETH，且一个委托合约于 UTC 时间 15:59 部署完毕。 另一位分析师指出，攻击者早在六小时前就曾使用三个新钱包对此次资金转移进行过演练，清空了多种代币的测试金额。 实际攻击发生在协调世界时（UTC）20:24，当时有167,464 ETH从币安14号热钱包中被转出。 Bitcoin.com News 昨日详细报道了该钱包委托操作的运作机制，以及币安初步调查结果如何指向一名遭入侵的 DevOps 工程师的笔记本电脑。

社交媒体为整个事件增添了一丝戏谑色彩，有评论者声称攻击者在Pump.fun上发行了一枚名为“LAZARUS”的迷因币。Bitcoin.com News无法核实该部署者是否与黑客的钱包有关联。

资金流向

与被盗资金通过跨链桥快速转移的Bybit不同，此次洗钱主要依赖大额交易。TRM表示，攻击者以超过10%的折扣，向做市商出售了约3.25亿USDT，换取了大约122,300 ETH。 此外，攻击者还在 Aave 上以 6000 万 USDT 作为抵押，借出了约 19,760 ETH。 资产冻结行动已追回了大部分资金，币安表示被冻结的总金额已达到约 30 亿美元。 尽管如此，TRM估计攻击者仍持有超过42万ETH和18,270 BTC，约24亿美元的资产已超出发行方的追回范围，其中比特币正通过“剥皮链”进行转移——这是一种将资金拆分为一长串小额转账的洗钱方法。

Onchain Lens 报道称，该团伙正在将超过 10 亿美元的 ETH 转移至新钱包，很可能是为了进行混币。TRM 预计下一阶段将涉及跨链桥、兑换服务以及场外（OTC）经纪商。

加密货币盗窃案创纪录之年

此次盗窃案发生在 Defillama 所称的加密货币史上“被黑客攻击最严重的一年”，2026 年迄今已有超过 80 亿美元被盗。相比之下，2025 年网络犯罪分子在近 150 起事件中共盗取了 28.7 亿美元。

币安遭袭事件发生时，Polymarket 因另一起安全漏洞已暂停交易仅数小时，这充分说明安全团队正同时在多少个战线上奋战。

后续影响或将史无前例

TRM表示正通过其Beacon Network向合作伙伴发出警报，并敦促各交易所对充值资金进行筛查，以排查是否来自已标记的攻击者地址。与此同时，币安承诺将在初步调查完成后发布详细的技术事后分析报告。

当前的关键在于速度，因为攻击者持有的ETH和BTC每多停留一小时未被混币，调查人员就越有时间追踪资金流出路径；而朝鲜的过往记录表明，该组织会在行踪湮灭前试图通过场外交易台套现。