TraderTraitor 是誰？盜走幣安逾 60 億美元的北韓駭客組織
2022 年 4 月，美國政府發出一份警示，描述北韓駭客怎麼入侵加密公司：用模仿招募的訊息聯繫工程師，以高薪職缺引誘對方下載假的加密交易軟體，軟體裡偽裝成「更新」的功能會替駭客下載並執行惡意程式。
美國政府把這批假交易軟體統稱為 TraderTraitor，字面意思是「交易叛徒」。四年後，這個名字掛上了加密貨幣史上最大的竊案。
美國聯邦調查局（FBI）美國時間 10 月 31 日發布網路警示，認定北韓要為幣安（Binance）逾 60 億美元的虛擬資產失竊負責，並寫明：「FBI 將這起特定的北韓惡意網路活動稱為 TraderTraitor。」
廣告 - 內文未完請往下捲動
這不是它第一次被 FBI 點名。2024 年日本 DMM Bitcoin、2025 年 Bybit 約 15 億美元的竊案，FBI 都歸給 TraderTraitor；微軟、Google 旗下的 Mandiant 與 Palo Alto Networks 則各用不同代號追蹤同一群人。
幣安這起竊案發生在台北時間 10 月 30 日凌晨，鏈上分析公司 TRM Labs 估計約 63.6 億美元大部分在約 20 分鐘內被轉走，事件經過與補償進度、駭客在 Tron 上的洗錢路線另有整理。
TraderTraitor 名稱出自 2022 年美國警示，原指假交易軟體
TraderTraitor 這個名字最早出現在 FBI、美國網路安全暨基礎設施安全局（CISA）與財政部 2022 年 4 月 18 日的聯合警示 AA22-108A，標題是「北韓國家支持的進階持續性威脅組織鎖定區塊鏈公司」。
警示描述，這個組織至少從 2020 年起活動，資安業界常以 Lazarus Group、APT38、BlueNoroff 與 Stardust Chollima 等名稱追蹤。
目標包括加密貨幣交易所、DeFi 協議、邊玩邊賺遊戲、加密交易公司、投資加密產業的創投，以及持有大量加密貨幣或 NFT 的個人。
入侵通常從大量魚叉式釣魚訊息開始，對象是加密公司的員工，常見的是系統管理或 DevOps 工程師。訊息會模仿招募，用高薪職缺引誘對方下載夾帶惡意程式的加密應用程式。
這些程式自稱是加密貨幣交易或價格預測工具，名稱包括 DAFOM、TokenAIS、CryptAIS 等，美國政府把這一系列惡意程式統稱為 TraderTraitor。到了後來的 FBI 公告，這個名字改用來指稱駭客本身，這次幣安警示寫的就是「TraderTraitor 行為者」。
各家資安公司對同一群人各有代號。GitHub 2023 年 7 月的安全公告指出，微軟威脅情報團隊稱它為 Jade Sleet；Google 旗下的 Mandiant 稱為 UNC4899，評估它是北韓偵察總局內專攻加密貨幣的單位。
Palo Alto Networks 的 Unit 42 則稱為 Slow Pisces，形容它隸屬偵察總局，被認為是從 Lazarus Group 分出的組織。
FBI 2024 年 12 月的公告也寫明，TraderTraitor 的活動同時以 Jade Sleet、UNC4899 與 Slow Pisces 的名稱被追蹤；日本警察廳則說 TraderTraitor 被認為是 Lazarus Group 的一部分。
FBI 先前把 Bybit 15 億美元、DMM Bitcoin 竊案歸給它
FBI 2023 年 8 月 22 日的公告，把當年 6 月 Atomic Wallet 約 1 億美元、Alphapo 約 6,000 萬美元與 CoinsPaid 約 3,700 萬美元的竊案，歸給「與 TraderTraitor 有關的北韓行為者（又稱 Lazarus Group 與 APT38）」。
2024 年 12 月 23 日，FBI 與美國國防部網路犯罪中心、日本警察廳聯合認定，日本交易所 DMM Bitcoin 2024 年 5 月被盜的 4,502.9 枚比特幣，是 TraderTraitor 所為，當時價值約 3.08 億美元。
2025 年 2 月 21 日 Bybit 被盜約 15 億美元，FBI 五天後發布公告，用的是和這次幾乎相同的句子：「FBI 將這起特定的北韓惡意網路活動稱為 TraderTraitor。」
在加密史上最大駭案排行中，Bybit 原本僅次於 LuBian 礦池，幣安這次以自估約 63 億美元排上第一。Bybit 贓款流出後，鏈上偵探 ZachXBT 曾臥底與替北韓洗錢的集團交易，追出部分資金。
今年另外兩起大案，目前只有民間的歸屬。
Bitget 9 月 24 日被盜 3.87 億美元，Chainalysis 稱是「被歸屬於北韓」的駭客所為，沒有點名 TraderTraitor。
Kelp DAO 4 月 18 日損失 116,500 枚 rsETH（約 2.92 億美元），LayerZero Labs 的事故報告引述 Mandiant、CrowdStrike 與獨立研究員，把它歸給 TraderTraitor。FBI 沒有就這兩案發布歸屬公告。
TRM Labs 指出，幣安這次有多項特徵與 Bybit、Kelp DAO 案相符；Chainalysis 則觀察到，幣安贓款與上個月 Bitget 被盜的資金混在一起流動。
網傳朴鎮赫是主嫌，FBI 這次未點名任何人
幣安案後，社群上流傳的貼文把北韓駭客朴鎮赫（Park Jin Hyok）的經歷與這起案子串在一起。
他確實是美國司法部起訴過的北韓駭客，也在 FBI 的網路通緝名單上，但 FBI 這次的警示沒有提到任何個人，美方歷來的 TraderTraitor 公告、各家鏈上分析公司的幣安報告也都沒有他的名字。
美國司法部 2018 年 9 月 6 日公布對朴鎮赫的刑事訴狀，指他是業界所稱 Lazarus Group 的成員，任職於北韓政府的掩護公司 Chosun Expo，這家公司在中國與北韓都有辦公室，與北韓軍事情報部門下的「Lab 110」有關聯。
訴狀說，他從 2010 年底或 2011 年初到 2013 年底或 2014 年初在中國大連工作，2014 年 Sony 影業遭駭前不久回到北韓。訴狀引用的一份履歷寫著，他畢業於平壤的金策工業綜合大學。
訴狀列出的案子包括 2014 年入侵 Sony 影業，竊取機密資料並讓數千台電腦無法運作，以及 2016 年 2 月以偽造的 SWIFT 訊息，從孟加拉央行盜走 8,100 萬美元。
2017 年的 WannaCry 2.0 勒索病毒也在訴狀中，感染超過 150 個國家數十萬台電腦，英國國民保健署 236 個醫療信託中至少 80 個受影響，6,912 個門診預約被取消。
2021 年 2 月，司法部再起訴朴鎮赫與另外兩名同屬北韓偵察總局的駭客，指控他們企圖竊取與勒索超過 13 億美元的現金與加密貨幣，包括 2017 年 12 月從一家斯洛維尼亞加密公司盜走 7,500 萬美元，以及散布偽裝成加密交易軟體的惡意程式。
時任司法部國家安全司助理部長 John Demers 當時說：「北韓特工用鍵盤代替槍枝，偷的是加密貨幣的數位錢包而不是一袋袋現金，是全世界首屈一指的銀行搶匪。」
FBI 通緝頁面寫，朴鎮赫最後已知人在北韓。他被起訴的活動集中在 2014 到 2020 年，當時 TraderTraitor 的名稱還沒出現。
美方把他歸在 Lazarus Group 與 APT38，和 TraderTraitor 一樣屬於偵察總局體系，但沒有任何官方文件把他列為 TraderTraitor 成員或幣安案的參與者。
聯合國：北韓 2017 至 2023 年竊得約 30 億美元
聯合國安理會北韓制裁專家小組 2024 年 3 月的報告調查了 2017 至 2023 年間 58 起疑似北韓對加密公司的網路攻擊，價值約 30 億美元，並寫這些錢據報協助資助北韓發展大規模毀滅性武器。
報告引述一個會員國的說法，網路活動約占北韓外匯收入的 50%，用來資助武器計畫；另一個會員國則說，北韓大規模毀滅性武器計畫有 40% 的資金來自非法網路手段。這是專家小組在俄羅斯否決延長任期、2024 年 4 月解散前的最後一份主要報告。
美國財政部 2025 年 11 月的制裁新聞稿寫，北韓政府明確要求駭客以非法手段創造收入，其金融竊盜的規模「沒有其他國家比得上」。財政部反恐與金融情報次長 John Hurley 說：「北韓國家支持的駭客偷錢、洗錢，用來資助政權的核武計畫。」
Chainalysis 統計，北韓駭客 2025 年至少偷走 20.2 億美元加密貨幣，年增 51%，歷年累計的保守估計為 67.5 億美元。今年在幣安案之前，Bitget 一案就已讓北韓 2026 年的竊取總額突破 10 億美元。
贓款的下一站，FBI 預期會透過 DeFi 與即時兌換服務繼續洗錢；英國智庫 RUSI 先前的研究則指出，北韓近年改靠跨國犯罪網絡洗白贓款。Elliptic 估計，幣安這一起案子，幾乎讓北韓歷年竊得的加密資產總額翻倍。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
