币安 60 亿美元黑客事件
好，Redbord，你在 TRM Labs 工作。TRM Labs 总是在大型交易所遭黑客攻击时冲到一线。我先问这个：币安交易所被黑的那一天，过去仿佛只是个神话，从没真正发生过，只存在于我们的想象里，但它终于来了。你们原本预料到会发生这种事吗？在你设想的未来里，币安被黑算是可能事件，还是你看到消息时仍然很意外？
David，谢谢你在这么紧张的时刻邀请我来聊。如果我看起来比平时邋遢，是因为正如你说的，过去 24 小时我几乎没怎么睡。我觉得黑客越来越老练，我们看到的金额也越来越大。大约一年前，如果你告诉我 Bybit 会遭遇 15 亿美元的黑客攻击，我会觉得这太离谱了。那时我们说的是朝鲜最多一年偷 10 亿美元，结果他们一天就做到了。过去六年左右，我们看到朝鲜大约窃取了 67 亿到 80 亿美元，昨天晚上他们又偷了 60 亿美元。所以，发动这些攻击的威胁者越来越成熟；加密生态里的资金也越来越多，这让加密行业成了这类网络攻击的目标。我们之后可能还会谈到，AI 正在大幅增强这类行动。你问我是否惊讶币安遭遇 60 亿美元攻击？在眼下这个生态里，最近发生什么我都不太会惊讶了。
TRM 的战情室
消息在大约 12 个多小时前传出，也就是美国东部时间昨晚六七点左右。Ari，过去半天你都在忙什么？带我们看看你的生活。
这是个好问题。我看到整个生态以非常特别的方式团结起来。我们肯定会谈到 Tether 和 Circle 的工作，还有更多参与者。但我也为 TRM 的应对感到自豪。消息一出，团队立刻联系客户；一些可能受影响的小型交易所，以及我们的合作伙伴也联系了币安。我们是一家远程优先的公司，所以在 Slack 里开了战情室，由区块链情报团队和全球调查团队协调，并联系 Beacon Network 的伙伴。Beacon Network 是一个可信赖的网络，能让我们在这个生态中快速分享信息、互相协作。 Beacon Network 是加密生态里最大的信息共享网络，覆盖了大约 85% 的中心化加密货币交易量。币安、Coinbase、Kraken、OKX、Robinhood、Stripe、PayPal 等机构，以及全球 100 家执法机构，都会在这样的夜晚协调行动，调动资源、迅速响应。我会说，这是全员出动、真正进入战情室状态。我也想尽快把信息传递给社区，所以昨晚一直赶着写最终发布的报告。我的同事 Nick Carlson 非常谦虚，但我认为他是全球最了解朝鲜和加密货币的人之一。他当时也在尽可能联系内外部的所有人，协调这项工作。
冻结数十亿美元并追踪资金
你、TRM 和 Beacon Network 昨晚做了这么多工作，是不是因此才保住了资金、冻结了资产、追回了用户的钱？能不能讲讲这些行动带来了哪些实际成果？
我不会把功劳归给自己或某一个人。我觉得 Beacon 做的，是把整个社区组织起来。资金实时流动时，执法调查人员、ZachXBT 等民间调查者会标记正在转移的非法所得，并向网络发出警报。真正做事的是这些调查者标记地址，交易所随后拦截，并配合执法部门追回资金。
昨晚除了 Beacon 网络之外，最重要的两个参与者肯定是 Circle 和 Tether，它们的行动非常了不起。对这次攻击，我认为有两个大新闻。首先，这相当于人类历史上规模最大、远超以往的银行抢劫案。我曾参与 Netflix 纪录片《史上最大劫案》（The Biggest Heist Ever），当时讲的是 7000 万美元；Bitfinex 案追回了 42 亿美元。而这次被盗金额之大，远超我们想象。但数字本身虽然重要，真正值得讲的是应对过程：昨晚 Tether 和 Circle 冻结了被盗资金的 40%，约 24 亿美元，而且大约在攻击发生后一小时内就完成了。这展现了加密生态在合规、技术和调查方面的能力。被盗金额是大新闻，但昨晚追回的金额也超过了历史上任何一次黑客攻击的追回额，这同样是非常重要的事。
事情才刚发生，现在大概是第十五、十六个小时。接下来还有什么要处理？直播结束、回去工作后还要做什么？我知道你还没睡，希望你很快能休息一下。以太坊和比特币这些无需许可、不可篡改的资产已经转走，确实很难追回。今天、这个周末和下周还要做哪些事？
希望你说得不完全对。我确实觉得追回会很难。在去中心化生态里，资金开始分散、转往别处，或者通过小型场外交易商换成现金，追回就会越来越困难。不过，Beacon Network 加上执法部门与交易所社区如今的合作，仍让我觉得有希望。
给听众一个直观印象：攻击发生时，我们一直在看资金从币安流出。我们昨晚的报告里放了不少图表，希望能把过程展示清楚。看到资金移动，我们就统计金额、追踪去向、给目的地址贴标签，盯着每一美元的流动。稳定币发行方有很独特的能力，可以立即冻结——或者按我的说法，销毁——再重新发行资产。也就是说，可以把资金从非法行为者的钱包里取出，转入一个无法访问的钱包。这种能力非常惊人。
至于以太币、比特币等其他资金，随着洗钱过程推进，追踪会困难得多，但并非不可能。朝鲜试图通过交易所把这些钱换出去时，我们需要动用 Beacon Network，也要运用法律程序去拦截并追回资金。
冻结数十亿美元并追踪资金（续）
……并最终追回这些资金。问题在于，尽管这次追回行动非常了不起，Circle 和 Tether 昨晚为整个生态所做的一切都值得称赞，但即便冻结了这些钱，这仍然是有史以来规模最大的黑客攻击，大约是第二名的两倍。金额实在太大了。
最后我还想说，这次攻击涉及朝鲜。一般说到黑客或网络犯罪分子，他们会把钱用于各种目的，可能纯粹是贪婪，想赚钱、买车、买游艇，就像 Bitfinex 案中的一些人那样。但如果是朝鲜，问题就变成了破坏稳定、核武器野心，以及动摇朝鲜半岛乃至更广范围的稳定。朝鲜经济规模据估计大约是 200 亿美元，怎么说都是个非常贫困的国家；他们昨晚偷了 60 亿美元，相当于整个经济总量的三分之一。想想这个数字，简直疯狂。因此，谈到朝鲜时，这类盗窃就有了完全不同的意义，它会成为全球安全问题。
执法部门与攻击线索
发生这么大规模的黑客攻击时，比如 Bybit 那次，FBI 都会立刻介入。执法部门是怎么参与的？在这种攻击中发挥什么作用？
执法部门在这里至关重要。我很相信技术和社区协作的力量：追踪资金，再通过 Beacon Network 这样的网络合作，确实能做很多事。但如果没有法律程序，最终还是不够。交易所或稳定币发行方要真正扣押资金，需要传票、搜查令或扣押令。追回的资金之后很可能要经过民事没收程序，也就需要法院审理。这时候就需要司法部、各国检察机关或执法部门真正介入。ZachXBT 是全球最好的资金追踪者之一，但他不能向交易所送达传票，拿到底层记录。要取得那些记录，就需要真正的协调；这也是执法部门现在做的事。
关于 EIP-7702 和这次攻击究竟如何实施，大家有很多讨论。我知道你不是币安员工，也不在他们的内部运营团队，所以掌握的信息有限。你能说说攻击是怎么做的，利用的手法有多新吗？
这件事我大概最不愿意妄加评论，因为币安已经公开了一些信息，我也在跟进。他们的说法是，一名工程师的笔记本电脑或计算机系统遭到入侵，攻击者借此取得相关代码和私钥；这个叙述与我们在链上看到的情况相符，包括攻击发生的方式，以及资金最终如何离开平台。不过具体发生了什么，还是应该由币安来说明，接下来几天应该会逐步弄清楚。考虑到 Drift 以及今年夏天发生的一些其他事件，这背后可能有一个非常惊人的社会工程故事，解释他们究竟是怎样取得访问权限的，我们还要继续观察。
我觉得还有一点很重要，也正是我们一开始将攻击归因于朝鲜的依据：攻击发生前大约 36 小时，我们看到了 Tornado Cash 的小额提现。攻击代码先在两个钱包上测试，接着在第三个钱包里用测试资金演练，资金又被转回攻击者手中，之后才部署到币安热钱包。所以，我认为最终揭示出来的，会是一场长期且精心策划的行动，逐步协调并突破币安的网络安全系统。
我的理解是，Lazarus Group 发现一个潜在攻击入口后，会先做一个仿真的攻击，再把它放到链上实测——比如创建一个假的币安钱包，看能不能真的得手。能不能根据某些模式提前发现这种行动？比如 Tornado Cash 出现一堆 Gas 交易，像是在为某次大规模攻击做准备。有没有什么迹象能让你们预先看出来？
你提到的这种分阶段准备和演练，确实已经成为朝鲜网络行动者的标志。他们的活动在链上可见，但关键是，这些动作是否显眼到足以让人识别。类比不一定总有用，但就像一个人表现出某些迹象，可能预示着他会实施谋杀或校园枪击。事后诸葛亮很容易说当时本该看出什么、不该看出什么；现实是，链上确实有一些迹象，但活动实在太多，很难从中辨认出来。
执法部门与攻击线索（续）
我觉得这就是我们现在看到的情况。你刚才问我昨晚过得怎么样：最令人难忘的时刻，大概是晚上九点半到十点。我们正准备发布一份梳理这次攻击的报告。就在发布前，我的同事 Nick Carlson——他以前是 FBI 分析员，也是全球最了解朝鲜的人之一——对我说：“这是朝鲜干的。”于是我们开始逐条分析原因。其中一部分是分阶段准备和演练，但我们也把攻击地址与其他黑客事件里见过的地址联系起来，尤其是 Drift。这里有很多与 Bybit 事件相似的特征。这也回答了你刚才的问题：我们是如何开始确认，并且以相当高的信心判断朝鲜参与其中的。
朝鲜为何与众不同
朝鲜在乎被人认出来吗？他们发动攻击拿到比特币、以太币这些资产后，我们也不能对他们怎么样，毕竟他们有核武器。他们真的在乎掩盖踪迹吗？
没那么在乎。我觉得这就是朝鲜与众不同的地方，也是我们这些年来逐步总结出朝鲜行动特征的原因之一。我们的全球调查团队里，Nick、Christian Chesky 等人把这当成一门艺术，持续观察朝鲜的行动方式，找出其中的特征。他们的特征之一就是：尽可能多地偷钱，不太在乎途中损失一些。昨晚他们确实损失了不少，但最终拿走的金额，单独算都可能是史上最大黑客案的两倍。他们不那么担心被抓，因为没人会因此坐牢，也不太可能被引渡，更不可能遭到刑事起诉。对他们来说，这就是以互联网的速度抢银行。他们会尽可能多地偷，尽可能快地转移，再把钱换成武器扩散和破坏稳定的活动。
我认为我们必须让他们更在乎后果。我谈过“网络私掠许可”（cyber letters of marque），也就是动员私营部门打击网络攻击者；我们也经常讨论网络反制行动。我以前当检察官时，曾和 Nick（那时他在 FBI）、现在是联邦法官的同事 Zia Farooqi 等人一起，在朝鲜洗钱案中向一家中国银行发出《爱国者法案》传票，要求提供记录。我们需要对中国施加外交压力，让他们采取行动；中国仍是重要贸易伙伴，也是朝鲜的重要伙伴。除了强化加密交易所的网络安全，我们还可以采取进攻性手段。他们偷了 60 亿美元，我们就应该竭尽所能把钱追回来。
所以回答你的问题：他们不在乎，因为没人会坐牢，而且追回资金会非常困难。但我认为，我们可以找到一些施压点，让他们更在乎后果。
从西方、尤其是美国这边看，感觉很窝囊：朝鲜偷了几十亿美元，我们只能说“啊，是朝鲜，我们也没办法”。如果你负责在美国政府里组建一个国际网络执法部门，你会怎么做？
先说明，我现在不在国家安全领域，也不是高级政府官员。我做过多年检察官，也在财政部工作过。不过我相信，我们的国家安全体系、战争部和情报界现在已经在做很多这类工作。
对，我猜他们只是没把行动告诉大家，也没告诉我。
（笑）但我一直觉得我们还能做得更多，尤其是在这个领域。外交施压是其中一部分；在我看来，很多路最终都通向中国。还有一点：我们在 Bybit 攻击中也看到，朝鲜最终会把赃款交给专业洗钱网络。几个月前我们在节目里大致谈过这一点。如果这次还没发生，之后也会发生。朝鲜知道，他们可以把钱卖出去、抽成，然后让中国有组织犯罪集团动用自己的场外交易商网络，把资金兑换成现金。
朝鲜为何与众不同（续）
……再把这些资金换成现金。贩毒集团也是这么做的，跨国“杀猪盘”网络也一样。我们要怎样向中国政府施压，让他们再去向有组织犯罪施压？我认为有很多可以使用的杠杆：我提到的《爱国者法案》传票、网络反制行动，还有其他办法，都能给这个政权施加相当大的压力。但现实是，朝鲜不是俄罗斯、伊朗或中国；它基本上是一个极端孤立、完全无视后果的政权。
我做加密货币交易快十年了，用过很多钱包、交易所、聚合器和前端。我一直在找同一件事：一个界面就能接入多条链和多种资产，流动性充足，能交易永续合约、赚收益、匿名交易，而且资金仍由自己掌控。我一直没找到，只能不停换钱包、操心 Gas 费，还常常被滑点吃掉。但 near.com 对我来说完全不同：我可以在任何链上做任何事，同时让所有活动保持私密。无论是加密代币、代币化资产还是永续合约支付都可以，还能私密地赚取收益。一个账户覆盖 30 多条链，默认保护隐私。这才是加密货币应该有的样子。它由 NEAR 提供支持，跨链交易量已超过 300 亿美元，采用后量子签名，主网运行五年多，零停机。near.com 是在链上活动并掌控资金的最佳方式。通过节目说明里的 Bankless 链接使用 near.com，可返还 20% 交易手续费。这不是投资建议。
美元稳定币教会了拉丁美洲用户如何在链上储值。Ripio 正把同样的理念带到人们日常真正使用的本地货币上。Wrapped Fiat 把 Ripio 十多年来为拉丁美洲大型企业提供加密基础设施的经验，带进六种本地货币稳定币：阿根廷、巴西、墨西哥、哥伦比亚、智利和秘鲁。每种代币都与本地货币一比一挂钩，并由受监管金融机构持有的储备金全额支持；每种代币都会发布独立鉴证报告。
Wrapped Fiat 不只是放在那里，而是可以流动。目前这套产品已部署在 10 条 EVM 链上，并与 Morpho、Uniswap 和 Chainlink 等平台集成，流动性也已接入。用户可以在 Pix、SPEI 等本地支付通道与一比一挂钩的 Wrapped Fiat 之间实时转换，入金和出金都零手续费，也没有外汇兑换。法币从本地通道进入，链上资产在中间流转。开发者从一开始就能使用 Ripio 提供的 API、webhook、组件和沙盒。现在就去 platform.rio.com，用 Wrapped Fiat 开始构建。
你的银行账户不是公开的，为什么加密资产就应该公开？AI 越来越强，隐私就越脆弱。无论链上还是链下，把身份和财务历史关联起来都比以往容易，而且还会越来越容易。每次数据泄露都会拼出更多线索，每笔公开交易都会留下追溯到你的痕迹。财富一旦可见，你就会成为目标。看得见的钱，就可能被偷。掌控自己的钱，也应包括掌控谁能看到你如何使用它。Zcash 能解决这个问题。它是由零知识密码学保障隐私的数字货币。Zcash 的屏蔽交易让你转账和消费时，不必公开收款对象或金额。隐私这件事没有次优选择。你可以用 Zcash 开始保护自己，Visor 是 Zcash 开发者和爱好者用于加密资产的钱包。Zcash 钱包并不容易上手，Visor 会额外确保你的资金和隐私得到充分保护：开源、自托管、完全私密。通过节目说明里的链接，在手机或电脑上下载 Visor。保护你的未来，使用 Zcash。
加密行业面临的监管影响
……那么你觉得还会给加密行业带来什么后续影响？我知道这不是 FTX 那种崩盘和欺诈，但发生这么大规模的事件，我还是担心行业会遭遇反弹、监管压力加大。FBI 这样的机构肯定不喜欢加密行业，毕竟朝鲜因为加密货币不断拿到几十亿美元。
这个问题很好。今天已经有人问过我，我也一直在思考。我同意，这次和 FTX，甚至大规模规避制裁或其他怀疑者可以拿来批评行业的事情不一样。
我想到《GENIUS 法案》：它基本上把昨晚发生的事写进了法律框架。它设想通过法规和立法要求稳定币发行方履行合规义务，包括在原生代币被用于非法活动时冻结、扣押、销毁代币。这次就是一个了不起的实际案例，可以说是有史以来最好的示范。遗憾的是，还有一半资金不能这样处理。但在我看来，这就是《GENIUS 法案》有关合规、执法和国家安全条款的实际运作。这是我一直想强调的重要经验。大家当然都在关注黑客攻击和朝鲜，但对行业来说，Tether 和 Circle 的出色应对也是个很重要的故事。
昨晚看到 Coinbase 公开支持币安、表示“我们能怎么帮忙”，我很受鼓舞。这两家大型交易所多年来一直激烈竞争，却能在这样的时刻为了整个社区站到一起，这很能说明我们正在建设什么。还有 Beacon Network。《CLARITY 法案》虽然看来已经没戏了，但其中有一整部分是认证信息共享、拦截和破坏非法活动的网络；我觉得这就是在为 Beacon Network 这样的机制立法。立法者长期以来一直在考虑该如何应对这些问题。
本周我和一个执法机构交流，对方非常看好他们如今追踪资金流向的能力——以前根本做不到。他们担心自己会失去与这个行业的联系，或者行业受到伤害后，会失去利用这些能力追踪资金的渠道。所以我想说，行业会受到反弹吗？会，而且从网络安全角度看也应该有。我们确实需要最佳实践。DeFi 行业已经从 Kelp 和 Drift 事件中吸取教训。我最近见了 DeFi Education Fund，他们正在做很好的工作。这次事件或许需要币安来召集行业一起加强网络安全，毕竟币安无疑是全球最大的加密企业。总的来说需要多方面行动，但说实话，我们需要的很多东西已经具备了；我们只要阻止这样的事件再次发生。
AI 与下一波网络威胁
……刚才说到阻止这类事件再次发生。加密行业现在最担心的一件事，是 AI 利用软件漏洞发起攻击的能力已经达到前所未有的水平，而且只会越来越强。我不确定币安这次遭攻击是不是同一类问题。正如你刚才提到的，这看起来更像 Lazarus Group 传统的策略：对币安内部人员进行社会工程攻击，进而控制一台存有私钥的电脑。这次攻击和 AI 有关吗，还是更像 Lazarus 一贯的攻击手法？
简短回答是，我们还不知道。更完整地说，我们确实看到朝鲜积极使用 AI，包括开源模型和前沿模型，来事先开展社会工程；也看到他们在纯技术、网络漏洞利用方面使用 AI。所以，这次是否相关还不确定。我和团队目前还没有把 AI 与这次具体攻击联系起来，但我确实认为，我们看到朝鲜开始摸索如何大规模使用 AI。AI 显然是 TRM 非常关注的重点，我们上次谈话时应该也聊过。我们现在真正想做的，是用 AI 把链上和链下的洞察结合起来，建立完整的风险画像。
这与我们的应用场景非常契合：我们能看到所有链上活动，但还得弄清资金最终流向哪里、背后是不是空壳公司或场外交易商、究竟是谁在转移这些钱，进而拼出完整图景。虽然我刚才讲了一大段仍然是在说“不确定”，但如果非要下注，我相信 AI 很可能以某种方式被用到了，至少可能参与了漏洞利用环节。
换句话说，即使答案最后是“没有”，我们也应该按“有”来准备。
完全正确。九月、十月以来，我们看到网络活动不断激增。让我夜里睡不着的是：去年有 7500 起勒索软件攻击；现在我们不需要人类，也不需要合作伙伴，甚至可以让 AI 智能体充当攻击团伙的附属力量。那为什么攻击数不会变成 7.5 万，甚至 750 万？朝鲜若有能力瘫痪整个医院系统、整个大型交易所，这就是文明级威胁。无论这次有没有用上 AI，这都是我很可能要用整个职业生涯去应对的问题。
攻击发生后如何加强加密行业安全
这次事件之后，行业需要做什么？我们应该如何调整做法，减少未来发生类似事件的可能？
这是一场攻防战。整个社区，从最小的 DeFi 协议到币安这样的巨头，都必须真正重视网络安全。虽然传统银行未必能这么快追回资金，但也没人能走进银行偷走 60 亿美元。我们必须想办法保护平台上的资金，其中一部分是彻底查明这次攻击究竟如何发生，我相信接下来几天会有更多信息。然后是主动反制：如果攻击者是国家行为体，那他们本质上不是普通罪犯，而是犯罪政权。我们需要动用手头所有国家安全工具，包括制裁、可能的起诉、网络反制行动，以及各种国家安全手段，比如《爱国者法案》传票，主动出击，能用什么就用什么。
最后，我认为社区会继续团结起来，Beacon 就是很好的例子。昨晚那样的夜晚，说“自豪”也许不太合适，但我退后看了一眼，看到团队齐心协力。我加入 TRM 时公司只有 8 个人，如今大约有 500 人；过去六年公司一路发展。昨晚我看到新加入的同事，也看到像 Nick 这样在公司待了很久的人，大家聚到一起，真的令人振奋。我同时也看到 Tether、Circle、World Liberty 和 Ripple 各自采取行动，这一切都很了不起。这大概就是我对昨晚最深的印象。当然，我还吃了太多万圣节糖果，这也要怪朝鲜。（笑）
压力大时吃点糖能缓解一下。Ari，很高兴有你在加密行业。我知道今天很难熬，对整个行业来说都是艰难的一天，差不多又到 FTX 事件四周年了。不过，也有一些积极的一面，就像你说的，行业里有这些团队和伙伴，大家可以一起努力避免类似事件重演。知道你已经熬了很久，感谢你抽出时间来回答我的问题。我相信 Bankless 社区也很感谢你。
David，谢谢你，也谢谢 Bankless 社区。最重要的是提高大家对刚才那几个问题的认识。我很相信我们能做很多事，而且能一起做到。谢谢你邀请我来。
好，好，快去休息吧。
好的，谢谢，朋友。