北朝鲜的拉撒路集团黑客攻击概述
2026年4月，北朝鲜的拉撒路集团（Lazarus Group）通过两次黑客攻击盗取了价值5.77亿美元的加密货币，占当年所有加密货币盗窃的76%。这两次攻击并非利用智能合约漏洞，而是攻击者花费六个月时间伪装成一家交易公司，亲自参加加密货币会议，与Drift Protocol的工程师建立真实关系，最终提取所需的签名，在短短十二分钟内盗走了2.85亿美元。另一场攻击则从一个单一的脆弱桥节点中盗取了2.92亿美元。这不再是一个加密货币安全问题，而是一个由国家支持的情报行动，北朝鲜利用这些资金来资助其武器计划，而整个行业才刚刚开始意识到这一点。
攻击细节与影响
2026年4月1日16:06:09 UTC，攻击者从Solana上最大的去中心化永续期货交易所Drift Protocol的主要金库中盗走了大约2.85亿美元的用户资产。第一次提款转移了4172万JLP代币，最后一次则转移了2200个包裹ETH。整个金库在十二分钟内被清空，几乎与撰写一条长短信所需的时间相当。团队在几小时内发布的第一份公开声明，要求社区确认他们所看到的异常活动并不是愚人节的玩笑。事实并非如此。这是北朝鲜政府的特工经过六个月的系统准备后所取得的成果。
就在17天后，4月18日，攻击者通过操控KelpDAO的LayerZero桥的单一验证器配置，盗走了2.92亿美元。两次攻击合计占据了2026年4月625亿美元加密货币盗窃的约95%，使得2026年4月成为有记录以来加密货币安全最糟糕的一个月。截止到4月，年初至今的盗窃总额已超过10亿美元。TRM Labs将2026年总盗窃额的76%归因于这两次攻击，且均为同一威胁行为者所为。
拉撒路集团的背景
这个威胁行为者就是拉撒路集团，这是西方情报机构用来指代北朝鲜主要情报机构侦察总局（Reconnaissance General Bureau）所运营的国家支持黑客行动的总称。自2017年以来，拉撒路及其子单位已盗取超过60亿美元的加密货币。根据Chainalysis的数据，仅在2025年就盗取了20.6亿美元，主要是由于当年2月发生的15亿美元Bybit黑客事件，这是历史上最大的加密货币盗窃事件。2026年的盗窃速度使得该集团有望轻松超过2025年的总额。
攻击的社会工程策略
这并不是一个传统意义上的加密货币安全故事。DeFi协议今天面临的威胁与它们最初设计时所防御的威胁截然不同。2020年代的担忧是智能合约漏洞和闪电贷攻击，即代码中的漏洞。而2026年的现实是由情报专业人士主导的持续多国、多月的行动，他们不需要代码漏洞，因为他们已经掌握了密钥。他们只需说服某人将其交出。
这就是Drift攻击的本质。理解这一点是目前任何加密货币持有者、开发者或高管最重要的安全教育。
Drift Protocol的事后分析
Drift Protocol在4月初发布的事后分析报告更像是一份反情报报告，而非安全披露。报告始于2025年10月。在一次大型加密货币会议上，一群自称是量化交易公司代表的人接触了Drift的贡献者。他们有经过验证的专业背景，展现出技术流利度，并提出了真正的机构交易公司在与永续协议整合时会问的各种问题。Drift的贡献者们，通常会处理这样的请求，将他们视为任何其他潜在的机构合作伙伴。
Drift随后澄清，参与这些面对面会议的个人并非北朝鲜国籍。拉撒路的行动几乎总是使用第三方中介进行面对面的接触，实际的技术操作人员则留在北朝鲜或中国。区块链调查员ZachXBT多年来一直在追踪朝鲜的加密货币行动，他指出这种分层身份结构是拉撒路行动的一个显著特征。
攻击的执行与后果
该小组并没有在第一次会议后停止。六个月内，同一批特工或伪装成同一身份的特工出现在多个全球行业活动中，深化与特定Drift贡献者的关系。为持续讨论交易策略和整合可能性，建立了一个Telegram群组。从2025年12月到2026年1月，这家假冒的交易公司与Drift“入驻了一个生态系统金库”，提交了策略细节，并作为合作伙伴向协议存入超过100万美元。这不是一个普通的诈骗操作，而是一个拥有预算的情报机构在进行人力情报（HUMINT）活动。
到2026年2月和3月，关系已经足够深入，以至于贡献者们信任这些对手，愿意分享代码库和应用程序。根据Drift的说法，攻击者使用了两种特定的恶意软件向量。其中一种涉及共享包含代码的代码库，当在VSCode或Cursor（AI增强的代码编辑器）中打开时，可能会通过当时未修补的漏洞触发静默代码执行。另一种则涉及一名贡献者下载被称为钱包产品的内容，该产品通过TestFlight（苹果的测试平台）分发，从而使设备受到损害。
资金流向与行业影响
一旦攻击者获得了正确机器的访问权限，他们就获得了正确钱包的访问权限。而一旦他们拥有了正确的钱包，其余的操作就是后勤。
在盗窃发生前一周多的3月23日，攻击者使用Solana的“持久非对称”功能设置了四个钱包，该功能允许预签名的交易在未来的任何时刻执行。其中两个钱包属于Drift安全委员会的受损成员，该多重签名签署组控制着协议最敏感的功能。其他两个则在攻击者的直接控制之下。通过社会工程和受损设备，攻击者获得了执行预签名交易所需的五名安全委员会签署者中的两名的多重签名批准。
4月1日，当Drift团队从保险基金进行例行提款时，攻击者在四个区块间隔内执行了两笔预签名交易。这些交易夺取了管理员控制权，引入了一种名为CarbonVote Token（CVT）的合成资产进入现货市场，通过在两个去中心化交易所进行洗盘交易操纵其价格，以制造出合法价值的虚假外观，并将协议的USDC提款限额提高到500万亿。CVT随后作为抵押品存入整个金库。十二分钟后，2.85亿美元不翼而飞。
攻击者通过Jupiter（Solana最大的DEX聚合器）将被盗资产兑换为USDC，并通过Circle的CCTP协议将约129,000个ETH（价值2.7亿美元）桥接到以太坊。他们在完成桥接之前，持有被盗的USDC几个小时。Circle在此期间并未冻结资金。安全研究员Specter当时指出，攻击者故意避免将资金转换为Tether，这表明他们对Circle不会干预的信心。他们的判断是正确的。
行业的反思与未来
阅读Drift的事后分析，诱惑是将其视为一次非同寻常的个案。六个月的操作。多个受损设备。预签名交易。洗盘交易的虚假抵押品。它读起来像是一部好莱坞剧本。
但退一步看，过去三年每一次主要的拉撒路DeFi攻击的架构指纹都是相同的。一个受损的人类签署者。一个削弱的多重签名配置。一个延迟或缺失的时间锁。一个伪装成例行操作的恶意载荷。2025年2月的Bybit黑客事件，15亿美元的盗窃现已被FBI归因于一个名为TraderTraitor的拉撒路子集，采用了相同的方法。Bybit的签署者认为他们正在通过Safe的多重签名基础设施批准例行的冷钱包操作。事实并非如此。Safe基础设施通过开发者侧攻击被攻破，而他们签署的交易则转移了钱包合约本身的控制权。
再往前看，模式依然成立。2022年的Ronin Bridge黑客事件，从Axie Infinity的桥中损失了6.25亿美元，始于针对开发者的虚假LinkedIn工作邀请。一个恶意的“面试挑战”下载了恶意软件。恶意软件攻陷了验证节点。攻击者获得了所需的五个验证者签名并抽走了桥的资金。2024年的DMM比特币黑客事件，损失3亿美元，开始的方式相同：一名虚假招聘者联系了Ginco的工程师，Ginco是DMM所依赖的钱包提供商。2023年的CoinsPaid攻击，再次是相同的剧本。
应对拉撒路问题的建议
相同的剧本之所以屡屡奏效，是因为攻击面，即人类信任，并没有像智能合约那样得到加强。
这种重复性是理解拉撒路问题的最重要的事情。智能合约审计已成为DeFi中的常规工作。每个严肃的协议都会进行审计，通常由多家机构进行。漏洞奖励计划也很普遍。但这些都无法捕捉到针对人类签署者的六个月社会工程操作。代码安全的成熟度与操作安全的成熟度之间的差距，正是拉撒路在过去五年中工业化的领域。
2026年的演变增加了两个新因素。一个是将AI增强的编码工具作为攻击向量。VSCode和Cursor使得开发者打开和运行来自外部源的代码变得极为简单。这种便利性也扩大了攻击面。Drift攻击利用了一个特定的漏洞，即在开发环境中打开代码库可能触发静默代码执行。这并不是Drift独有的缺陷，而是每个使用这些工具的开发者都面临的一类漏洞，几乎所有开发者都在使用这些工具。第二个新因素是AI本身。网络安全研究人员在今年春季向美国国会小组作证时指出，朝鲜的特工现在正在使用AI工具生成更具说服力的虚假身份，撰写更可信的通信，并加快对目标的早期侦察。那些改变合法商业的生产力工具也在改变攻击者。
被盗资金的去向
值得明确的是，被盗资金最终去向，因为这是加密货币行业对这个故事感到不安的地方。
联合国朝鲜问题专家小组估计，加密货币盗窃资金为朝鲜的导弹和核武器开发预算提供了重要部分。这个估计现在反映在美国财政部和韩国情报评估中。自2017年以来，朝鲜累计的加密货币盗窃超过60亿美元，使这一活动成为该政权最大的外汇来源之一，仅次于对中国的煤炭出口和派遣海外IT工人。
从“被盗ETH”到“武器采购”的机制是有据可循的。在初始盗窃之后，资金通常会被兑换成比特币或稳定币，然后通过跨链桥转移以掩盖踪迹。THORChain，作为跨链交换协议，因其运营商公开拒绝考虑冻结或筛选交易而成为首选路线，认为任何此类干预与协议的去中心化原则相悖。THORChain处理了Bybit和KelpDAO黑客事件的大部分洗钱交易。从那里，资金通过俄罗斯的加密货币交易所和中国的场外交易台转移，然后被兑换成法币，流入被国际协议制裁的采购网络。
加密货币行业的角色与挑战
加密货币行业在这一管道中的角色令人不安但不可避免。拉撒路的每一次协议漏洞，实际上都是将资本从加密货币用户转移到一个威胁其邻国的国家的武器开发中。每一个未防御的多重签名都是对这一管道的贡献。每一个开发者在未验证的情况下点击“投资组合公司面试”的日历邀请，实际上都成为了朝鲜导弹预算中的一项支出。
对于一个建立在无权限访问和去中心化基础上的行业来说，这是一句艰难的话。加密货币的本能，从其起源开始，就是将代码视为信任的核心，并对中介筛选、地址黑名单和集中干预持怀疑态度。这种本能在许多情况下为行业带来了好处，但在这里却适得其反。THORChain拒绝筛选交易与其所声明的原则一致，但这也是朝鲜使用THORChain的原因。两者都是事实。
DeFi银行挤兑的出现
4月18日的KelpDAO攻击在一个重要方面与Drift攻击结构上不同：它产生了加密货币行业多年来讨论但从未真正见证过的现象——DeFi银行挤兑。
在KelpDAO桥被盗的几个小时内，被盗的rsETH（KelpDAO的再质押收据代币）被作为抵押品存入Aave和其他借贷平台，而KelpDAO的底层合约被暂停，代币的真实价值崩溃。Aave用户发现他们借出的ETH突然由毫无价值的资产作为抵押。48小时内，超过84亿美元的存款离开了Aave。整个生态系统的DeFi总锁仓价值在同一时间窗口内下降了超过130亿美元，因为用户在先提款后提问。
这不是恐慌。这是经典的教科书式银行挤兑，传统金融监管机构专门设计存款保险和最后贷款人设施以防止此类事件。DeFi没有这些。Aave的智能合约仍在正常运行，提款仍在清算，系统保持稳定，这确实是值得称赞的，主要归功于协议的设计。但结果更接近于一个级联清算事件，而不是大多数报道所承认的那样。
应对拉撒路问题的三项建议
这一结构性影响是显而易见的。随着DeFi的成熟，它建立了可组合性，即任何代币都可以作为任何其他产品的抵押。这种可组合性使得单一受损资产能够在数小时内在多个协议中传播损失。Aave的安全模块不足以吸收来自rsETH抵押贷款的最终坏账。估计在保险基金耗尽后，仍有1亿到1.2亿美元的损失，Aave的治理现在公开讨论谁来承担剩余的损失。正在考虑的提案将损失平均分摊给持有受影响头寸的借款人。
用简单的话来说，这是DeFi中最大借贷协议之一的存款人自救事件。这是一种在加密货币可组合性版本的早期阶段并不存在的风险。现在存在，而拉撒路刚刚展示了如何触发它。
仅仅描述问题的文章是令人沮丧的。更难的问题是，实际上需要改变什么，才能使拉撒路问题变得可处理。
三件事，按实施难度排序。
- DeFi协议内部的操作安全文化。拉撒路所利用的攻击面并非技术性，而是人性。这意味着防御也必须是人性化的：培训贡献者识别社会工程，增强招聘和入职流程以防止虚假身份渗透，要求在签署重要交易之前进行多渠道验证，并将“这似乎太好了，不真实”视为实际的安全信号。部分工作正在进行，但仍是项目逐个进行，没有一致的行业标准。DeFi行业的审计基础设施花了五年时间才专业化，而操作安全的等价物才刚刚开始。
- 治理和多重签名系统的架构设计。许多拉撒路成功的攻击依赖于特定的漏洞模式：一个相对少数签署者的多重签名，时间锁短或缺失，以及没有自动控制机制在交易执行前标记异常交易。架构修复并不复杂。延长时间锁。增加签署者数量。独立监控待处理交易。硬件强制分离签署密钥和开发者机器。已经实施这些措施的协议通常没有被盗，而没有实施这些措施的协议则遭受了损失。
- 基础设施层。THORChain拒绝筛选交易是一个架构选择，背后有真实的原则辩护。但这一选择在2026年已成为世界上最繁忙的国家支持的加密盗贼洗钱管道的支柱之一。某种程度上，如何处理基础设施层的中立性与系统性共谋之间的关系将不得不面对，这一问题不会完全在加密货币内部解决。它将涉及制裁执行、交易所合规和国际协调。部分工作已经在进行中。TRM Labs的Beacon Network在2025年和2026年显著扩展，能够在已知不良地址收到资金时提醒成员交易所和协议。然而，这些机构响应的速度仍然滞后于它们试图捕捉的攻击速度。
结论
拉撒路故事中最困难的事情是，它迫使加密货币行业面对一个与其自我认知不完全契合的真相。
在其大部分历史中，加密货币将自己框定为创新者与过时监管者之间的斗争、无权限系统与看门人之间的斗争、代码与人类裁量之间的斗争。在这种框架下，行业面临的威胁来自外部压力：政府试图限制它，银行试图与之竞争，记者将其抛弃。拉撒路的现实则不同。威胁并非外部压力，而是一个敌对的国家支持对手，已经工业化地利用了加密货币的特定结构特征，即缺乏中介筛选、多重签名治理的普遍性、跨链结算的速度、洗钱资金的难度，反过来对行业本身造成了伤害。
这一对手并不关心加密货币对自身的意识形态承诺。它关心的是提取价值，而使加密货币有用的设计选择恰恰是使其高效盗窃的选择。行业花了多年辩论是否应该更像传统金融系统。拉撒路问题则表明，更有趣的问题可能是如何构建一个可防御的版本，适应加密货币实际上已经成为的系统：可组合的、快速的、跨链的，而现在，显然是一个目标。
2026年4月的数据不会是行业所见的最糟糕的情况。这不是悲观，而是趋势线。进行六个月准备的拉撒路行动几乎肯定在并行针对其他协议进行其他操作。其中一些将会成功。问题是，在下一个3亿美元的盗窃发生之前，行业是否已经做好了工作，使得操作的成本超过收益，或者2026年4月是否是国家支持对手发现一个永久性错误定价的预览。
目前，答案尚不明确。显而易见的是，讨论已经从“DeFi有安全问题”转向更具体且更困难的问题。一个国家级的情报机构已经识别出一个不对称的攻击面，并在过去五年中以日益复杂的方式进行利用。行业的防御尚未赶上这一现实。
这一差距就是故事所在。未来一年的加密货币安全将围绕行业是否能够弥补这一差距，或者这一差距是否会使行业走向终结。
本文仅供信息参考，并不构成安全或投资建议。安全事件、归属和恢复工作迅速演变；所描述的数字和操作细节反映截至2026年5月中旬的报道。请务必自行研究并咨询合格的安全专业人士。
