2026 年 10 月 29 日晚，币安的热钱包在 20 分钟里被转走 63.6 亿美元。TRM Labs 与 Chainalysis 都以「高置信」把这件事指向朝鲜的 TraderTraitor；没有任何政府正式指认，币安也没有点名，此案结论未定，本文不谈。本文只谈一个问题：干这件事的人，出自一个普通人家里没有电脑、上不了互联网的国家。朝鲜的黑客，是怎么练成的？
别的国家，黑客多半自学成才：有电脑，有网络，有论坛。朝鲜一样都没有。普通家庭没有电脑，全国只有内网。一个人想成为黑客，只有一条路——被挑中。
挑人的漏斗从小学开始。脱北者和韩国方面的公开说法拼出的路径大体一致：小学重压数学和科学，成绩顶尖的孩子进特殊学校、参加编程竞赛，最好的进金日成综合大学、金策工业综合大学，再从中挑人，送进专门训练网络作战的学校。漏斗筛人的标准是数学，成绩有案可查：朝鲜选手在国际数学奥林匹克拿过第 5、第 7、第 12 名，金策工业综合大学在 2019 年 ICPC 全球编程总决赛拿过银牌。同一份公开记录里还有另一项：朝鲜是这项赛事唯一因作弊被取消过资格的国家。
被挑中的人经历什么，张世律是少数肯开口的人。他曾在美林学院受训，后来逃到韩国。按他的自述——未经独立证实，但与韩方公开说法大体对得上——每天 6 节课，每节 90 分钟，其中一门课是拆开 Windows，学它怎么被攻破。训练持续近 9 年。临毕业，按目标国家分组，再学两年对方的语言和文化。
最后这两年最见功力。学的是对方的语言和生活习惯：怎么打招呼、怎么开玩笑、邮件怎么写才像本地人。日后冒充招聘者、冒充投资人，第一关就是不能露馅，这两年练的就是这个。
毕业去向是军方侦察总局的 121 局。张世律的待遇是平壤市中心一套 185 平方米的公寓，全家迁入平壤。他说，在朝鲜，这叫秘密战争。这支队伍的规模没有确数。美国国会研究服务处 2017 年估计为 3,000 至 6,000 人，韩国国家情报院估计 2024 年约 8,400 人。年份不同，统计范围也不同，两者不可直接相比；能确定的是，规模以千人计，而且在涨。
训练出来的人，一部分进了 121 局，另一部分被送出国，身份是程序员。美国国务院、财政部与 FBI 2022 年的联合指引称，这类人有数千名，主要在中国和俄罗斯，少数在非洲和东南亚；多边制裁监测组估计，仅在华就有 1,000 到 1,500 人。他们用伪造或盗来的身份，在海外平台接单、在外国公司远程任职，工资的大部分上缴。FBI 今年 10 月的警示说，政权抽走他们收入的 85% 到 90%。
美国人 Christina Chapman 在亚利桑那州的家里摆了 90 多台笔记本。她的工作是替朝鲜人「上班」：公司把笔记本寄给她，她装上远程控制软件，身在海外的人借此登录，看起来人在美国。她用 68 个被盗身份，让朝鲜人进了 309 家美国企业，经手 1,700 多万美元。2025 年，她被判 102 个月。今年 10 月，美国司法部又起诉 14 人，其中 10 人在中国丹东、辽宁一带活动；FBI 在得州等地端掉 40 多处这样的「笔记本农场」，查获约 187 台笔记本。
外派还有一层用处，不写在任何文件里。这些人白天就在外国公司的系统里工作：哪台服务器放什么，谁有权限，审批走什么流程，全看得见。将来若要攻击这家公司，侦察这一步已经做完了。
看他们怎么得手，就知道这条流水线量产的是什么。TRM 统计过朝鲜历次盗窃的入手法：约 88% 的金额来自攻破基础设施和人，靠代码漏洞的只有约 1%。他们用得最顺手的办法，是让人亲手把门打开。
2024 年，日本交易所 DMM 被盗 3.08 亿美元，入口是一次假招聘。攻击者在领英上找到钱包公司 Ginco 的一名员工，发出一份「入职测试」——GitHub 上的一个 Python 程序。员工照做，电脑即被入侵。攻击者偷走他的登录凭证，冒用他的身份潜入公司内网，最后把一笔正常的交易请求改成了转账，4,502.9 枚比特币就这样没了。FBI 与日本警察厅的联合声明把这条链写得清清楚楚。全程没有破解任何密码学，破解的是招聘流程。
2025 年，Bybit 被盗约 15 亿美元，败在一名签名人手里。攻击者先攻破钱包服务商 Safe 一名开发者的电脑，在钱包网页里植入代码，只对 Bybit 的地址生效。签名人看到的是一笔普通转账，签下的却是交出钱包控制权的交易。多签能防钥匙被盗，防不住持钥匙的人受骗。事后复盘由 Safe 与 Mandiant 公布，细节俱在。
剧本还在进化。卡巴斯基去年披露：他们冒充投资人约创业者开视频会，画面里播放的是先前受害者的真实录像，个个像真人；聊到一半，请你「更新一下 Zoom」，更新包就是木马。另一路假招聘给编程题限时 30 分钟——不给你想的时间，自然就没时间怀疑。
币安此案的入口尚无定论。币安初步调查称一名工程师的笔记本被入侵，之后又发现其他入侵点；TRM 依据链上痕迹判断，被攻破的更像是签名系统本身。笔记本如何失守，无公开证据。把「假招聘」套到此案上，是猜测，本文不取。（10 月 31 日更新：币安联席 CEO Richard Teng 在公开讲话中称，攻击者利用 EIP-7702 机制取得了一只热钱包的链上执行授权，该授权未经币安正常审批流程。此为币安官方口径，完整技术复盘尚未发布。）
这条流水线运转多年，被记下来的账目有这些：2016 年，孟加拉国央行被经 SWIFT 系统转走 8,100 万美元，原图谋约 9.5 亿，多被拦下；2022 年，Ronin 桥 6.25 亿美元；2024 年，DMM 3.08 亿、WazirX 2.35 亿美元；2025 年，Bybit 15 亿美元。开篇那桩，是最新、也是最大的一笔。Chainalysis 统计，至 2025 年底，与朝鲜关联的盗窃累计至少 67.5 亿美元；仅 2024 年，就占全球加密被盗总额的 61%。2017 年的 WannaCry 不在此列：那是勒索破坏，不是盗窃，美英政府当年已归因。
钱的去向，各方说法不一。联合国安理会专家小组 2024 年的报告引用成员国估计，朝鲜的网络收入约占其外汇收入一半；多边制裁监测组 2025 年的估计是三分之一。定性则一致：用于武器计划。变现手法也已标准化：抢在冻结前把稳定币换成比特币、以太币，切分、跨链、混币，再经场外柜台出手。币安一案中，据 TRM 统计，约 27 亿美元被冻结，约 24 亿已换成冻不住的资产。
受害者的名单值得普通人看一眼：钱包公司的员工、链游公司的工程师、安全钱包的开发者。没有外行。FBI 2024 年的公告说得直接：这类骗局，连专业人士也会中招，因为它攻击的不是技术，是上班、求职、开会的日常流程。你我遇到的，是同一套剧本，只是权限小些。
FBI 给的防线里，挑普通人能直接用的五条：
陌生「招聘者」「投资人」发来的代码仓库、安装包、会议软件，先当有毒处理：不在主力电脑上打开，必须运行时用虚拟机或备用机。
换一个渠道验人：对方在领英上找你，就另约一次实时视频；对不上人，立刻停。
对方催你「半小时内跑完测试」「先装这个才能开会」，越催越要停：正经招聘不会怕你慢。
助记词、私钥、账号密码不存放在联网设备上，更不能输入任何「面试」「客服」让你打开的页面。
交易所再大也被盗过：长期不用的币提到自己掌握私钥的钱包；大额转账前，地址和金额再多核对一遍。
骗局图鉴：最常见的 8 种骗局——本文写的假招聘、假会议，只是图鉴里的一类。
把交易所账户守好：安全清单——把防线落到自己的账户上。
本文事实经公开来源核对（美司法部、FBI、联合国安理会专家小组、多边制裁监测组、TRM Labs、Chainalysis 公开材料），核查日期：2026-10-31。币安热钱包事件的归因与入口尚无官方定论，本文未作结论；如有正式复盘发布，本文将同步更新。