--- id: "X6zg8buv7cA" title: "朝鲜如何成功实施 Binance 63 亿美元黑客攻击" channel: "Unchained" host: ["Laura Shin"] guests: ["Jonty","Pablo Sabbatella"] date: "2026-11-03" updated: "2026-11-04" duration: "1:32:13" duration_seconds: 5533 source_type: "youtube" youtube: "https://www.youtube.com/watch?v=X6zg8buv7cA" canonical: "https://pod-exp.pages.dev/X6zg8buv7cA/" transcript_jsonl: "https://pod-exp.pages.dev/X6zg8buv7cA/transcript.jsonl" language: "zh-CN" translation: true translated_from: "en" timestamp_precision: "block" topics: ["加密与 Web3","金融基础设施","地缘政治"] series: ["加密基础设施"] --- # 朝鲜如何成功实施 Binance 63 亿美元黑客攻击 > 中文译文，由英文原音字幕翻译整理，不是官方逐字稿；引用原话请核对英文原视频。说话人标签由整理者依上下文标注，带「未确认 / 未标注 / 不确定」等字样的标签不可靠。时间戳一般为块级（所在时间块的起点），不是逐句时间；正文自带 [hh:mm:ss] 的段落除外。 **内容提要：** Laura Shin 与 Pangolin Intelligence 创始人 Jonty、Opsek 创始人 Pablo Sabbatella 讨论 Binance 遭朝鲜 TraderTraitor 组织攻击的经过。嘉宾推测攻击者通过感染开发者设备、横向移动并滥用交易签名基础设施转走多链热钱包资产；EIP-7702 加快了转移，却不是初始漏洞。行业冻结了约 30 亿美元，但大量资金仍在经 DeFi 与 Thorchain 转移。对话也谈到朝鲜网络行动部门、洗钱模式、协议去中心化边界，以及加密企业在操作安全、EDR 和行业协作上的缺口。源材料前段还包含与本期无关的 AI、金融和加密话题，已按原顺序保留。 ## [0:01] 老币苏醒、监控社会与 AI 扩张 · YouTube **嘉宾：** 图表上能看到，2025 年 Galaxy 帮一位早期巨鲸卖出了 8 万枚比特币。有意思的是，这件事我以后在数据里总能看见。按年度折算的话——我手头没有这个数字——2024 和 2025 年绝对是老币苏醒最多的年份，按比特币数量算尤其如此，不只是美元价值。美元价值当然也很高。2026 年就少得多了。图里我标出，每月苏醒的这类币从六万多枚降到四万多枚，再降到三万多枚。2026 年 1 月到 9 月平均每月 3.4 万枚，低于 2025 年的 4.7 万枚和 2024 年的 6.7 万枚。所以老币苏醒的势头在减弱，正在退潮。 我真正想说的是，监控社会很可能会继续扩张，而比特币这样的东西可以成为一种可信的替代品，让人们把钱存进去。你问到政府机构使用加密货币，这也确实相关。你看得出来，这只是报告中的一段；整份报告并不是在说比特币可以成为未来反乌托邦式监控社会的逃生阀。但我觉得这点很重要。想想最近到处都在转的那些帖子：我也是最近才意识到，电视里装着间谍软件，现在推特上到处都在讨论。每台电视……有些会在家里录下你的声音。大家开始注意到这一点了。 监控社会正在成形，顺带也在追踪每个人。中国有面部扫描系统，但以前还没有足够的算力跟踪所有人；现在智能体有了。这样的世界里，持有抗审查货币是有意义的，不一定非得是比特币。我觉得以太坊和 Zcash 也有很充分的理由，可以用于这个目的。我认为这部分论据只会越来越有力。还有其他因素，比如 AI 基础设施建设。首先，它由私人市场里巨额的信贷扩张提供资金，实际上相当于印钞，是私营部门在印钱，但这会增加整个系统里的货币总量。所以 AI 基础设施建设实际上是靠货币贬值来支撑的。它还确实得到大量税收优惠的资助，等于公共财政在很多情况下为基础设施建设提供补贴。 而且，不管 AI 基础设施建设进展顺利还是不顺利，都可能带来进一步的货币贬值。它和整个市场、每个人的退休账户都紧密交织。我觉得很多人相信，如果 AI 基建出了问题，政府就会出手救助；那当然也意味着印钱。所以无论结果好坏，最后都可能导致货币进一步贬值。这不是什么高深道理，我想大家不会意外。我只是说，促使中本聪写下法币根本问题的那些因素，从 2009 年到现在一直在加剧，尤其是从去年 10 月以来。如果你当初喜欢比特币是因为这个理由，那现在这套论点比过去更有力。 **嘉宾：** 从公开报道我们已经知道，很多 AI 公司都在和政府合作，并向政府报告人们进行的一些可能引发问题的搜索。大概六周前，《华尔街日报》报道过，有人用 AI 研究如何给大批人群投毒，AI 公司就把这件事报告给了政府。新技术总是既能做好事，也能做坏事。汽车刚出现时，最早的用途之一就是抢银行；新技术总会如此。但后来警车也用汽车去追捕坏人。技术就是这样，既会被用于坏事，也会被用于好事。我在 CFTC 执法部门工作时常说，我们的工作是不能落后坏人超过一步。我们总会落后一步，只是不想落后三四步。只要地球上还有人，就会有人把技术用于…… ## [4:03] 私人网络行动、AI 风险与金融摩擦 · YouTube **嘉宾：** ……会生病，但其他人得把这项技术用来做好事、对付坏人。在过去的私掠时代，海盗会乘船出海，专门抢劫有财宝的船。不过如今他们能做的事有限，实际上不能对付国家行为体，只能针对戴黑帽的私人行为者。 **嘉宾：** 等等，这是个特别重要的点，我之前没弄明白。照你刚才的说法，他们就不能对付 Lazarus Group 这样的团体，或其他朝鲜政府支持的黑客组织了？ **嘉宾：** 没错。Chris，你继续说吧。 **嘉宾：** 哦，天哪。你先说。 **嘉宾：** 不不，确实如此。有意思的是，我本来想在节目开始前就解释这点，但在节目里说也一样合适。多年来，私掠者会追捕其他私人坏人；但要对付民族国家，或做出实质上的战争行为，那是政府的专属行动。所以我认为，至少白宫这次想得非常谨慎，不愿授权私营部门去追捕朝鲜这样的国家行为体。 **嘉宾：** 天哪。所以这其实涉及国际法，白宫很小心，不想越界。不能不小心把自己逼进战争里。所以他们很谨慎地说，可以追捕犯罪组织；但如果牵涉国家，那通常要通过其他渠道处理。 **嘉宾：** 还有一件让我纠结的事。我是做金融的，风险章节里写到这会给人类带来生存风险。我想问，如果你是州立养老基金、市政机构或其他受托人，读到这种风险声明会怎么想？你会说：“它可能毁灭人类，但看看 2030 年的预测数据，我们真的得赶紧投进去。”而且你还得小心，如果买了以后它像 Facebook 上市后那样，或像 SpaceX 一样；典型科技公司 IPO 按高估值上市后跌掉 50%，你就会吃官司。律师会把那段风险披露甩到你脸上，说：“你显然不适合做这笔钱的受托人。人类灭绝这件事你没看懂吗？你还买了这家公司，结果跌了 50%。”所以公共受托资金可能会因此不愿投进去。看看我的担忧是不是多余吧。当然，也可能有足够多的私人资本，能压过这些顾虑，按他们想要的价格把交易做成。 很多传统金融服务的商业模式都建立在用户懒得折腾上。银行账户里有四万亿美元的资金没有收益。你不想每天登录，把钱转进货币市场基金；你想让代理替你做。银行会把你的钱从零利率账户里划走，拿去投资，利润有很大一部分来自这里。现在你能自己操作了，银行就担心收入来源受损。他们提供带积分和各种福利的信用卡。还有一整个小众产业的人在 Reddit 论坛上用 AI 智能体，想办法把积分利益最大化。银行却说：“不，你办我的卡，每年付 300 美元，但别真的去用积分，也别想办法把积分价值最大化。”他们会拦着你。金融行业有太多商业模式靠摩擦和用户懒惰赚钱，AI 正在威胁这一切。我们正在碰触银行和信用卡公司的赚钱方式，而他们把这说成是在保护你：“你不能每天挪钱，多赚一点利息，我得保护你。”我想问的其实是：你到底在保护谁？是在保护我，还是保护自己的利润？ **嘉宾：** 我想说，我确实认为低技能白领工作会面临风险。过去几个月我的想法变了。我和 Latham & Watkins 的一位合伙人聊过。他们在用 Harvey。他说：“Ram，听着，我不再需要初级律师了，我直接和 AI 互动。我离…… ## [8:04] AI 对服务业与白领工作的影响 · YouTube **嘉宾：** ……客户。我对客户的响应更及时了。不同领域都在发生这种事：Rogoj 做金融分析，Basis 面向会计师事务所，我们 Lumida 则在财富管理领域做这件事。AI 服务的市场规模很大。SaaS 是一个年收入 3000 亿美元的市场；法律和会计行业的收入池，加起来是 SaaS 市场的数倍。现在第一次出现了能把工作做得更好、更快、更便宜的 AI 服务人员。所以我认为低端岗位会被取代。如果你是行业里最优秀的人，你会喜欢 AI，因为你能赚更多钱。但底层岗位会被掏空。 **嘉宾：** 我不知道这里的风险披露是怎么处理的，但我们似乎发明了很多站不住脚、很荒唐的商业模式，唯一前提就是人会偷懒。现在有了这些不偷懒的“外星人”，它们可以整天不停地尝试各种办法，很多模式就开始瓦解。以前大家觉得没人会把所有数字一个个输入机器，遍历每种机器、每个数字、每种组合以及网上所有变体。现在有人会整天做这件事，花一周就能全部跑完。我不知道，感觉这些商业模式正在我们眼前崩开，它们全都建立在人会偷懒的基础上。现在有些参与者没我们这么懒。 **嘉宾：** 大额支出为什么不加时间锁？就像多签钱包那样。 **嘉宾：** 多签加时间锁。 **嘉宾：** 对，多签时间锁。 **嘉宾：** 是啊，我知道 Tay 肯定会说…… **嘉宾：** 24 小时。 **嘉宾：** 随便吧。他们设了七天时间锁，最有意思的是，时间锁就是时间锁。你要是搞砸了，就得让它挂着七天。我们确实见过它的问题。我从来不给任何东西加时间锁，就是因为 DAO 被黑的时候我就在现场，我们整整 28 天坐在那里干着急：“什么都做不了，真烦。要是没有时间锁就好了。”但你甚至也不能把时间锁撤掉，因为它就是…… **嘉宾：** 不是故意的。 **嘉宾：** 就是故意的，对吧？时间锁就是锁定时间。你要是加了时间锁之后才发现自己犯了错，比如设了 30 天，过了两天才意识到“不该加时间锁”，那接下来就得痛苦地熬 28 天。总之…… **Laura Shin：** 大家好，欢迎来到 Unchained——不炒作、专注加密行业的节目。我是主持人 Laura Shin。先说一句，这场直播是提前大约四小时录制的。开始今天的节目之前，想请大家帮个忙。我们现在正在决定明年 Unchained 要做成什么样：要不要增加每周回顾节目、什么时候直播、哪些内容放进付费版。我宁愿听听你们的意见，也不想自己猜，所以我们正在做一份匿名听众问卷。我会亲自阅读每一条开放式回答。特别感谢那位写下“Laura 不太聪明，不过她能请到不错的嘉宾，毕竟这档播客已经做了十年”的听众。 完成问卷的每个人都能免费获得一个月的 Unchained Premium 或 Bits and Bips，任选其一。访问 unchainedcrypto.com/survey，也可以扫描屏幕上的二维码。问卷开放到 11 月 8 日。再次感谢，这真的很有帮助。 现在插播一段赞助商广告，让节目得以继续。本期由 Nexo 赞助。Nexo 是领先的数字资产财富平台，你可以在一个平台上赚取加密货币每日利息或借入资金，已有超过 1000 万客户信赖它。详情请访问 nexo.com。适用地区限制、资格要求及条款。选举日是 11 月 3 日星期二，加密货币选民可以左右一些势均力敌的选举。Stand with Crypto 的选民中心…… ## [12:05] 介绍 Binance 遭黑客攻击 · YouTube **Laura Shin：** Stand with Crypto 的选民中心会告诉你选票上候选人对加密货币的立场。查查你的选民登记情况，规划好投票安排。 今天的话题是朝鲜对 Binance 发起的 63 亿美元攻击。和我一起讨论的嘉宾是 Pangolin Intelligence 创始人 Jonty，以及 Opsek 创始人 Pablo Sabbatella。欢迎 Jonty 和 Pablo。 **Jonty：** 你好。 **Pablo Sabbatella：** Laura，你好吗？嗨，Jonty。 **Laura Shin：** 上周四，也就是 10 月 29 日东部时间下午 4 点左右，Binance 遭到朝鲜攻击，损失 63 亿美元。这是历史上最大的一起攻击，不只是加密货币史上最大。朝鲜全年 GDP 估计约为 260 亿美元，所以这个国家能在 20 分钟里拿到超过 60 亿美元，相当惊人。好在其中大约一半被冻结了，但这仍是一次巨大的攻击。Jonty，我们先从你开始，带我们了解一下攻击是怎么发生的。 **Jonty：** 我当地时间早上 6 点半左右醒来，Telegram 上有大概一千条未读消息，发信的人有安全研究人员、交易所员工、数据分析公司等等，大家都在说一件事：Binance 被黑了。最初看起来，Binance 在多个链上的热钱包资产被清空了，包括 Ethereum、Bitcoin、Tron、Solana。过去几年我们见过类似情况，比如 Bybit、WazirX 被黑，还有一个月前的 Bitget 事件。刚醒来时我们只知道这些。资产还留在最初的盗窃地址里，大家开始整理工具，排查更多的链和 Binance 被清空的其他资产。最后总额大约是 64 亿…… **Laura Shin：** 你们公司发了一条小推文串，解释攻击者具体做了什么。能带我们梳理一下吗？ **Pablo Sabbatella：** 到目前为止，这是史上最大的一起黑客攻击或盗窃。不过我相信以后情况还会糟得多。按照我们目前所知，以及 Binance 的说法，开发人员的笔记本电脑遭到入侵。回看过去三年，发生的大型攻击里，十起有九起都是从笔记本电脑感染开始的。不是说攻击只发生在笔记本上，而是入口在这里。 开发人员的笔记本被感染之后，攻击者便能访问一个服务容器，进而签署交易。我们目前的推测是，Binance 还没有披露太多细节，攻击者没有拿到 Binance 热钱包的私钥，但不知怎么还是能签交易。这就像银行里有一支笔，客户来取钱时，银行用这支笔签支票。攻击者没有偷走支票，却能摸到银行里的那支笔并签署交易。所以他们开始签…… ## [16:08] 利用 EIP-7702 控制热钱包 · YouTube **Pablo Sabbatella：** ……这些交易，把钱全都提走。这里比较特别的是，他们要从 EVM 网络——也就是与 Ethereum 兼容的那些链——盗走资产，就用了一个基于 EIP-7702 的新技术。Binance 说攻击者发现自己能够签署交易，但热钱包一直在处理交易，因为用户随时都要取钱。于是他们预先签好了 50 笔交易，每一笔使用不同的 nonce。钱包里的每笔交易都有一个 nonce，就是交易序号：0、1、2、3……他们预签了 50 笔交易，然后把它们全发出去，其中一笔正好拿到了合适的 nonce，可以插进一笔正常交易中间，或排在它后面。 这笔交易不是简单地说“把这项资产提到这个地址”。它把热钱包升级成某种智能钱包或智能账户，让外部智能合约接管这个钱包，然后他们把所有资产扫走，转到另一个地址。还有个问题：资产被盗的时候，用户仍在存款。资产继续进入热钱包，也继续被盗。 **Jonty：** 对。 **Pablo Sabbatella：** 每次有新存款进来，资产都会立刻自动被转走。我们聊聊 7702 委托这件事吧。这项升级大约一年半前随 Pectra 上线，基本上让 Ethereum 上的标准加密钱包——也就是 EOA，外部账户，普通地址——可以临时借用智能合约的代码。能不能谈谈他们如何利用 EIP-7702？出了这件事之后，你会不会重新考虑 EIP-7702 的安全性？ **Pablo Sabbatella：** EIP-7702 还在设计时，我记得自己发过推文，说我不太喜欢它，因为它能让资产清扫器一笔交易转走更多资产，我觉得这可能有问题。不过必须说明，这次攻击不是由这个功能导致的。攻击者先获得了签署恶意交易的能力，然后选择用 EIP-7702 来更快地转出资产。这不是这个功能本身的漏洞。 但我们始终要考虑，每次给系统增加一个新功能，都会扩大攻击面，又多了一样可能被攻击的东西。所以我的看法是——我们必须说清楚：他们不是因为这个原因攻击 Binance…… ## [20:09] 交易签名与企业操作安全 · YouTube **Pablo Sabbatella：** ……EIP-7702。不过我从一开始就不喜欢这个想法，因为我们一直看到有人签了一笔交易，资产就被掏空。通常是你签了 USDT 授权，对方就把你的 USDT 转走。有了这个功能，攻击者可能诱使你签署恶意交易，一次拿走的不只是一种资产，而是你所有资产。所以这项功能也可能被这样利用。 **Jonty：** 我完全同意。现在我们确实看到很多资产清扫工具包都在使用 7702。这个升级大概让他们的操作更高效。重点其实不在这个 EIP，而在操作安全。这是一起恶意软件攻击，也可能涉及社会工程；目前我们还不知道全部细节。不管有没有 7702，这次攻击都会发生，它只是让过程快了一点。 **Laura Shin：** 我看到的趋势是，这个情形让我有点想起 DAO 攻击。那次从表面看，好像只是某种交易；但黑客实际上诱使智能合约去调用另一个智能合约。看看这个行业：Bybit 事件中 Safe 代码被临时替换；据说 Coinbase 的代码都自己写，从不依赖第三方。这个 EIP 让钱包可以运行其他代码，即使它不是最初的攻击入口，也会削弱一部分安全性。 我还想问，攻击发生几小时后，Binance 发推说，初步调查显示安全事件可能涉及一名 DevOps 工程师的笔记本电脑遭到入侵，攻击者因此能访问服务容器并提交未授权的提现交易。他们没有发现钱包私钥泄露的证据。第二天他们又更新说，初步调查曾认为事件可能涉及笔记本电脑遭入侵，但后续调查发现了其他突破口。这是一次复杂的攻击，他们正在与执法部门协调，尽力处理，还在收集事实。 我很好奇，我们显然还不知道所有信息，也许你们私下知道但现在不能说（笑）。如果某位工程师的笔记本电脑至少是攻击入口之一，这说明 Binance 的安全控制还不够完善吗？还是说这其实是任何交易所都难以避免的攻击路径？ **Jonty：** 我觉得可以说——但这都只是推测，因为我们并没有掌握完整情况。如果确实是 DevOps 团队的一名员工，可能遭到社会工程诱导，在笔记本上安装了恶意软件，最后导致 64 亿美元被转走…… ## [24:12] 可能的入侵路径与横向移动 · YouTube **Jonty：** 如果单靠一台笔记本电脑就造成 64 亿美元损失，这实在难以想象，也确实会让人质疑交易所的安全状况。但我们不知道事情是否真是这样。Binance 可能过早发布了那条推文，之后又发现了其他原因。相信随着时间推移，我们会知道更多。不过这件事的核心很大程度上是操作安全，而这恰恰是我们在大型交易所反复看到失守的地方。 **Pablo Sabbatella：** 我刚把一个梗图发到聊天里，你们可以放出来。我们目前说的一切都是基于现有信息的推测。开发者的笔记本电脑遭到入侵，但一种可能是，这个开发人员的权限太大，攻击者仅凭他的设备就能发出交易，把热钱包里的资产全部转走。我觉得完全不是这么回事。我从没和 Binance 合作过，但他们有很强的安全团队，我想应该不是这样。 我猜测，最初的入侵点是开发者的笔记本电脑，就像通常的情况一样。之后，攻击者可能通过某种方式继续推进。或许 Jonty 可以多讲讲：攻击团队里通常有两三类威胁行为者。有人负责最初感染，用社会工程、高级钓鱼或其他手段感染笔记本。笔记本被感染后，其他人开始横向移动或提升权限。他们可能先拿到这名员工设备的访问权，再凭这名用户的权限进入某个系统——这些权限本来不够做什么；但之后他们也许利用系统漏洞，获得更多权限，在 Binance 内部继续移动。 有件事特别重要，很多人没有想清楚：我们是在威胁行为者决定把钱套现的那一天才知道发生了黑客攻击，但初始感染可能早在三天、三个月，甚至六个月之前。我们必须认真地假设，至少有一台设备已经被入侵。大家以为我只是开玩笑，但我们的某台设备、某个账户、某把密钥、某台服务器、某个 API 密钥或邮箱，总有一样可能已经被攻破。所以我们必须做好隔离。 我认为这次也是这样：攻击者从笔记本电脑进入组织内部，逐步取得所需权限，然后才决定发动攻击。但我相当确定，如果 Binance 对此保持透明，最后我们会发现最初的入侵至少发生在几周前。 **Laura Shin：** 嗯，有道理，和 Drift 的情况很像。稍后我们会继续讨论这次攻击的其他细节。先插播一段节目赞助商广告。 **赞助广告：** 你的加密资产能不能不只是放在钱包里？Nexo 是一个数字资产财富平台，你可以赚取加密资产每日利息，或以加密资产作抵押借款…… ## [28:13] 多链热钱包与签名基础设施 · YouTube **赞助广告：** Nexo 服务超过 1000 万客户，详情请访问 nexo.com。选举日是 11 月 3 日星期二，如果你关心加密行业，这次选举很重要。选出的国会议员将影响美国如何监管数字资产，而一些选区的胜负可能只差很少的选票。Stand with Crypto 建立了选民中心来帮助加密货币选民。它会给候选人对加密货币的立场打分，让你清楚知道谁会出现在选票上。你还能查询选民登记信息，了解如何投票。请访问 standwithcrypto.org/vote，今天就安排好。 **Laura Shin：** 回到我和 Jonty、Pablo 的对话。黑客在很多条链上盗取了资产，包括 XRP、Ethereum、Arbitrum、Avalanche、Optimism、Base、Tron、Solana 和 Polygon。他们还拿走了多种稳定币。看起来这次攻击有些部分甚至不需要 EIP-7702 委托。虽然我们显然还没有全部事实，但光凭这一点，是否能帮助你们推测攻击过程？他们怎么能在这么多条链上扫走资产？ **Jonty：** 正如 Pablo 刚才提到的，看起来 Binance 内部的钱包签名基础设施遭到入侵。也就是说，攻击者能使用 Binance 内部负责管理热钱包交易签名的基础设施，签署恶意提现交易，最终转走资产。受影响的链和钱包数量这么多，明显说明被攻破的是基础设施。看起来私钥本身没有泄露；攻击者不是直接拿私钥签交易，而是通过内部服务器或其他系统——我不清楚 Binance 的钱包基础设施具体如何搭建——让 Binance 内部某个系统替他们签署不该签的交易。 **Pablo Sabbatella：** 我觉得这和 Bybit 攻击可以类比。Bybit 那次也没有私钥泄露，但签名者签了他们以为正常、实际却是恶意的东西。我猜 Binance 管理密钥使用 HSM，也就是硬件安全模块，这是把私钥分散到多个硬件设备里的非常安全的方法。但如果密钥在超级安全的硬件里，硬件却会信任服务器发来的所有指令，那你只要攻破服务器就够了，不需要拿到密钥；你只要让服务器指挥 HSM 做你想做的事。所以我觉得这次的问题就在基础设施。整个行业必须从中吸取教训。你们可能看到，三小时前，巴西 Mercado Bitcoin 也被黑了，损失 4000 万美元。 **Jonty：** ZachXBT 还说，一个他没有透露名称的欧盟实体昨天也被黑了，损失 1 亿美元。 **Pablo Sabbatella：** 完全同意。如果这个行业还是不警醒——我觉得大家还没有醒过来…… ## [32:14] 冻结资金与热钱包规模 · YouTube **Pablo Sabbatella：** ……我认为事情会糟得多。不是说这次攻击用了 AI，但 AI 的发展速度意味着漏洞正在被极快地发现。大多数系统都会遭到入侵。我们知道加密行业和传统金融的区别：对方攻击你一次，你的大部分资金就没了。这次行业反应还算快，我觉得冻结资金做得不错。Tether、Circle、Ripple、Arbitrum Security Council 都参与了。我认为接近一半的钱被冻结了，剩下的全没了。仅凭这次攻击，朝鲜持有的 ETH 现在可能比以太坊基金会还多。这听起来像个梗，但确实是真的，也很悲哀。 **Laura Shin：** 是啊，太疯狂了。说冻结资金之前我想先问几个问题。你们是否惊讶 Binance 的热钱包里竟然有 60 亿美元？从运营或安全角度看，这是不应该的吗？还是说对这么大规模的交易所而言，这很合理？ **Jonty：** 老实说，我并不特别惊讶。Binance 的规模大得难以想象，用户很快就提走 60 亿美元，出现挤兑，并要求交易所及时处理，这并非不可能。交易所需要能从冷钱包向热钱包补充资金，处理大量提现。听起来这些钱包也分布在多把密钥之下，可能并不是某一组热钱包被攻破。总损失确实是 64 亿美元，但我不认为这像 Bybit 那个应用程序里有大量资金集中在一个热钱包那样明显。 **Laura Shin：** 还有一点，黑客似乎在当天早些时候用一个由 Tornado Cash 注资的钱包测试了策略。你后来看到这些测试时，觉得能提前发现攻击吗？还是只能事后才看出来？ **Jonty：** 他们测试的只是用 EIP-7702 交易来清空 Ethereum 钱包的机制。测试本身没有迹象表明目标会是 Binance；任何持有 Ethereum 热钱包的人都可能成为目标。如果你已经知道这些资金属于特定威胁行为者，那当然可以把它们当成预警信号，但你没法据此判断“他们要攻击 Binance”。仅仅依靠攻击前的这类活动，保护作用相当有限，我觉得把它当成应对方案有点牵强。 **Laura Shin：** 我把链接发到聊天里。安全研究员 Andrew Mohawk 发布了一条推文串，展示…… ## [36:16] 攻击前测试与情报共享 · YouTube **Pablo Sabbatella：** Andrew Mohawk 展示了他如何在 10 月 8 日发现有人测试他认为与这次攻击有关的交易，也就是攻击发生前三周。我还没仔细读完。现在一场大型攻击发生后，我们开始调查，调查期间另一场大型攻击又来了，所以挺难跟上。但 Andrew 绝对是这方面最了解的人之一，我非常尊敬他。他发现了这些活动，所以看起来攻击者在三周前就已经测试过了。 **Jonty：** 这些信息对事件响应很有帮助。数字取证人员了解链上活动后，如果看到对方在攻击前三周测试提现机制，就能判断他们可能已经掌握 Binance 系统的某些情况，或已开始规划如何转移资金。这会扩大要审查的日志时间范围，也会影响你们要向开发人员了解什么，比如他们在 LinkedIn 上和谁联系过。这样的调查窗口拉得这么长，确实挺吓人。 **Laura Shin：** 如果当时就发现这件事，安全研究人员或许可以在攻击前三周指出：“有人似乎在测试一种盗取资金的方法。”然后建议检查系统，看自己的系统是否可能被这样攻击。你觉得这会有用吗？ **Jonty：** 通过可信联系人交换这类信息肯定有好处。我亲自参与过很多威胁通报工作。实际发生的攻击，比朝鲜或其他团体尝试发动的攻击少得多。 **Laura Shin：** （笑）这听起来不太让人安心。 **Jonty：** 很多攻击确实正是靠这样的工作被挫败的。但我们不应该得出“只要通报做得更好，就能阻止这次攻击”这种结论。我认为做好操作安全、保护好自己的资金，作用大得多，也更可能成功。话虽如此，我是威胁情报分析师，我的工作就是了解这些人怎么攻击别人，以便尽早发现他们，可能的话阻止这类攻击。 **Laura Shin：** 现在说说冻结资金。这次和过去不同，整个行业——或者说很大一部分行业——反应非常快，采取了多项冻结措施。其中之一来自 Circle。真讽刺，Drift 攻击时他们是坏人，这次却参与了。我不知道这是否和他们与 Binance 是商业伙伴有关。当然还有 Tether…… **Jonty：** 我觉得这件事必须指出来。我认为…… ## [40:16] 冻结行动的动机与行业效果 · YouTube **Jonty：** 我觉得大家确实应该指出这一点。别误会，我希望看到有人冻结资金。这次 Circle 和 Tether 等大型机构反应这么快，是因为这起攻击最终影响到每个人的利润。这些公司有很强的经济动机出手冻结资金，我很高兴他们这么做，但我们也得现实一点。 **Laura Shin：** 你是说 Drift 那次不一样吗？Circle 和 Binance 的关系有什么不同？ **Jonty：** 不幸的是，Drift 对 Circle 的重要性，和 Binance 对 Circle 的重要性不能相提并论。 **Laura Shin：** 你的意思是 Circle 有既得利益，要维护和 Binance 的关系？ **Jonty：** 我觉得我们得把这件事说清楚，不要绕来绕去。我希望有一天，即使这件事不会直接、明显地影响你的利润，人们也愿意出于政治意愿采取行动。不过我可能太理想主义了。 **Laura Shin：** 不，我同意。为了呈现一个完整的图景，长期以来积极冻结被盗资金的 Tether 这次也采取了行动。Arbitrum Security Council 也投票决定冻结，之前他们就这么做过。正如 Pablo 刚才说的，现在大约有 30 亿美元被冻结了，这总比朝鲜拿走全部 60 亿美元好。但如果行业现在这么快就冻结被盗资金，会不会逼得朝鲜以后只偷 Bitcoin 和 ETH，或者一开始就把赃款尽快换成这些资产？这样会不会让我们更难追回资金？ **Jonty：** 不，我不认为这会改变朝鲜的大方向；他们还是会偷能拿到的任何资产。不过可能会改变洗钱初期的做法。很多人在推特上说，最初的处理相当粗糙，本来可以转出更多资金。但我觉得这是行业第一次做出如此大规模的反应，被盗资金中大约 43% 被冻结，前所未有。对比 Bybit 事件，刚发生后被冻结的资金不到 3%。朝鲜以前可能都没被迫考虑过这种情况。 有意思的是，在 LayerZero 事件之后，这个威胁行为者 TraderTraitor——他们也对那次事件负责——开始非常迅速地把资金从 Arbitrum 转走，甚至比把资金从 USDC 换出去还快，因为 Arbitrum Security Council 当时决定采取行动。行动立刻改变了对方行为。所以这会改变攻击发生后的即时应对，但他们仍然会尽可能多地偷走资产。 **Laura Shin：** Pablo，你怎么看？你认为他们以后会尽快把所有东西换成 Bitcoin 和 Ether 吗？ **Pablo Sabbatella：** 我觉得他们已经…… ## [44:17] 赃款兑换、流动性与 DeFi 借贷 · YouTube **Pablo Sabbatella：** 我觉得他们早就在这么做了，因为他们知道 USDT 和 USDC 都可以被冻结。也许 USDC 被冻住还是让他们有些意外。我还没仔细研究链上兑换的时间线，不知道 Tether 和 Circle 冻结得有多快，或者他们是否因为来不及把币换成 BTC 或 ETH 才被冻住。我看到的是，他们要换成其他资产时，交易规模太大，有些兑换损失高达 10%。MEV 搜索者和区块构建者从中赚了大约 5000 万美元，还有 Thorchain 等平台也参与了。 **Laura Shin：** 你是说这是他们洗钱过程中发生的？ **Pablo Sabbatella：** 对，没错。 **Jonty：** 规模到了 64 亿美元，交换资产、把资金塞进各种协议，流动性根本不够，甚至会把协议本身弄出问题。所以网上有人批评朝鲜操作粗糙，但要在这种规模下运作洗钱行动，同时尽量避免冻结，真的非常难。他们也不是完美的，所以才出现过这种荒唐情况：在流动性很低的 DEX 上，500 万美元只换回 72 美元。 **Laura Shin：** 我还想问问他们使用 DeFi 的情况。我们看到他们逃走时还有价值约 6000 万美元的 USDT。他们把这笔钱卖给做市商，USDT 被冻结了；随后他们在 Aave 上抵押借出接近 2 万枚 ETH。他们大概永远不会还钱。这让人想起 Kelp DAO 攻击，只不过那次的币是凭空铸造出来的，并没有实际资产做支撑。这里的情况类似：他们拿有问题的抵押品，换出真正的资金，而这些钱无法被冻结。 Aave 论坛上的公告说，平台决定冻结所有网络上的 Aave 市场。攻击者可以把赃款换成任何已上架资产，因此只冻结被盗代币的储备仍会留下其他漏洞。不过这样一来，其他人也不能新增供应、借款或建立借贷头寸。用户仍然可以还款、提款，清算也照常进行，但平台整体运作受到了限制。你怎么看他们的处理方式？ **Jonty：** 我还没亲自深入研究这部分，因为要追踪和分析那 60 亿直接被盗资金时，这件事没那么相关。但从整体来看，大量资金移动说明传染效应会很强，会让协议受到冲击，也迫使协议运营方陷入很棘手的处境。我觉得…… ## [48:17] DeFi 的权限边界与熔断机制 · YouTube **Jonty：** 我不太想多谈 Aave，因为我没有亲自仔细研究，但这件事会让 DeFi 领域未来几个月面对不少值得讨论的问题。我敢肯定这种情况不会就此结束，还有数十亿美元需要洗出去，谁能保证他们不会对其他借贷协议做同样的事？ **Laura Shin：** Pablo，你怎么看？ **Pablo Sabbatella：** 我同意，但资金洗白和在 DeFi 里的流动不是我的专长，我也没来得及研究。与此同时发生的事情太多了。不过 DeFi 会不会越来越多地被这样利用？会，完全可能。我们说想要一个无需许可、任何人都能做任何事、抗审查的系统；抗审查也就意味着它能被用于这种用途。 我认为 DeFi 真正的问题不是这个，而是过去三年里的攻击几乎都和操作安全有关。但别忘了，智能合约安全仍然重要。如果出现大额交易、兑换，或赃款经由 DeFi 转移的情况；或者未来又有 DeFi 攻击，协议就应该有控制措施，在有大笔资金转移时暂停交易。我们需要断路器。这样一来，一些 DeFi 协议肯定得做出改变。我不知道具体该改什么，因为 DeFi 不是我的专长，但肯定有些地方得变。 **Laura Shin：** 唯一的风险是，尤其有了 AI，如果设置某些金额阈值，攻击者可能就拆成一堆刚好低于阈值的交易。不过，我还注意到一件事。今天早上 Arkham 发推说，发现 Binance 黑客向 Binance 存入了 400 万美元，分进三个 Binance 充值地址。这些很可能是嵌套服务，也就是使用 Binance 提供流动性和托管服务的第三方交易所。我很好奇，帮助朝鲜洗钱的人会不会在用 Binance 洗这笔钱？如果是，Binance 会冻结吗？还是说这其实没有发生？我也不确定（笑）。 **Jonty：** 你提这条推文挺巧的，我上节目之前刚看过。实际上，这个分析不正确。看起来 Arkham 是追踪了一项服务——实际上是 Thorchain——资产在与 Binance 交互之前，已经在 Thorchain 上完成兑换。他们看到的 Binance 交互是…… ## [52:18] Thorchain 与朝鲜洗钱 · YouTube **Jonty：** 他们沿着 Thorchain 的 Asgard 金库追踪，然后查看哪些人一直在这些金库之间做套利。很多套利者会使用 Binance 的流动性。所以 Arkham 追到的其实是兑换另一边的交易者。把这说成赃款直接通过 Binance 洗白，是一种误读。 但有个问题值得长期讨论：在 Thorchain 上做套利、给资金池再平衡的人，某种程度上让这种洗钱成为可能。当大量资产从一条链流到另一条链，资金池必须再平衡才能完成兑换，而 Binance 一直为这些套利提供流动性。如果 Thorchain 只是在帮人洗它自己偷来的钱，Binance 还会继续提供流动性吗？我想 Binance 内部肯定在讨论这件事，我很想知道他们怎么谈。 我个人觉得 Thorchain 已经荒唐得不行了。一个自称去中心化、无需许可——随便用哪个时髦词——的协议，如果唯一作用是服务朝鲜这样的独裁贱民国家，我看不出有什么用。 **Laura Shin：** 你这么说是根据什么分析？Thorchain 上有多少交易量是在洗被盗资金？占比是不是特别高？ **Jonty：** 每当 TraderTraitor 发起这种攻击，我们都会看到 Thorchain 上的转账量暴增。像 LayerZero、Bybit、WazirX 等攻击之后都是如此。在那些特定日子里，Thorchain 的交易量有 99% 以上都是在替朝鲜洗钱。总的来说，我猜长期交易量的大头也依然如此。不过至少在攻击之后那几天，几乎全部交易量、关联方赚取的手续费，以及套利手续费，最后都进了 TraderTraitor 这类人手里，本质上就是帮他们洗钱。 我前几天发过推文问，我们到底想建设什么样的行业？如果你的原则导致你帮助朝鲜这样的国家偷走几十亿美元加密货币，那不管这些原则在理想世界里多么奏效，在现实中都没有给任何人带来价值。我不认同这就是我们想建设的行业，也不认为这值得我们拿来赌上一切。 **Laura Shin：** 是啊，它只给全世界一个人带来了价值：金正恩。但这进一步压迫了生活在朝鲜或被关押在朝鲜的五千万人。我还想更具体地谈谈…… ## [56:20] Thorchain 节点运营者与集中化 · YouTube **Laura Shin：** 还是说说 Thorchain 吧。Tay 和我曾做过一期节目，采访了……天啊，我一时想不起他的名字了。 **嘉宾：** Chad Harford。 **Laura Shin：** 对，Chad。那次很有意思，有一次某起攻击发生后，赃款开始经过 Thorchain 洗钱。一些节点运营者开了个小会，似乎有人不想再服务朝鲜，结果他们干脆离开了整个生态。我觉得有意思的是，这些人非常熟悉 Thorchain 的内部运作，也很清楚它究竟有多集中或多去中心化。他们以为自己可以聚在一起协调，阻止这些交易，但这些人现在都离开了。剩下的就是那些不这么看、或不愿承认这一点的人。 另外，在这整件事期间，Binance 周四遭到攻击，到了周六，Thorchain 因为 Ethereum 区块重组而暂停了多条链的交易。重组导致 Thorchain 支付了 10 枚实际上从未进入某个金库的 ETH。参与那笔交易的人后来把钱还了，所以 Thorchain 又恢复偿付能力。系统里有一个偿付能力检查器，一旦它报告出现资金缺口，节点运营者两分钟内就停止了 Ethereum 交易签名，也暂停了 Cosmos、Bitcoin Cash、Binance Smart Chain、Bitcoin、Dogecoin、Litecoin、Solana、Tron 和 Zcash 等链。触发紧急暂停只需要三名节点运营者投票。这让你对他们的运营究竟有多集中、或你觉得有多去中心化，有什么看法？ 他之前对我和 Tay 的说法是：看看 Bitcoin 矿池，或 Ethereum 头部质押池，网络的很大一部分也由少数实体控制。因此，加密行业认为去中心化的 Bitcoin 和 Ethereum，与 Thorchain 其实一样。你怎么看？ **Jonty：** 我觉得“去中心化”这个词现在已经有点失去意义了。到底到什么程度才算去中心化？不过有一点很清楚：Thorchain 的运作有点像邪教，跟着人群和一些有影响力的人走，比如 Chad Harford、JP Thor。节点运营者显然倾向于一起投票…… ## [1:00:21] Thorchain 能否称为去中心化 · YouTube **Jonty：** ……大家会跟着群体行动。很少会看到领导者提出某件事、节点运营者却持不同意见。这或许是更中心化系统的一个特征。但比起这次协议被暂停，更值得关注的是协议已经停了好几天。理论上节点运营者随时都能恢复运行，但他们还没这么做。他们还需要投票升级协议、重新启用系统。作为节点运营者，如果你同意这样做，就等于明知朝鲜会用你的协议清洗几十亿美元赃款，还投票批准。 我个人不会投票让这种事发生。我猜 Thorchain 有些人很遗憾赚不到这些手续费。总之，整件事已经荒唐到难以形容。我不支持朝鲜，也不支持帮助他们的人，而他们现在做的正是这件事。 **Pablo Sabbatella：** 还有一点很重要：他们一方面说自己是去中心化的，但如果我现在想成为另一名运营者，却做不到。所以这其实是许可制的，不是任何人都能加入。 **Laura Shin：** 等等，为什么？ **Pablo Sabbatella：** 因为他们控制谁能成为运营者。否则就会像我之前在节目里说的：我们开始组织起来，成为 Thorchain 的节点运营者，人数够多后就能发动治理攻击，开始决定所有事情。但如果我想成为运营者，他们不会允许我。我要运行 Bitcoin 节点，可以；运行 Ethereum 节点，也可以。可要运行 Thorchain 节点，必须先得到他们批准。 **Laura Shin：** 那就不算特别去中心化了。 **Jonty：** 这正是我刚才的意思：持不同意见的人已经不属于这个社区了。 另一个可能有点好笑的插曲：Chad Harford 和 JP Thor 现在正在纽约被这场 Thorchain 事件的受害者起诉，你们可以去查。被告的一种辩护理由是，协议有两把管理密钥，可以随时单方面冻结系统；那次事件就使用了这两把密钥，引发了许多问题和损失，最终用户承担了后果。现在他们因为这个行为被起诉，而他们的辩护之一是：“你们要是读过 Thorchain 的文件，就会知道它并没有那么去中心化；至少在管理密钥这方面，完全是中心化的。”这些密钥…… ## [1:04:23] FBI 点名 Thorchain · YouTube **Jonty：** ……这些管理密钥现在已经移除了。但我很困惑：一方面，某起诉讼的辩护理由是“我们一直都说自己是中心化的，你们尽职调查就该知道”；另一方面，这显然和 JP Thor、Chad Harford 多年来在网上宣传的观点大不相同。 **Laura Shin：** 我还想回到他们一直没重启链这件事。同一天——也就是他们暂停部分链的那天——FBI、美国特勤局和国税局刑事调查部门都要求：“Thorchain 运营者、RPC 节点运营者、即时兑换服务、DeFi 服务、区块链分析公司和其他虚拟资产服务商，应阻止与 TraderTraitor 用于洗白赃款的地址有关或源自这些地址的交易。”Thorchain 是唯一被点名的对象。你怎么看 FBI 特意点名他们？这是不是说明他们被政府盯上了？美国政府认为 Thorchain 足够中心化、能够采取行动吗？还是因为朝鲜主要用 Thorchain 洗钱？正如 Jimmy Green 和 ZachXBT 的地下调查所说，“想做洗钱生意，只要用 Thorchain 就行。”他们被点名这件事说明什么？ **Jonty：** 如果 FBI 新闻稿把你列为可能帮助洗钱、处理史上最大黑客事件赃款的帮凶，那绝对不是你想待的位置。我会把这个警告当真。美国政府认为朝鲜拿到 60 亿美元——现在还剩 36 亿——是重大的国家安全问题。如果你帮这个政权洗赃款、套现，并用来购买核武器之类的东西，就别指望和美国政府交好。我想，通过民主选举产生美国政府的公众也不会觉得这是应该纵容的事。所以我认为没人愿意站在那个位置上。Tay 前几天发推说这显然是一次警告。我不明白 Thorchain 的掌权者为什么非要在这件事上死磕，换作我不会这么做。 我也建议所有评论 Thorchain 的人去看澳大利亚 Seven News 在 Bybit 事件后的纪录片，里面深入采访了 JP Thor。他坐在那里笑着，炫耀自己崭新的阿斯顿·马丁直升机，机尾竟然画着朝鲜国旗。他还炫耀自己赚了多少手续费…… ## [1:08:26] Thorchain 与 Tornado Cash 的区别 · YouTube **Jonty：** ……有人甚至辩称，朝鲜偷这些钱可能是为了给孩子们买食物。我觉得这简直荒唐。JP Thor 应该亲自去朝鲜，看看当地人怎么生活，再问问自己是不是想帮助朝鲜政权。我认为看完那部纪录片，普通人和那些要承受后果的人会很愤怒：Discord 里只有一小群人坚持认为，他们的原则比世界稳定更重要。 **Laura Shin：** 是啊，这种说法对朝鲜的了解少得惊人。金正恩当然会先养活自己，而不是普通民众，他就让他们挨饿。所以觉得钱会拿去养活朝鲜人民，实在荒唐；真正受益的恐怕只有金正恩本人。 我还想问，两者之前也有相似情况，美国政府曾针对加密行业一项注重隐私的服务 Tornado Cash，最后政府在法庭上败诉。你认为 Tornado Cash 和 Thorchain 有什么区别？为什么 Tornado Cash 应该受到保护、不该成为政府打击的目标，而 Thorchain 却应该？ **Pablo Sabbatella：** 我不是这方面的专家，只简短说一下。据我了解，Tornado Cash 的开发者不会因为别人使用 Tornado Cash 就赚钱。这是我认为的主要区别。Thorchain 的参与者会赚钱，而且赚很多。Tornado Cash 似乎不会因为别人使用它而产生费用。不过 Jonty，如果我说错了请纠正我。 **Jonty：** 我认为两种协议最明显的区别是，尽管美国政府采取了各种行动，Tornado Cash 是基于不可篡改的智能合约构建的，直到今天协议还在运行。区块链能做什么、应不应该做，我们可以辩论，但 Roman Storm 本人已经无法阻止任何人使用 Tornado Cash。或许他可以争取 Tornado Cash DAO 的支持，不过这和 Thorchain 的情况不同。Thorchain 社区很小，有人群效应，大家会跟着声音大的人走，社区本身是能够采取行动的。 老实说，我自己对 Tornado Cash 一直很矛盾。我不认为它刚部署的时候就经过了充分考虑…… ## [1:12:28] 洗钱交易图与自动化 · YouTube **Jonty：** ……Tornado Cash 被坏人滥用来牟利的方式。我不确定开发者是否该因此承担刑事责任。这是个更深层的辩论，我宁愿通过讨论解决，而不是逮捕。不过，如果你开始和国家行为体、地缘政治以及美国政府这样的强权较量，那可是一块很难赢的战场。我不想处在 Thorchain 目前的位置。 **Laura Shin：** 是的，我同意。我还想问这次攻击的另一个方面。攻击发生 24 小时后，Onchain Lens 发推问 Binance 黑客到底在干什么，说这是他们见过最让人恼火的洗钱操作之一；他们甚至还没开始使用混币器。配图显示资金从最初的 10 个钱包流向 100 多个新地址，下一跳可能有约 400 个钱包，然后又被分散到更多钱包，图看起来特别夸张。我感觉这像是机器操作而不是人手操作。能讲讲这和他们典型的洗钱方式有什么不同吗？这是否说明 AI 正在推动他们的方法演化？ **Jonty：** 这有几点需要了解。TraderTraitor 通常依靠第三方洗钱，往往是讲中文的洗钱组织。你看到的这团交易关系，很可能是这些洗钱组织的操作，而不是朝鲜直接做的。 其次，使用自动化和脚本并不新鲜，早在 2022、2023 年 Ronin 和 Harmony 事件期间就有了。只是这次的规模、速度可能更大；如果他们愿意，也可以写脚本，用这种方式批量洗钱。 还要明白，他们这么做是为了躲避链上交易监控软件的追踪，例如 Chainalysis、TRM、Elliptic。这些软件主要依靠归因：分析人员认定某个钱包属于某个威胁行为者，并给它打上标签。协议、交易所或其他机构审查资金来源时，软件会自动往回追踪，直到遇到已知钱包，然后生成一张饼图，显示你将要收到的资金由什么组成，以及其中是否有非法资金。他们像洗衣机一样转来转去，就是想消除污点标签、隐藏资金来源。他们在彼此的钱包之间来回转钱，试图绕过资金暴露度算法。现在要写脚本大规模完成这件事容易多了，所以这只是整个攻击链中的又一个环节，变得更容易、规模更大…… ## [1:16:28] Lazarus 名称与朝鲜网络部门 · YouTube **Jonty：** ……用 AI 会更快。谁知道他们是否用了 AI？如今大家写脚本都会用 AI 写一些基础代码，我想不出朝鲜或替朝鲜洗钱的人为什么不会这么做。 **Laura Shin：** 我还想问问 TraderTraitor。Jonty，你发过推文说：“Lazarus 这个名字现在已经没什么意义了。”你说它只是用来统称各种朝鲜网络行动的一个名字。你还放了一张图，里面有一大群不同实体。TraderTraitor 也叫 UNC4899。能不能介绍一下这些组织分别是什么、彼此有什么区别？为什么我们一谈到加密货币攻击就总提 TraderTraitor？ **Jonty：** 这张图不是我做的，是 Kadoski Security 的，但非常有参考价值。它基本上是朝鲜网络行动相关人员的组织架构图。你可以把它想象成一个军事组织，有不同部门负责不同任务：有的负责间谍活动，有的做宣传和影响行动，还有各种负责网络行动的部门和子部门。 过去五六七年里，分析人员发现朝鲜侦察总局（RGB）把大量人力转向专门攻击加密货币组织。最初的 Lazarus Group 可能只是侦察总局里一个负责偷加密货币的小部门。近几年它扩大成一个大得多的部门，又分成多个小组，各做各的事。我们所说的 TraderTraitor、AppleJeus、Contagious Interview、DangerousPassword 等名称，本质上只是这些不同部门的代号。 TraderTraitor 可能是其中最活跃的。我们追踪的一个特定威胁组织要为这次攻击、Bitget 攻击、LayerZero 攻击和 Bybit 攻击负责。我们通过比较不同攻击中的技术活动、战术、技术和程序，把入侵事件按行为归类，判断哪些行为不同的组织分别负责哪些事件。 这种组织建模很重要，因为相关情报能帮助你做出更好的决定。如果 Binance 深入了解 TraderTraitor 的运作方式、如何攻击目标、之后如何洗钱，就能更快、更容易地应对，而不用从头猜接下来会发生什么。TraderTraitor 有自己固定的洗钱模式，掌握这些模式对事件响应非常有用。其次，针对这些不同组织采取的防御方法也各不相同…… ## [1:20:30] TraderTraitor 的招聘钓鱼手法 · YouTube **Jonty：** ……每个组织的差异，以及它们现在如何进行社会工程，最终都会帮助你降低遭到攻击的概率。我一直强调，我们对朝鲜如何在加密行业运作的深入了解，和朝鲜对加密行业构成的威胁并不匹配。如果你连我刚才说的基本情况都不了解，就应该去学习，或雇个懂行的人，这最终才能保护你的组织。 **Laura Shin：** 我确认一下：TraderTraitor 是其中一个组织，尤其专注于大型加密货币攻击和洗钱，所以它才要为 Bybit、Ronin、Kelp DAO 等一些重大攻击负责。其他小组则用别的方式为政权偷钱？ **Jonty：** TraderTraitor 这个名字来自他们最早使用木马化的交易应用程序，在社会工程中充当诱饵。这个组织通常通过虚假招聘面试攻击人员。他们会联系开发者，提供工作机会，进行一套完整的虚假面试，可能有多轮，其中一轮会是编程测试。其实这些都只是诱饵，目的是让开发者把他们写好的代码下载到笔记本电脑上运行，最好还是公司电脑。最初发现这个团体时，他们用来诱骗开发者的代码诱饵就是木马化的加密交易应用程序，因此网络威胁情报领域把他们称为 TraderTraitor。希望这回答了你的问题。 **Laura Shin：** 那张图里的其他朝鲜政府犯罪小组，专门用其他手段为政权偷钱；TraderTraitor 和其他几个小组则专注于加密货币，对吗？ **Jonty：** 朝鲜侦察总局和朝鲜劳动党里有多个专门窃取加密货币的单位。它们进行社会工程、侦察、塑造虚假身份、转移资金和洗钱的方式，以及他们身处何地、彼此是否协作，都各不相同。这些差异能让我们把不同活动归到不同类别。 **Laura Shin：** 好。最后我当然要问问这个行业还能做些什么。Chainalysis 发推说，今年迄今，疑似与朝鲜有关的黑客攻击占已报告加密货币盗窃损失的近 89%；2021 年这个比例是 15%。每起疑似朝鲜攻击造成的平均损失，从 2021 年的 5000 万美元升到了 2026 年的 1.85 亿美元；今年迄今约为 3.7 倍。看起来朝鲜的战绩在变好，而以太坊行业——整个行业——的防御表现可能在变差。 ## [1:24:32] 让加密公司补上操作安全 · YouTube **Laura Shin：** 也许考虑到行业规模，情况不一定比以前差。但重点是朝鲜确实越来越厉害。我想知道你们会如何评价这个行业阻止攻击的努力？有没有什么容易做到、但行业还没做的事？如果要给大家一句防范这类攻击的建议，会是什么？ **Pablo Sabbatella：** 我有个看法，很多人可能会讨厌我，但我宁愿他们讨厌我，也不愿继续资助朝鲜。这个行业有个现实：多数安全研究人员是智能合约安全研究员，并非来自传统网络安全领域。他们是程序员，后来开始审计智能合约和代码，所以专攻智能合约安全。操作安全完全是另一回事。 我敢说，这个生态里至少 90% 的机构没有真正懂操作安全的人。最糟的是很多机构以为自己没问题，其实问题很大。所以我建议第一件事是聘请操作安全专家。我当然有偏见，因为这正是我公司做的事，但结合行业目前的状况，这建议很明显。如果不想聘公司，至少可以先装一个 EDR。我想我们之前谈过，EDR 比杀毒软件更高级。杀毒软件只会辨认已知病毒文件，只有看到完全相同的文件才会报警。EDR 是“端点检测与响应”工具，安装在设备上并拥有 root 权限，可以检查电脑里的各种行为，阻止恶意软件和大多数威胁。 这个生态里的多数公司不用 EDR，因为他们担心：“那会侵犯我的隐私，别人会知道我在电脑上做什么。”所以他们拒绝安装。结果呢？他们被黑了，所有东西都泄露了，既没有隐私，也没有钱。如果公司只做一件事，那就买个 EDR。CrowdStrike 很不错，一年 150 美元。它当然不能解决一切，但这是至少可以做的一件事。多数攻击都是从开发者或公司员工的笔记本电脑感染开始的。很多人以为：“我够聪明，一辈子都在上网，不可能感染。”但我们最终都会中招，所以才需要这些工具。 **Jonty：** 我完全同意 Pablo 刚才说的。如果你还没用受管理且安装了 EDR 的设备，那就赶紧买一个。我还想补充两点：领导者、安全和合规专业人员，以及整个组织，至少都应该对这个行业里的对手有基本了解。不了解威胁，就没法有效决定该为安全和合规投入多少资源、时间和精力。你得先清楚自己面对的是什么…… ## [1:28:34] 了解威胁并采取行业行动 · YouTube **Jonty：** ……所以我肯定会花时间让自己了解这些威胁。我觉得这非常重要。第二件我想呼吁行业做的事，虽然不完全属于安全技术范畴，是在攻击发生之后，整个行业必须决定不能容忍人们随意洗钱。如果继续纵容，普通散户用户——他们只是想享受区块链和加密货币技术带来的好处——创造的财富就会不断流向坏人。坏人最终会占据这个行业的绝大部分，让正派用户再也无法从中获得任何用处。我个人认为，这对加密货币行业构成了真正的生存威胁。如果我们只是在纵容坏人，就永远实现不了加密技术能带来的任何好处。 我希望大家认真讨论：去中心化到底是什么意思？我们能做些什么？从字面意义上说，“无需许可”真的是正确方向吗？这些问题都值得讨论。如果大家能采取行动阻止坏人，就应该采取行动，不要坐等执法机构、监管机构或其他部门来接管整个加密行业、告诉大家该怎么做；那样不会有好结果。应该由行业自己带头，我们可以有所作为。 我希望有一天，我可以直接联系某个协议，甚至交易所，清楚、可验证地告诉他们：“有一笔来源明确的资金，是从某次攻击中流出来的，正在通过你们的项目洗钱。”而不是对方转头叫我去报警。我认为这是整个行业能做的最有效的事情之一。我希望我们能在为时已晚之前采取行动。 **Laura Shin：** 好了各位，这次访谈太精彩了。非常感谢两位在 Unchained 分享见解。 **Jonty：** 谢谢你，Laura。 **Pablo Sabbatella：** 非常感谢。 **Laura Shin：** 另外，如果你是来听 Bits and Bips 的，那档节目马上开始，Austin、Ram 和 Chris 会一起聊 63 亿美元 Binance 攻击对加密货币普及意味着什么、市场狂热如何在比特币经历 2016 年以来最糟糕的 10 月时仍然高涨，以及周二的中期选举可能对市场意味着什么。别走开。你在 Unchained 听到的内容都不是投资建议。本节目仅供信息和娱乐之用，我和嘉宾可能持有节目讨论的资产。更多披露信息请访问 unchainedcrypto.com。