官方定性与迅速否认
2026年10月31日，美国联邦调查局将10月29日发生在币安、约63亿美元的盗窃归因于朝鲜相关行为方。该局点名其追踪的TraderTraitor集群，这一活动也与Lazarus组织和朝鲜军事情报系统有关。平壤通过官方的朝中社作出回应：金与正否认该项指控，并称之为政治挑衅。朝鲜此前已否认与WannaCry以及孟加拉国央行被盗案有关。
在美国当局和网络安全公司的报告中，Lazarus被描述为隶属于侦察总局（RGB）的结构化体系。121局等单位，以及被追踪为APT38的活动集群，经常出现在这些报告里。按上述来源的说法，这是一支经过训练、部署方式较为系统的力量。
十二年攻击史：从报复转向大规模盗窃
2014年，索尼影业遭到入侵，时间正值电影《采访》上映之后，该片嘲讽了朝鲜领导人。大量电脑陷入瘫痪，内部邮件被泄露。美国当局将此事归因于朝鲜，并将其定性为报复行动。
2016年，孟加拉国央行通过SWIFT网络遭到攻击。据美国司法部，操作者试图转走近10亿美元，实际转出约8100万美元。2017年，勒索软件WannaCry波及150个国家、数十万台电脑。美国和英国将这次行动归因于朝鲜。
加密基础设施随后成为主要目标。2022年，Axie Infinity所使用的Ronin跨链桥被盗约6.25亿美元，联邦调查局将此案归因于Lazarus。2025年2月，Bybit被盗约15亿美元：联邦调查局再次点名TraderTraitor，该金额当时成为纪录。2026年4月，KelpDAO被盗约2.9亿美元；LayerZero、Mandiant、CrowdStrike和Chainalysis将攻击归因于TraderTraitor。2026年10月，币安被盗约63亿美元，大幅超过此前的纪录。
这条时间线显示出目标的变化：先是破坏和施压，随后转为规模越来越大的资金窃取。据TRM Labs，截至2026年10月29日，自2017年以来被归因于朝鲜的加密货币盗窃累计约为128亿美元。按一些非正式测算，这一金额相当于该国一年产出的近45%。这一比较并不稳妥，因为它是把多年累积的盗窃金额，拿来对照一年的国内生产总值。Chainalysis在2025年的盘点中指出，已确认的攻击次数更少，但窃取金额创下纪录；与朝鲜相关的洗钱流量中，略超过六成是以低于50万美元的单笔转账完成的。
被描述为流水线的选拔机制
根据脱北者证词和公开调查，选拔据说从11到13岁左右开始，系统会在数学和逻辑方面突出的学生中筛选苗子，政治忠诚也是条件之一。最常被提到的学校包括金策工业大学、金日成综合大学，以及常被称作培养基地的密林大学。有证词称，竞争极为激烈，录取名额有限。
一部分入选者随后会被分配到网络部队。另有一部分据称会留在境内从事技术攻关项目，这一说法尚未得到独立确认。也有人会被派往海外，以掩护公司的名义，在开放的互联网环境中训练。美国2018年对Park Jin Hyok（朴进赫）的起诉书称，他毕业于金策工业大学，并指控他参与了索尼影业和WannaCry相关行动。由于当事人未被逮捕，这些指控尚未经过庭审检验。
多个来源描述了强度极高的工作安排，日工作时长可达15到20小时，管理方式军事化，个人自主空间很小。这些细节主要来自证词和调查报告，而不是对培养体系的独立查验。
假身份远程打工与“笔记本农场”
美国当局还记录了另一种手法：朝鲜信息技术人员使用虚假身份，应聘欧美公司的远程岗位。为绕过定位检查，当地协助者会在自己住所托管雇主配发的电脑。这种安排常被称为“笔记本农场”。
根据美国司法部，Christina Marie Chapman于2025年7月24日因此类活动被判处102个月，也就是八年半监禁。该案帮助相关人员进入了300多家美国公司。
2026年10月13日，司法部宣布采取协调行动。在“孤星围捕”行动中，联邦调查局搜查了得克萨斯州40多处涉嫌运营此类农场的住所，并缴获约187台设备。在俄亥俄州另行提起的起诉中，有14人被指控。当局表示，这类计划旨在为政权创收，部分人员还曾窃取雇主数据。
据称，他们工资的大部分，有时被说成90%到95%，会被上缴给政权。留在国内的家人会被当作约束，入选者则可能在平壤分到更好的住房，并获得更广的信息渠道。这些细节来自证词，并未逐一得到核实。
四条证据链，以及它们的限度
公开层面的归因据称建立在多条线索的叠加之上。第一条是赃款流向：链上调查人员表示，从币安转出的资金在多轮转移后，汇入了此前已与朝鲜相关盗窃案关联的钱包集群。
第二条是手法特征。攻击前的准备，以及对内部运维人员电脑的针对，被拿来与以往案件比较。在币安一事上，公开报道也提到，攻击者可能通过一名工程师的电脑获得了访问权限。
第三条是分散速度。为减少稳定币被冻结，资金被转移到大量钱包和多条链上。据称他们还会使用即时交易和抵押借贷，这一具体手法尚未被此处核对过的公开来源所确认。联邦调查局公布了600多个地址：据媒体对清单的统计，其中包括608个以太坊地址、19个比特币地址和1个Solana地址。Chainalysis预计，这一数字还会扩大到数千甚至数万个地址。根据TRM Labs，稳定币发行方和Arbitrum安全委员会冻结了近27亿美元。
第四条是链下情报，具体内容并未公开。若要理解这类证据可能是什么样子，可以看2018年对Park Jin Hyok的起诉书：其中提到多个账号反复使用“tty”这一字符串，并称有人从朝鲜IP登录索尼网络。这据称是目前公众能够看到的最完整的一条证据链，但并不是每一环都能从外部独立核验。
核心人员为何难以被逮捕
被指认为核心运营人员的人并未落网。他们身处朝鲜，而朝鲜与美国没有引渡条约。通缉令更多是公开点名。真正被捕的，主要是海外协助者，尤其是笔记本农场的中间人。
这对行业意味着什么
这起约63亿美元的盗窃，对行业会是一次重大冲击，也会暴露出资金转移速度与许多平台安全水平之间的落差。人工智能还可能让这类攻击更加自动化、也更快。
提醒用户的几条规则仍然简单：不要点击陌生链接，保护好自己的私钥，并把自身安全真正放在优先位置。每个人仍需对自己的判断和决定负责。