Alpha捕手(@alphahunter000):Bitget这次3.5亿美元级别的被盗，为什么很多人第一时间怀疑朝鲜黑客？目前还不是100%实锤，但目前主要证据是： 1. Bitget CEO方面称，攻击IP及VPN行为与此前朝鲜黑客组织高度重合； 2. 链上追踪发现，被盗资金与此前朝鲜系攻击的地址、洗钱基础设施存在关联； 3. 资金被盗后迅速把稳定币等换成ETH等原生资产，并跨链转移，这也是过去DPRK盗币常见的洗钱方式。 Elliptic因此判断“高度可能”与朝鲜有关。更有意思的是朝鲜黑客常见套路： 1. 先攻人：假招聘、假投资人、假合作方，诱导员工打开恶意文件/代码，拿到账号或电脑权限。 2. 再横向渗透：从普通员工权限，一路寻找后台、API、钱包管理和签名系统。 3. 控制Backend：找到真正决定“这笔交易转给谁、转多少钱”的后台。 4. 篡改交易数据：让系统看到的是“正常交易”，实际上收款地址已经被换成黑客地址。 5. 让系统自己签字：骗过原有授权流程，由企业自己的钱包基础设施完成转账。这也是为什么现在交易所的安全边界，早就不只是Private Key，而是：人 → 账号 → Backend → 交易数据 → 授权 → 签名 → 链上资金。任何一个环节失守，都可能变成数亿美元的入口。手段确实越来越常规化了。

2026.09.26 01:00

Bitget这次3.5亿美元级别的被盗，为什么很多人第一时间怀疑朝鲜黑客？目前还不是100%实锤，但目前主要证据是： 1. Bitget CEO方面称，攻击IP及VPN行为与此前朝鲜黑客组织高度重合； 2. 链上追踪发现，被盗资金与此前朝鲜系攻击的地址、洗钱基础设施存在关联； 3. 资金被盗后迅速把稳定币等换成ETH等原生资产，并跨链转移，这也是过去DPRK盗币常见的洗钱方式。 Elliptic因此判断“高度可能”与朝鲜有关。更有意思的是朝鲜黑客常见套路： 1. 先攻人：假招聘、假投资人、假合作方，诱导员工打开恶意文件/代码，拿到账号或电脑权限。 2. 再横向渗透：从普通员工权限，一路寻找后台、API、钱包管理和签名系统。 3. 控制Backend：找到真正决定“这笔交易转给谁、转多少钱”的后台。 4. 篡改交易数据：让系统看到的是“正常交易”，实际上收款地址已经被换成黑客地址。 5. 让系统自己签字：骗过原有授权流程，由企业自己的钱包基础设施完成转账。这也是为什么现在交易所的安全边界，早就不只是Private Key，而是：人 → 账号 → Backend → 交易数据 → 授权 → 签名 → 链上资金。任何一个环节失守，都可能变成数亿美元的入口。手段确实越来越常规化了。