太阳底下没有新鲜事，但是有黑洞

又是朝鲜黑客？

Binance 被攻击了。2026 年 10 月 29 日，超过 60 亿美元的加密资产从这家交易所流出。两天后，美国联邦调查局发布声明：这次又是朝鲜黑客。FBI 将这次活动称为 TraderTraitor，并列出一批与被盗资金有关的地址。FBI 通告

近年来，类似的消息出现过很多次。交易所被盗，跨链桥被攻破，钱包里的资产被转移。安全公司开始追踪地址，项目方宣布调查，过一段时间，新闻里出现一个熟悉的名字：Lazarus，或者另一个名字，TraderTraitor。它们通常被描述为与朝鲜有关的黑客活动。

对普通用户来说，消息到这里就很容易有了一个结尾：钱被朝鲜黑客拿走了，找不回来了，大家自认倒霉。朝鲜黑客，也似乎成了部分项目被黑之后的一种通用解释，喜欢把领导人称呼为太阳的朝鲜，已经成为了地缘与链上的默认黑洞。

但事情真的在这里结束了吗？那些钱真的到了朝鲜黑客手里吗？在一笔笔转账中，究竟是哪一步让调查者认定，地址背后站着的是朝鲜人？如果项目内部有人参与，或者不同攻击者只是使用了同一个洗钱服务，又会留下什么不同的痕迹？

这些问题未必都有公开答案。执法机关可能掌握不能公开的证人、账户或情报材料；项目方也可能有尚未公布的日志。本文只沿着现有公开资料，看看一条“朝鲜黑客盗币”的证据链走到了哪里，又在哪里停了下来。

一、这些年，谁把案件指向了朝鲜？

2022 年 3 月，游戏 Axie Infinity 使用的 Ronin 跨链桥遭到攻击。链上两笔交易先后转出了 173,600 枚 ETH 和 2,550 万枚 USDC，当时总价值超过 6 亿美元。同年 4 月，FBI 将这起攻击归因于 Lazarus；美国财政部随后将最初接收资金的地址列入相关制裁名单。FBI 声明

2022 年 6 月，Harmony 的 Horizon 跨链桥损失约 1 亿美元。次年 1 月，FBI 表示 Lazarus 和另一朝鲜关联活动组织是攻击者。FBI 声明

2024 年 5 月，日本交易所 DMM Bitcoin 约 4,502.9 枚 BTC 被盗，案发时价值约 3.08 亿美元。2024 年 12 月，FBI、美国国防部网络犯罪中心和日本警察厅联合将案件归因于朝鲜相关的 TraderTraitor 活动。联合声明

2025 年 2 月，Bybit 损失约 15 亿美元。数日后，FBI 发布通告，将盗窃归因于 TraderTraitor。FBI 通告

2026 年 9 月，Bitget 损失约 3.875 亿美元。平台负责人和一些安全公司认为朝鲜相关组织嫌疑较大；这一表述的确定程度，与 FBI 对 Binance 和 Bybit 发布的正式归因不同。Elliptic 分析

二、一次错误的地址关联，会怎样发生？

先看 Binance 被盗之后的一条消息。

2026 年 10 月 30 日，一名链上分析师发现，约 7,456 万枚 ARB 转进了一个地址。Arkham 曾将这个地址标为“Kelp DAO Hacker”，而 Kelp DAO 在数月前被攻击，当时已有关于朝鲜黑客参与的怀疑。

分析师因此提出：攻击 Binance 和 Kelp DAO 的人，可能是同一批。

很快，她发布了更正。这个地址并不是 Kelp DAO 攻击者的普通钱包，而是 Arbitrum 安全委员会处理冻结资产时使用的地址。进入该地址的 ARB 是被冻结、转移处置的资产，而不是可以据此判断为黑客之间的转账。PANews 保留了初始推测和更正。

这次更正不能证明 Binance 攻击者是谁，更不能证明朝鲜与案件无关。但它展示了一个具体的误判过程：地址确实有关联，标签也确实存在，可地址的角色被理解错了。 如果只看到“Kelp DAO 黑客地址”，没有追问为什么贴上这个标签，很容易把一次冻结行动读成两名黑客的合作。

2023 年的 Euler Finance 案，也出现过一笔引发朝鲜关联猜测的真实交易。Euler 被盗后，攻击地址向 Ronin 案的接收地址转了 100 ETH。后者已经被美国财政部列入 Lazarus 相关制裁名单。查看交易

Chainalysis 当时提出，这可能意味着朝鲜参与，也可能是其他攻击者在误导调查。后来，Ronin 地址向 Euler 攻击者发送消息，引导对方使用解密工具；Euler 团队称，他们掌握的其他线索不支持攻击者与 Lazarus 有关；Coinbase则认为这次接触可能是在诱导对方暴露私钥。

两次攻击是否为同一组织，没有被这些公开材料最终裁决。但这起案件留下了一个具体的问题：钱确实转进了被标为 Lazarus 的地址，转账的人就一定是 Lazarus 吗？

归因判断也确实发生过调整。2024 年初，Chainalysis 估计，朝鲜相关黑客在 2023 年通过 20 起攻击盗走略高于 10 亿美元。同年年底，它把估计调整为 6.605 亿美元：一些原本归于朝鲜的大型案件，进一步调查后被认为可能与朝鲜无关；同时加入了其他较小案件。Chainalysis 的修订说明

TRM Labs 更早在 2023 年表示，一些关于朝鲜盗币的公开统计，可能包含了多起被错误归因的大型攻击。TRM 的报告

两家公司都没有在上述说明中列出这些案件的名称，但是如果把范围扩大到币圈之外，还有一个更明显的技术例子。2018 年平昌冬奥会遭遇网络攻击后，研究人员曾发现与 Lazarus 相符的恶意软件特征。Kaspersky 随后检查发现，其中一项看似吻合的编译器指纹与实际代码不匹配，被人为伪造成了 Lazarus 的样子。Kaspersky 技术报告

2020 年，美国司法部起诉六名俄罗斯军事情报人员，指控他们参与包括冬奥会在内的攻击。美国起诉书 冬奥会不是币圈盗窃案，但它说明，连看起来高度吻合的“指纹”，也可能是攻击者希望调查者看到的东西。

三、两次盗窃，为何被连到了同一个地址？

回到 Binance 和 Bitget。

2026 年 10 月 30 日，链上分析公司 BitOK 发布调查，称 Binance 案和一个月前的 Bitget 案，有部分资金经过兑换后进入了同一个以太坊地址：

0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7

这个地址值得仔细看。BitOK 的报告不是只说“手法相似”：它指出，Bitget 关联资金经过 BTC，再通过跨链协议 THORChain 换成 ETH；Binance 关联资金则经过 TRON 网络，也通过 THORChain 换成 ETH，两条路线最终指向同一地址。BitOK 的调查

我们按照公开索引和交易记录复核，在 10 月 30 日 06:20 UTC 之前，这个地址收到了 13 笔去重后的相关 THORChain ETH 出金。其中，8 笔对应 BTC 入金，合计约 349.4634 ETH；5 笔对应 TRON 入金，合计约 13.6314 ETH。

例如，00:30:11 的一笔出金向这个地址转入约 71.4490 ETH，对应一笔 BTC 入金；04:02:59 的另一笔出金转入约 2.6259 ETH，对应 TRON 网络的 USDT 入金。

BitOK 将前一组与 Bitget 的被盗资金网络关联，将后一组与 Binance 的资金网络关联。这里的金额是该截止时间内特定出金的 ETH 数量，不是两案全部被盗金额；BTC 和 TRON 分支的上游都经过其他地址、资产或资金汇合，不能仅凭出金记录认定每一单位资产的最初来源。跨链对应使用了 THORChain 索引，进一步独立验证还需要核对协议原始状态。

这两路资金指向同一个地址，显然不是一条可以忽略的线索。问题在于：共同地址属于谁？

可能是同一攻击者在处理两次盗窃所得；也可能是两批不同的人，使用了同一个中介或洗钱服务。地址收钱、转钱，在链上可以看到；但谁持有私钥、谁委托谁操作，仅靠这些交易无法回答。

TRM 对 Bitget 的判断不只是“大家都用了 THORChain”。它表示，Bitget 涉案资金与 Bybit、AFX 等既往案件之间存在多个链上关联，并称尚未观察到该洗钱网络为其他团伙服务。不过，TRM 同时承认，它尚未对 Bitget 作出最终归因，其他攻击者在技术上仍然可能。TRM 的 Bitget 分析

另一个值得注意的细节是统计口径。2026 年 10 月 30 日，TRM 在一份汇总报告中，把 Bitget 计入朝鲜盗币总额；同一篇文章的问答部分，又明确写着对 Bitget 尚未作出最终归因，其他攻击者仍有可能。

读到标题的人看到的是一个确定数字；读到问答的人，才会看到其中包含尚未最终确定的案件。TRM 公开了自己的保留意见，但这些保留意见在被转述时还会留下多少？

四、“朝鲜地址”最初是谁标的？

并不存在一种写在区块链里的“朝鲜地址”。标签来自不同机构，出现时间和依据也不同。

Ronin：先有攻击地址，再有官方标签

2022 年 3 月 23 日，Ronin 桥向 0x098B… 释放了 173,600 ETH 和 2,550 万 USDC。这两笔提款及接收地址，可以通过第一笔交易和第二笔交易复核。

我们找到的最早官方公开记录，是 2022 年 4 月 14 日：美国财政部外国资产控制办公室，即 OFAC，将 0x098B… 加入 Lazarus 的制裁条目。同一天，FBI 发布声明，将 Ronin 案归因于朝鲜相关组织。OFAC 更新；FBI 声明

这是目前能找到的最早官方公开标注。公告说明了政府结论，但没有公开足以让外部读者完整复核该地址持有人身份、设备和国家关系的原始材料。

攻击前约 12 分钟，0x098B… 曾收到 1.0569 ETH，付款地址被区块浏览器标为 Binance 20。这笔转账可以核验。但目前没有公开的 Binance 订单、客户 KYC、登录设备或 IP 能让读者把这笔付款对应到一个人；也没有公开材料证明 FBI 的归因一定依靠该线索。

Binance 和 Bitget 的共同地址：找到关联，不等于找到最初的国别标签

对于前面的 0x15104…，10 月 30 日 BitOK 已公开描述两案资金汇合。Bitget 的公开追踪名单后来也列入了该地址。

但我们没有找到足以确认“谁最早把这个具体地址标为朝鲜地址、依据是什么”的公开原始记录。它也没有出现在我们检查的 FBI 2026 年 10 月 31 日 Binance 案地址名单中。不能把 FBI 对 Binance 事件的总体归因，说成它对这个特定地址公开作出的逐项身份证明。

Bitget 名单的 10 月 31 日历史快照已经列入这个地址。更早的 10 月 8 日快照没有它，但由于这条汇合路径发生于 10 月 30 日，10 月 8 日的缺席本身不能证明什么。现有快照不能告诉我们名单具体何时加入该地址、是否使用了 BitOK 的数据，或平台掌握了什么链下资料。

一个被贴上 Lazarus 标签的地址，可能属于什么人？

2019 年 9 月，美国财政部制裁 Lazarus 等组织。Chainalysis 的制裁时间线显示，当时 Lazarus 的 OFAC 制裁条目并没有列出加密地址；Chainalysis 表示，它自己识别出了相关地址。Chainalysis 制裁时间线

2020 年 3 月，美国财政部又制裁了田寅寅和李家东两人，指称他们帮助 Lazarus 洗钱，并公开了与两人相关的加密地址。财政部同时指出，两人是中国籍。美国财政部通告

如果一个分析工具将这些地址显示为“Lazarus 关联”，它可能是说地址与被指控提供洗钱服务的中介有关。把这句话读成“这个地址由朝鲜黑客持有”，就跨过了好几步：中介是谁、客户是谁、中介是否知道资金来源、客户是不是实施攻击的人，都还需要分别证明。

五、证据链在哪些地方完整，在哪些地方断了？

一笔资金要从“项目被盗”走到“朝鲜黑客实施攻击”，至少涉及四个问题：资产是否被未经授权转出；后续资金是否与这次转出有关；地址操作者是否与已知攻击组织有关；该组织或具体人员与朝鲜是什么关系。

案件或线索	公开资料中较清楚的部分	朝鲜关联从何而来	仍需补上的环节
Binance，2026	受害资产转出，部分后续跨链路径可复核；部分资产被冻结。	安全公司作出判断；FBI 于 10 月 31 日归因 TraderTraitor。	原始入侵日志、实际操作者、地址与其身份及国家关系的完整公开证据。
Bitget，2026	平台披露异常转账；部分资金与历史涉案网络和共同地址发生联系。	平台负责人和安全公司认为朝鲜关联可能性高；TRM 保留其他可能。	多客户中介或共用服务是否存在；完整身份与控制权证据。
Ronin，2022	两笔桥提款及接收地址可复核；部分资金后来被追缴。	FBI 归因；OFAC 于 2022 年 4 月 14 日将初始地址加入 Lazarus 条目。	账户 KYC、设备与登录日志，以及本案公开的完整身份取证链。
Euler，2023	攻击地址向被标为 Lazarus 的 Ronin 地址转入 100 ETH；资金后来大部分被返还。	Chainalysis 当时提出朝鲜参与的可能，也指出可能是误导；Euler 和 Coinbase 后续提出反向判断。	攻击者真实身份及两案关系未由这些公开材料最终裁决。
Celas 邮箱，2018	2020 年政府诉状记载 0.003526 BTC 邮箱付款及其所称来源。	政府指控与恶意软件、账户及其他线索关联。	付款哈希、邮箱商订单、被盗币完整路径、相关 IP 的原始日志。
7.676 BTC，2018	一笔 BTC 交易及部分上游 UTXO 可复核。	2023 年起诉书将交易与一名朝鲜银行代表、中介及银行付款联系起来。	从受害钱包到付款的完整路径、聊天与银行原件；地址控制人与付款指令者的具体关系。

这里有的空缺，可能存在于执法机关或交易所掌握的非公开材料里；也有些可能需要进一步调查。表格能说明的，是公众现在能独立看到什么，不能看到什么。

例如 Celas 付款：诉状说，被盗 BTC 经过多次拆分，支付了 celasllc.com 的企业邮箱服务费；另一份起诉书指控朝鲜程序员参与了 Celas 软件的开发和推广。两份材料值得认真对照，但付款哈希、服务商订单和付款人记录没有公开。软件可能与某个活动簇有关，付款可能与软件有关；至于这笔被盗 BTC 如何一路到达邮箱服务商，又由谁付款，外部读者目前还走不完。2020 年诉状；2021 年起诉书

7.676 BTC 的案例更接近现实身份。2023 年起诉书指称，一名朝鲜银行代表发出付款指令，中介提供 BTC，另一方安排香港公司向泰国银行账户支付 49,302 美元。起诉书 ¶23、34–36

那笔 BTC 转账可以查到：它从 1G3Qj4… 向 1Bpf1b… 转出 7.676 BTC。我们往前追到它经过一笔 300 BTC 与约 90.113 BTC 的输入汇合，其中 300 BTC 又来自一次十输入交易。但目前没有公开的完整证据，把这笔 7.676 BTC 一路接回确定归属受害公司的初始钱包；起诉书描述的聊天、银行回执原件也没有完整公开。

这比一个孤零零的地址标签更具体，却仍不能仅凭公开材料证明那位银行代表独占地址私钥，或者他本人实施了最初的入侵。

六、钱到了哪里，谁能回答？

一笔钱从交易所流出，是可以查到的。它经过哪些地址、在哪家交易所停留、有没有进入跨链协议，也可能查到一部分。

但地址上的标签是谁贴的，为什么贴上去，又经过了谁的核验，普通人往往看不到。标签进入另一份报告，另一份报告又进入新闻和统计；再下一次攻击出现时，只要资金碰到这张越来越大的地址网，旧结论就可能成为新结论的起点。

这种方法有它的价值。没有历史线索，调查者很难在成千上万个地址中追到钱。只是，当一个地址可能属于洗钱中介、冻结账户，甚至只是收到过别人主动转来的钱时，“与朝鲜地址有关”究竟是什么意思，就不能省略。

项目被盗后，项目方需要解释损失；用户想知道钱还能不能回来；安全公司和执法机关希望尽快锁定嫌疑人。朝鲜黑客是一个现成的名字：它有历史案件、有制裁名单，也有足够多公开可引用的报告。把一次攻击放进这个名字，很多叙述就顺畅了。

真正困难的部分，恰恰是在名字出现之前：谁操作了系统？谁控制了地址？哪一笔钱经过了中介，哪一笔钱真的落到了攻击者手中？这些问题未必都能公开，但也不能因为答案不方便公开，就当作已经回答过。

朝鲜政府当然可以否认指控；问题是，否认本身也很难让外界看到那些没有公开的交易所记录、设备日志和银行资料。对于许多普通读者而言，听到的往往是项目方的解释、调查公司的标签和政府的结论，却很少有机会看到能够逐项核对的原始证据。

如果下一次钱又不见了，新闻又说是朝鲜黑客，我们或许可以多等一步：先问这个名字是怎么来的。

如果证据始终不公开，项目方只要说一句“朝鲜黑客干的”，公众就很难核实。朝鲜即便否认，也很难逐一证明每个项目的钱不是自己拿的。

钱究竟去了哪里，项目内部有没有人参与，最后都可能随着这一句话，一起消失在太阳下的黑洞里。