如果说普通黑客的目标是窃取数据，那么 Lazarus Group（拉撒路组织）的攻击目标早已超出了传统网络犯罪的范畴。
过去十余年，这个被美国政府认定与朝鲜有关联的黑客组织，持续攻击全球银行、金融机构、科技企业和加密货币项目。从索尼影业遭到攻击，到孟加拉国央行8100万美元被盗，再到 Ronin 跨链桥、Harmony 网络以及2025年 Bybit 近15亿美元资产失窃，Lazarus 相关行动不断刷新全球金融行业对网络安全风险的认知。
他们攻击的不仅是系统漏洞，更是人与人之间的信任、企业内部的权限，以及整个金融基础设施的安全边界。
一、Lazarus 究竟是什么组织？
Lazarus Group，又称拉撒路组织，是网络安全行业对一系列朝鲜背景网络攻击活动的统称。
美国财政部于2019年正式对 Lazarus Group 实施制裁，并指出其与朝鲜侦察总局存在关联。
其相关攻击活动涉及金融机构入侵、商业机密窃取、勒索软件、加密货币盗窃以及网络基础设施破坏。在网络安全研究中，还经常出现 APT38、TraderTraitor、Bluenoroff 等名称，用于描述相关攻击活动或关联威胁集群，但这些名称并不意味着所有行动都由同一团队执行。
美国政府认为，朝鲜相关网络犯罪活动是其获取非法资金的重要渠道，部分资金可能被用于支持朝鲜政权及其武器项目。
二、十余年攻击史：那些震动全球的重大事件
2014年：索尼影业遭到攻击
2014年11月，索尼影业遭遇大规模网络攻击。攻击者入侵公司内部网络，窃取大量敏感资料，并利用破坏性恶意软件删除数据，导致企业业务受到严重影响。
泄露资料包括高管内部邮件、员工个人信息、未公开电影资料、企业财务信息以及商业机密。
这次事件让全球企业意识到，网络攻击不仅能够窃取信息，还可以直接破坏企业的正常运营。美国政府后来将这次攻击与朝鲜相关网络行动联系起来。
2016年：孟加拉国央行8100万美元被盗
这是 Lazarus 相关金融攻击历史上最著名的事件之一。
攻击者首先入侵孟加拉国央行内部系统，获取相关银行通信凭证，再利用 SWIFT 国际银行间金融通信系统发送虚假转账指令。
攻击者试图转移约9.51亿美元资金，其中部分交易被及时阻止，最终约8100万美元成功转移。
这次事件暴露了传统金融系统的重大风险：即使银行拥有成熟的国际支付体系，一旦内部终端、身份凭证和操作流程遭到攻破，依然可能造成巨额损失。
2017年：WannaCry 勒索病毒席卷全球
2017年5月，WannaCry 勒索病毒迅速扩散至全球至少150个国家，感染约30万台计算机。
病毒利用 Windows 系统漏洞传播，感染设备后加密文件，并要求受害者支付比特币赎金。
英国国家医疗服务体系（NHS）受到严重影响，医院预约、医疗服务和内部系统运行遭到干扰，超过1.9万次预约被取消。
美国、英国等国家随后公开将 WannaCry 攻击归因于朝鲜相关网络行动。这次事件证明，网络攻击的破坏力已经不再局限于金融损失，甚至可能影响医疗服务和公共基础设施。
2022年：Ronin Bridge 被盗约6.25亿美元
2022年3月，区块链游戏 Axie Infinity 背后的 Ronin 网络遭到攻击。
攻击者通过针对 Sky Mavis 相关人员的社会工程攻击，获得了控制验证节点所需的权限，最终控制了足够数量的验证节点。
随后，攻击者从 Ronin Bridge 转走约173,600枚ETH和2550万枚USDC，按照当时市场价格计算，损失约6.25亿美元。
直到数天后，项目方才发现异常。美国 FBI 于2022年4月正式将此次攻击归因于 Lazarus Group 及相关朝鲜网络行动。
这次事件暴露出跨链桥的核心风险：区块链本身可以正常运行，但如果控制资产跨链转移的验证机制失守，整个桥接系统就可能成为攻击目标。
2022年：Harmony Horizon Bridge 被盗1亿美元
2022年6月，Harmony 项目的 Horizon 跨链桥遭到攻击，约1亿美元加密资产被盗。
美国 FBI 在2023年1月正式确认 Lazarus Group 对此次盗窃负责。此后，攻击者利用不同地址和隐私协议转移资金。
FBI 还披露，相关人员曾利用 RAILGUN 等隐私协议处理部分被盗ETH。
这说明，盗取资产只是攻击行动的一部分，如何转移、拆分和处理被盗资金，同样是整个犯罪链条的重要环节。
2023年：加密货币行业接连遭袭
2023年，Lazarus 相关网络攻击继续针对加密货币行业。
Atomic Wallet 损失约1亿美元，Alphapo 约6000万美元，CoinsPaid 约3700万美元，Stake.com 约4100万美元。
美国 FBI 陆续公布相关归因信息，将这些事件与朝鲜相关网络攻击活动联系起来。
攻击目标已经不再局限于大型交易所，而是逐渐扩展到钱包服务商、支付平台以及整个加密货币生态系统。
2025年：Bybit 遭遇约15亿美元资产盗窃
这是加密货币行业历史上规模最大的资产盗窃事件之一。
2025年2月21日，Bybit 遭到攻击，约14.6亿美元的ETH及相关资产被转移。
这次攻击最值得研究的地方在于，攻击者并不是简单地破解交易所密码，而是利用供应链和交易签名流程中的信任关系实施攻击。
根据 Bybit 公布的调查信息，攻击者入侵了 Safe 相关开发人员的凭证及基础设施，操纵交易签名界面，使签名者看到的交易内容与实际执行的恶意交易不一致。
最终，攻击者控制了 Bybit 一个 ETH 冷钱包，转移了约14.6亿美元资产。
2025年2月26日，美国 FBI 正式将这次攻击归因于朝鲜相关网络攻击人员，并将其归入 TraderTraitor 活动。
FBI 还披露，攻击者迅速将部分被盗资产兑换成比特币及其他加密资产，并分散到大量区块链地址中。
这次攻击给整个行业敲响了警钟：冷钱包不代表绝对安全，多签机制也不代表绝对安全，硬件钱包同样无法防止所有恶意签名。
真正的问题不只是私钥有没有泄露，而是你签署的交易究竟是什么。
三、Lazarus 究竟如何实施攻击？
研究这些历史事件，可以发现几个反复出现的攻击模式。
首先是社会工程攻击。
攻击人员可能伪装成投资机构、招聘人员、技术开发者、项目方或者商业合作伙伴，通过 X、LinkedIn、Telegram 和电子邮件接触目标。建立信任后，再发送所谓的工作文件、投资资料、代码测试或会议邀请。
一旦目标下载并运行恶意文件，攻击者就可能进一步窃取账户凭证、获取设备访问权限，甚至渗透企业内部网络。
其次是供应链攻击。
大型交易所和区块链项目通常拥有多层安全防护，直接攻击核心系统的难度较高。因此，攻击者可能将目标转向开发人员、第三方服务商、软件供应商以及其他拥有系统访问权限的合作方。
Bybit 事件就是典型案例。攻击者利用第三方开发环境和交易界面遭到入侵的机会，影响签名者对交易内容的判断。
第三是链上资金转移。
资产被盗之后，攻击者可能通过多个地址拆分资金，利用跨链兑换、不同交易平台以及隐私协议增加追踪难度。
但区块链并不是完全匿名的。每笔交易都会留下记录，即使攻击者不断更换地址，资金流向、交易时间、共同资金来源和地址之间的关系，仍然可能成为调查线索。
这也是为什么 FBI、区块链分析公司和交易平台能够通过链上追踪识别部分被盗资金。
四、这些攻击给全球加密货币行业造成了什么影响？
首先，金融机构的安全信任受到冲击。孟加拉国央行事件证明，传统银行的国际支付体系也可能受到网络攻击。
其次，加密货币基础设施的安全风险被重新评估。Ronin、Harmony 等事件让整个行业开始重新审视跨链桥、多签钱包、验证节点和智能合约的安全设计。
第三，交易所的运营成本持续增加。冷钱包管理、签名验证、第三方审计、链上监控、应急响应和保险保障，都需要投入更多资源。
第四，被盗资产可能进入更广泛的非法资金流通体系。被盗资产经过多链转移、兑换和洗钱后，可能影响交易平台、DeFi 协议以及其他普通用户。
更值得关注的是，国家级网络安全问题与加密货币行业产生了交集。这已经不再是普通的个人黑客攻击，而是涉及金融基础设施、国际安全和数字资产监管的复杂问题。
五、普通加密货币用户应该如何防范？
$BNB 对于普通投资者来说，不需要掌握专业网络安全技术，但必须建立基本的安全习惯。
大额资产尽量使用独立冷钱包保存。
助记词和私钥绝不上传云盘或聊天软件。
不向任何人提供助记词、私钥和签名授权。
不随意安装陌生人提供的钱包插件。
不使用来历不明的钱包软件。
定期检查钱包授权，撤销不再需要的授权。
不盲目签署不理解的交易。
签名前核对接收地址、合约地址和交易内容。
警惕无限额度 Token 授权。
大额操作先使用小额测试。
对于交易所账户，还应该开启独立的双重身份验证，优先使用硬件安全密钥等抗钓鱼验证方式，设置提现地址白名单，开启登录和提现通知。
需要特别强调，硬件钱包可以保护私钥，但不能保证你批准的交易一定安全。如果签署的是恶意交易，硬件钱包同样可能成为资金损失的入口。
对于交易所、DeFi 项目和开发团队，还需要实施私钥与业务系统隔离、多签权限分离、第三方软件审计、最小权限管理、异常交易监控以及紧急暂停机制。
六、真正值得警惕的是：网络攻击的目标正在发生变化
回顾过去十余年的攻击历史，可以看到一条明显的演变路径。
2014—2017年，主要针对企业系统，实施数据窃取和勒索软件攻击。
2016—2020年，攻击范围扩展到银行系统、国际支付体系和金融机构。
2018—2021年，加密货币交易所、钱包及相关软件逐渐成为重点目标。
2022—2023年，攻击进一步延伸到跨链桥、DeFi 和区块链基础设施。
2025年，供应链、第三方开发环境和多签交易流程成为值得警惕的攻击入口。
这并不意味着所有攻击都由同一批人员或同一套技术执行，而是说明与 Lazarus 相关的网络威胁活动已经覆盖越来越多的金融基础设施。
对于加密货币行业而言，安全边界正在发生变化。
过去，大家关注的是私钥有没有泄露、智能合约有没有漏洞。现在，还必须考虑开发人员的电脑是否安全、第三方软件是否可信、签名界面是否被篡改，以及内部权限是否被滥用。
Lazarus 的十余年攻击历史，实际上揭示了一个残酷的现实：在数字金融时代，最大的风险可能不是系统被破解，而是信任被利用。
当数十亿美元的数字资产可以在短时间内被转移，整个行业就必须重新思考一个问题：
我们究竟是在建设一个安全的数字金融系统，还是仅仅把传统金融世界的风险搬到了区块链上？$BTC