标题：朝鲜黑客，全球抢钱

全球互联网最封闭的国家之一，竟然培养出了世界上最难缠的一批黑客。

昨天，全球最大的加密货币交易所币安遭到网络攻击。约63.6亿美元的数字资产被非法转出，大部分盗窃操作只用了20分钟。

美国区块链调查机构TRM Labs将攻击归因于朝鲜背景的TraderTraitor组织，并表示具有高度确信。不过，币安尚未公布完整入侵路径，政府机构也尚未对这次袭击作出最终归因。

63.6亿美元，20分钟。放在传统金融世界，这个速度足以让任何一家银行的风险管理部门怀疑人生。

更夸张的是，按照TRM Labs最新统计，截至10月30日，朝鲜相关黑客自2017年以来，累计盗走的加密资产已达约128亿美元，仅2026年就高达74亿美元。由于币安这起超级案件，朝鲜相关攻击者占到今年全球加密货币黑客盗窃金额的85%。

当然，被盗金额不等于攻击者最终兑现的收入。但这组数字已经足够说明，朝鲜背景黑客组织在高价值金融网络攻击领域有多么活跃。

问题来了。

朝鲜没有硅谷，没有微软、谷歌这样的大型科技公司，普通民众甚至很难自由访问全球互联网。论经济实力、科研投入和计算基础设施，它与美国相差悬殊。

可偏偏就是这个国家，能够持续培养出令全球科技企业、金融机构和安全专家头疼的网络攻击力量。

他们能渗透软件供应链，控制企业云系统，操纵数字钱包的授权流程，还能伪造身份进入美国科技公司工作。最复杂的行动可以持续半年，最后只用十几分钟完成数亿美元的资产转移。

朝鲜黑客到底是什么水平？他们从哪里来？为什么拥有巨额安全预算的企业，反复在他们手上栽跟头？

答案可能会改变很多人对技术竞争的理解。

一个国家的网络攻击实力，并不完全取决于它有多少科技巨头，而在于它能否长期培养专业人才，并把技术、情报和组织能力集中到同一个目标上。

朝鲜恰恰把这件事做到了极致。

要理解朝鲜黑客，先要理解一个基本的事实：互联网越不发达的国家，未必越缺乏进攻性网络人才。

朝鲜普通民众的互联网使用受到严格限制，大部分人难以接触开放的全球网络。但承担特定科研、军事和情报任务的人员，却拥有不同的资源条件。

这种资源分配，形成了一种特殊的人才集中机制。

美国要培养优秀程序员，主要依靠大学、科技企业、创业公司和市场竞争。优秀人才有很多选择，可以去Google研究AI，可以去华尔街研究量化交易，也可以自己创业。

朝鲜的路径完全不同。

根据美国国会研究处早年的公开报告，朝鲜通过金日成综合大学、金策工业综合大学以及军事技术教育机构等渠道培养网络技术人才。对外情报和网络行动则与侦察总局等国家机构存在联系。

这些资料难以完整还原朝鲜今天的真实编制。2017年的美国国会研究处报告曾引用3000至6000名网络行动人员的估算，《金融时报》2026年10月底报道的相关估计则达到约8400人，但后者包含辅助人员，两个数字不能简单比较。

真正有意义的是其人才培养方式。

对于一个经济资源有限、缺乏正常国际科技人才流动渠道的国家而言，集中选拔少数优秀学生，给予专门训练，再把他们投入国家优先任务，比建立一个庞大的商业软件产业容易得多。

而网络攻击又是一种非常适合集中投入的技术活动。

建设一座世界级芯片工厂，需要先进设备、庞大供应链和持续数百亿美元的资本投入。建设一支高水平网络攻击队伍，虽然同样需要长期培养、计算设备、软件工具和海外基础设施，但其资本门槛相对低得多。

一个能力极强的团队，找到关键系统中的一个漏洞，就可能造成远超其投入规模的影响。

芯片产业拼的是整个工业体系，进攻性网络行动有时只需要一小批专家，找到一个价值极高的突破口。

当然，这并不意味着朝鲜拥有世界最强的整体计算机科学体系。国家能够集中资源培养进攻性人才，与拥有全球领先的民用科技产业，是两回事。

但对于长期面临国际制裁、缺乏稳定外汇渠道的朝鲜，这种资源配置具有明确的战略价值。

朝鲜网络力量的早期活动，主要围绕情报获取、政治目标和破坏性攻击展开。

2014年索尼影业遭到严重网络攻击，大量企业内部信息被窃取，计算机系统遭到破坏。美国司法部后来将事件归因于朝鲜背景黑客。

2016年，孟加拉国央行遭到攻击。黑客利用银行支付系统发出虚假SWIFT转账指令，试图转走近10亿美元，最终成功盗取8100万美元。

这是朝鲜网络行动发展史上的重要转折。

攻击者发现，控制金融系统的授权流程，可以直接创造巨额经济收益。

2019年，美国财政部制裁Lazarus、Bluenoroff和Andariel等朝鲜背景黑客组织，认定它们与朝鲜侦察总局有关。这些名称来自安全研究和政府机构的不同分类，组织边界存在重叠，不能简单理解为几家独立运营的公司。

但行动范围已经十分清晰：情报窃取、软件渗透、金融攻击、军事与工业目标，以及破坏性网络行动。

到了2022年，朝鲜背景黑客又与热门区块链游戏Axie Infinity的Ronin跨链桥约6.2亿美元盗窃案联系在一起。美国FBI随后确认Lazarus等朝鲜背景组织参与其中。

从索尼到孟加拉央行，再到大型加密金融平台，攻击目标发生了显著变化。

朝鲜黑客已经学会利用全球数字经济的一个核心特点：大量资产、交易和商业活动，都依赖少数关键系统与授权人员。

只要找到其中一个薄弱环节，收益就可能惊人。

这也解释了朝鲜网络能力最特殊的成长路径。

它缺乏全球领先的商业科技生态，却拥有持续训练进攻性技术人员的战略动机；它不必在所有技术领域胜出，只需要在少数高价值攻击领域形成优势。