史上最大加密货币劫案：Bybit发生了什么？
2025年2月21日，世界见证了有记录以来规模最大的加密货币盗窃案。近15亿美元的数字资产在一次造成重大损失的安全漏洞中，从总部位于迪拜的加密货币交易所Bybit消失。这次攻击规模巨大、手法精密，不仅震动了全球金融体系，暴露出亚洲快速发展的加密货币市场存在的漏洞，也令人警觉地看到朝鲜国家支持的网络行动人员所能触及的范围。
目录
Bybit是全球最大的加密货币交易所之一，拥有逾6000万用户，却成为网络犯罪新时代的风暴中心。区块链分析公司Chainalysis称，2025年上半年，这起黑客攻击案涉及的资产接近全球被盗数字资产总额的70%。这一事件凸显了数字生态系统日益扩大的安全裂缝，也表明朝鲜黑客的手段和野心正危险升级。
黑客攻击是如何发生的？
此次安全漏洞始于一笔看似常规的交易。Bybit首席执行官Ben Zhou批准了一笔看似普通的以太币（ETH）转账，这是一种广受欢迎的加密货币，转账双方均为公司账户。他并不知道，黑客早已攻破Bybit用于管理这些交易的软件界面。几分钟内，攻击者便控制了一个装有401,000枚ETH的钱包，这些资产当时价值15亿美元，随后将资金转至由他们控制的地址。
调查显示，黑客利用了一款名为Safe的免费软件产品中的漏洞。Bybit依靠这款软件存储和管理数字资产。攻击者操纵Safe用户界面并注入恶意代码，诱骗Bybit批准了这笔欺诈性交易。这起事件不仅是一次技术故障，也鲜明地提醒人们，数字金融行业依赖第三方软件所带来的风险不容忽视。
即时冲击与行业应对
此次事件造成的影响立竿见影且十分严重。加密货币市场大幅下跌，比特币较1月高点下跌20%。行业信心也随之动摇，尤其是当时美国及其他地区的政策制定者正就新规展开辩论，试图推动数字资产走向主流应用。
Bybit回应称将保障客户资金，并推出资产追回悬赏计划，向协助追踪并冻结被盗加密货币的人提供追回资产金额最高10%的奖励。数周内，超过4000万美元的被盗资金被确认并冻结，参与者获得了逾400万美元的奖励。不过，专家警告称，大部分被盗资产已“销声匿迹”——经由复杂渠道洗钱，可能已无法追回。
谁是幕后黑手？朝鲜拉撒路集团与TraderTraitor
朝鲜很少承认发动网络攻击，但Bybit案中的证据确凿。美国联邦调查局（FBI）与国际网络安全公司将此次黑客攻击归咎于朝鲜臭名昭著的拉撒路集团及其名为TraderTraitor的下属组织。这些由国家支持的黑客因大胆盗窃而声名狼藉，并利用所得资金资助政权的核武器和导弹计划。
据FBI称，“TraderTraitor”行动结合了社会工程、供应链攻击和技术漏洞利用等手段。该组织以区块链和加密货币机构为目标，常通过虚假招聘信息和恶意开源软件渗透目标。一旦进入系统，他们就会部署恶意软件窃取凭证、导出加密货币钱包密钥，最终将大量数字资产转移至朝鲜控制的地址。
拉撒路集团的行动手法
拉撒路集团的战术迅速演变。近年来，他们曾：
- 在LinkedIn、Slack和Telegram等平台发起钓鱼攻击，诱骗员工下载恶意软件。
- 入侵开发人员的设备，并向软件供应链注入恶意代码。
- 利用云服务和存储软件中的漏洞，Bybit黑客攻击案便是如此。
- 利用去中心化金融（DeFi）工具、跨链桥和加密货币混币器洗钱并掩盖资金来源。
区块链分析公司Elliptic联合创始人Tom Robinson博士解释了该组织为何如此得手：
朝鲜最擅长洗钱，很可能使用自动化工具并轮班作业，将加密货币变成现金。该组织将国家级的行动能力与网络犯罪团伙的灵活性结合起来，对全球金融体系构成重大威胁。
朝鲜如何洗白被盗加密货币？
Bybit劫案最令人担忧的一点，是被盗资产洗钱的速度和效率。48小时内，至少1.6亿美元经由非法渠道转移；截至第一周末，转移金额已超过4亿美元。到3月初，第一阶段洗钱已经完成，绝大多数被盗以太币都已兑换成比特币，并分散到数千个钱包中。
去中心化金融：一把双刃剑
黑客大量使用去中心化金融（DeFi）协议，尤其是THORchain等跨链桥，以兑换资产并掩盖踪迹。这些工具旨在让不同加密货币之间无需中介即可顺畅转账，但也使执法部门难以追踪和冻结非法资金。
将被盗以太币跨链转为比特币后，黑客把大笔资金存入Wasabi和CryptoMixer等加密货币混币器。这类服务会混合多个用户的交易，几乎不可能追踪特定币种的来源。尽管区块链的透明性允许公众追踪交易，但洗钱过程规模庞大、错综复杂，令合规团队和调查人员应接不暇。
尽管黑客采取了这些操作，仍有相当一部分兑换后的比特币处于闲置状态，这表明他们可能正准备大规模变现，或通过场外交易网络进一步掩盖资金流向，尤其是在中国部分执法较宽松的地区。
朝鲜为何盯上加密货币？这对全球意味着什么？
朝鲜转向盗窃加密货币，背后是现实所迫。由于受到国际制裁且面临严重经济困难，朝鲜政权已将网络犯罪作为获取硬通货的主要来源。联合国估计，自2017年以来，朝鲜窃取了价值超过30亿美元的加密货币，其中很大一部分被认为用于资助其武器计划。
Bybit黑客攻击案是更广泛趋势的一部分。仅2025年上半年，全球就有超过21.7亿美元的加密货币遭窃，其中近70%归咎于朝鲜黑客。这波网络犯罪浪潮带来全球性影响，损害人们对数字金融的信任，并促使各方呼吁加强监管和国际合作。
人为因素：社会工程与云端漏洞
技术漏洞只是事件的一部分。朝鲜黑客已擅长利用社会工程手段，诱骗员工向他们开放敏感系统的访问权限。他们常冒充招聘人员或IT专业人士，提供虚假工作机会，诱使受害者下载恶意软件或泄露凭证。这些手法对基于云端运营的加密货币公司尤其有效，因为这类公司往往依赖远程员工和第三方软件。
安全研究公司Wiz的安全研究员Benjamin Read指出：
TraderTraitor专注于攻击云端系统，因为数据和资金都在那里，尤其是那些采用云优先基础设施的新兴加密货币公司。随着行业发展，复杂威胁行为者可攻击的范围也在扩大。
亚洲加密货币生态系统：安全薄弱环节？
Bybit黑客攻击案暴露了亚洲数字金融行业的重大漏洞。快速增长、监管缺口以及对第三方软件的依赖，使该地区成为网络犯罪分子的首要目标。Chainalysis称，这一事件“暴露出亚洲数字生态系统日益扩大的安全裂缝，也预示着网络犯罪新时代的到来”。
Bybit总部虽设在迪拜，但其用户群和业务重心深深扎根于亚洲。该地区加密货币市场的蓬勃发展快于稳健安全标准的建立，令交易所和投资者暴露在日益复杂的攻击风险之下。
行业与监管应对
Bybit黑客攻击案发生后，行业领袖和监管机构正在重新评估安全策略。Bybit承诺承担客户损失，并正与取证专家合作追踪和追回被盗资产。与此同时，各国政府和执法机构呼吁加强国际合作，并为加密货币交易所制定统一的安全规范。
特朗普政府执政期间，美国政府将加密货币列为技术政策的重点，旨在使美国成为全球数字金融领域的领军者。然而，Bybit遭袭凸显出加强监管和改进安全措施的迫切性，以保护消费者并维持行业信心。
朝鲜网络军团：日益严重的威胁
拉撒路集团及其包括TraderTraitor在内的下属组织，代表着朝鲜网络能力的前沿水平。据认为，这些组织拥有数千名成员，通过轮班工作提高效率。其行动组织严密，将国家资源与网络犯罪团伙的灵活性融为一体。
朝鲜的网络战略多管齐下。除了直接盗窃，朝鲜政权还派遣远程IT工作者渗透科技公司、窃取知识产权并勒索企业。这些活动所得资金被转回平壤，用于支持受制裁的武器计划并维持陷入困境的经济。
Chainalysis称，2024年朝鲜黑客涉案资金占全部被盗加密货币的61%，2025年这一比例有望进一步上升。他们适应和创新的能力——利用人工智能撰写以假乱真的钓鱼邮件、利用新技术，并同时瞄准大型交易所和个人钱包——使其成为持续演变的威胁。
此前引人关注的攻击事件
Bybit黑客攻击案只是近年一系列被归咎于朝鲜的重大加密货币盗窃案中的最新一起。值得关注的事件包括：
- 2022年Ronin Bridge遭攻击（被盗6亿美元）
- 2023年Atomic Wallet遭入侵（被盗1亿美元）
- 2019年UpBit遭黑客攻击（被盗4100万美元）
- 2020年KuCoin遭盗窃（被盗2.75亿美元）
每起攻击都展现出更高的技术复杂程度和行动规模，而Bybit安全漏洞案则在这两方面都创下了新纪录。
执法挑战与未来应对
尽管区块链技术具有透明性，每笔交易都有公开记录，执法部门在追踪和追回被盗加密货币方面仍面临重大挑战。混币器、跨链桥和去中心化交易所让黑客能够迅速转移并掩盖资金流向，往往快于调查人员的应对速度。
国际合作至关重要。FBI公布了与朝鲜黑客相关的钱包地址清单，并敦促交易所和服务提供商拦截来自这些地址的交易。然而，并非所有加密货币公司都愿意或有能力配合，而该行业的去中心化特性也使执法工作更加复杂。
目前已经取得一些进展。Bybit的悬赏计划及其与区块链分析公司的合作，促成了数千万美元被盗资产的冻结。不过，鉴于朝鲜的专业能力及其洗钱网络的全球覆盖范围，专家仍不看好大部分资金能够追回。
监管与安全启示
Bybit黑客攻击案引发了以下呼声：
- 加强加密货币交易所的安全标准，包括定期审计和第三方软件评估
- 提升行业参与者与执法部门之间的透明度和信息共享
- 建立应对加密货币犯罪跨境特性的国际监管框架
- 加强公众意识，普及社会工程和钓鱼攻击风险相关知识
要在数字金融体系中建立信任，需要行业、监管机构和消费者共同协作。
总结
- 2025年2月21日发生的Bybit黑客攻击案导致15亿美元加密资产被盗，是史上规模最大的此类劫案。
- 此次攻击被归咎于朝鲜拉撒路集团及其下属组织TraderTraitor，手段包括技术漏洞利用和社会工程。
- 被盗资金通过去中心化金融工具、跨链桥和加密货币混币器迅速洗白，令追回工作困难重重。
- 朝鲜的网络犯罪活动被认为用于资助其核武器和导弹计划，构成全球安全威胁。
- 这一事件暴露了亚洲加密货币生态系统的重大漏洞，也凸显了全球加强安全和监管措施的必要性。
- 行业和执法部门的应对已冻结部分被盗资产，但大部分资金仍无法追回。
- Bybit黑客攻击案凸显了加强国际合作、制定稳健安全标准并提升公众意识的迫切性，这些举措对保障数字金融的未来至关重要。
