北韓駭客鎖定簽章系統，盜取 76.1 億美元加密貨幣

根據區塊鏈情報公司 BitOK 的資料，2026 年 1 月至 10 月間，北韓駭客透過 38 起獨立事件竊取約 76.1 億美元的數位資產。其中六起最大規模的入侵並非利用軟體漏洞，而是控制負責授權提款的個人及相關基礎設施。

凍結與資產扣押追回了 28.6 億美元，剩下 47.5 億美元非當局所能取得。幣安（Binance）佔整體金額中的 64.1 億美元，而 32 起針對個人與公司的較小規模盜竊則總計 1.784 億美元。

為什麼程式碼稽核擋不住北韓駭客

BitOK 報告指出，六起最大事件中的每一筆提款都帶有合法簽章或通過標準驗證檢查。在幣安，入侵源自一名 DevOps 工程師的筆記型電腦以及一個用於簽章服務的容器。

這項發現與先前關於 這起 10 月駭客事件如何發生 的分析相符。在其他案例中，攻擊者入侵了 Solana 交易平台 Drift 的多簽簽署者、KelpDAO 橋接器中的單一驗證者，以及 Bitget 的錢包系統。

在每次大規模竊案之前，攻擊者都會用小額資金測試相同的手法。例如，幣安攻擊合約在竊案發生前四小時就已公開運作。

活動時間顯示其運作符合標準工作日模式。在 540 筆交易的樣本中，48% 發生在平壤時間下午 4 點到 9 點之間。

操作人員也在北韓的國定假日休息，這些日子沒有任何交易記錄。週六、週日與週一的活動加起來僅佔所有交易的 10%。

然而，一旦攻擊開始，模式就會改變。自動化腳本接管運作，資金流動便開始晝夜不停。

幾分鐘內兌換，數日後消失

速度決定了哪些資金仍可被凍結。北韓駭客在幾分鐘內將穩定幣換成 ETH，或使用竊來的抵押品借入 ETH，因為沒有任何發行方能凍結 ETH。

4 月的 rsETH 橋接器漏洞 事件後，第一批 52,440 ETH 在短短八分多鐘內離開了借貸協議。這些資金隨後靜置了 2.5 到 5 天，才由腳本透過跨鏈交換協議 THORChain 進行轉移。

洗錢成本不高。在幣安相關的 2,257 筆、總額 5,580 萬美元的交換中，累計費用僅達 0.50%。

凍結只有在穩定幣尚未被移動的情況下才有效。在幣安，43% 的被盜資產遭到凍結或扣押，而所有其他主要攻擊合計僅有 6%。

即使在幣安，時間差也造成了問題。Tether 在幣安提款 34 分鐘後才收到第一份凍結請求。屆時已有 3.45 億 USDT 離開原始地址。

0.27 ETH 的小疏漏連結了 5 起攻擊

最有力的關聯來自一次清理失誤。操作人員在透過隱私地址工具 Umbra 及 Stargate 橋接器轉移 5,047 ETH 後，將殘留的零碎資金匯入一個錢包。

8 月 31 日，150 個地址在 3 分 36 秒內將資金清空至該集散錢包。這次清空連結了 AFX 與 8 月 28 日的兩起竊案，而 Bitget 的地址則在 9 月隨之加入。總計，該錢包僅收到 0.27 ETH。

共享的結算地址現在將北韓駭客的五起攻擊聯繫起來，從 4 月的 KelpDAO 到 10 月的幣安。BitOK 表示，這顯示存在同一名洗錢操作人員，儘管攻擊可能由不同團隊執行。

「微小的殘留餘額成了操作人員今年最清晰的蹤跡，」BitOK 表示。

簽章金鑰成為新的攻擊面

Chainalysis 先前已於 10 月將 Bitget 竊案與北韓 連結。BitOK 的數據現在揭示了北韓駭客如何跨交易所與 DeFi 協議重複同一套手法。

漏洞已從智慧合約轉移至員工、裝置與簽章服務。發行方的凍結僅在最初幾分鐘內有效，而幣安已後續 從自身儲備中賠償了大部分用戶損失。