2026 年 10 月 29 日晚，幣安的熱錢包在 20 分鐘裡被轉走 63.6 億美元。TRM Labs 與 Chainalysis 都以「高置信」把這件事指向朝鮮的 TraderTraitor；沒有任何政府正式指認，幣安也沒有點名，此案結論未定，本文不談。本文只談一個問題：幹這件事的人，出自一個普通人家裡沒有電腦、上不了網際網路的國家。朝鮮的駭客，是怎麼練成的？
別的國家，駭客多半自學成才：有電腦，有網路，有論壇。朝鮮一樣都沒有。普通家庭沒有電腦，全國只有內網。一個人想成為駭客，只有一條路——被挑中。
挑人的漏斗從小學開始。脫北者和韓國方面的公開說法拼出的路徑大體一致：小學重壓數學和科學，成績頂尖的孩子進特殊學校、參加程式設計競賽，最好的進金日成綜合大學、金策工業綜合大學，再從中挑人，送進專門訓練網路作戰的學校。漏斗篩人的標準是數學，成績有案可查：朝鮮選手在國際數學奧林匹克拿過第 5、第 7、第 12 名，金策工業綜合大學在 2019 年 ICPC 全球程式設計總決賽拿過銀牌。同一份公開記錄裡還有另一項：朝鮮是這項賽事唯一因作弊被取消過資格的國家。
被挑中的人經歷什麼，張世律是少數肯開口的人。他曾在美林學院受訓，後來逃到韓國。按他的自述——未經獨立證實，但與韓方公開說法大體對得上——每天 6 節課，每節 90 分鐘，其中一門課是拆開 Windows，學它怎麼被攻破。訓練持續近 9 年。臨畢業，按目標國家分組，再學兩年對方的語言和文化。
最後這兩年最見功力。學的是對方的語言和生活習慣：怎麼打招呼、怎麼開玩笑、郵件怎麼寫才像本地人。日後冒充招聘者、冒充投資人，第一關就是不能露餡，這兩年練的就是這個。
畢業去向是軍方偵察總局的 121 局。張世律的待遇是平壤市中心一套 185 平方米的公寓，全家遷入平壤。他說，在朝鮮，這叫秘密戰爭。這支隊伍的規模沒有確數。美國國會研究服務處 2017 年估計為 3,000 至 6,000 人，韓國國家情報院估計 2024 年約 8,400 人。年份不同，統計範圍也不同，兩者不可直接相比；能確定的是，規模以千人計，而且在漲。
訓練出來的人，一部分進了 121 局，另一部分被送出國，身份是程式設計師。美國國務院、財政部與 FBI 2022 年的聯合指引稱，這類人有數千名，主要在中國和俄羅斯，少數在非洲和東南亞；多邊制裁監測組估計，僅在華就有 1,000 到 1,500 人。他們用偽造或盜來的身份，在海外平臺接單、在外國公司遠端任職，工資的大部分上繳。FBI 今年 10 月的警示說，政權抽走他們收入的 85% 到 90%。
美國人 Christina Chapman 在亞利桑那州的家裡擺了 90 多臺筆記本。她的工作是替朝鮮人「上班」：公司把筆記本寄給她，她裝上遠端控制軟體，身在海外的人藉此登入，看起來人在美國。她用 68 個被盜身份，讓朝鮮人進了 309 家美國企業，經手 1,700 多萬美元。2025 年，她被判 102 個月。今年 10 月，美國司法部又起訴 14 人，其中 10 人在中國丹東、遼寧一帶活動；FBI 在得州等地端掉 40 多處這樣的「筆記本農場」，查獲約 187 檯筆記本。
外派還有一層用處，不寫在任何檔案裡。這些人白天就在外國公司的系統裡工作：哪臺伺服器放什麼，誰有許可權，審批走什麼流程，全看得見。將來若要攻擊這家公司，偵察這一步已經做完了。
看他們怎麼得手，就知道這條流水線量產的是什麼。TRM 統計過朝鮮歷次盜竊的入手法：約 88% 的金額來自攻破基礎設施和人，靠程式碼漏洞的只有約 1%。他們用得最順手的辦法，是讓人親手把門開啟。
2024 年，日本交易所 DMM 被盜 3.08 億美元，入口是一次假招聘。攻擊者在領英上找到錢包公司 Ginco 的一名員工，發出一份「入職測試」——GitHub 上的一個 Python 程式。員工照做，電腦即被入侵。攻擊者偷走他的登入憑證，冒用他的身份潛入公司內網，最後把一筆正常的交易請求改成了轉賬，4,502.9 枚比特幣就這樣沒了。FBI 與日本警察廳的聯合宣告把這條鏈寫得清清楚楚。全程沒有破解任何密碼學，破解的是招聘流程。
2025 年，Bybit 被盜約 15 億美元，敗在一名簽名人手裡。攻擊者先攻破錢包服務商 Safe 一名開發者的電腦，在錢包網頁裡植入程式碼，只對 Bybit 的地址生效。簽名人看到的是一筆普通轉賬，簽下的卻是交出錢包控制權的交易。多籤能防鑰匙被盜，防不住持鑰匙的人受騙。事後復盤由 Safe 與 Mandiant 公佈，細節俱在。
劇本還在進化。卡巴斯基去年披露：他們冒充投資人約創業者開影片會，畫面裡播放的是先前受害者的真實錄像，個個像真人；聊到一半，請你「更新一下 Zoom」，更新包就是木馬。另一路假招聘給程式設計題限時 30 分鐘——不給你想的時間，自然就沒時間懷疑。
幣安此案的入口尚無定論。幣安初步調查稱一名工程師的筆記本被入侵，之後又發現其他入侵點；TRM 依據鏈上痕跡判斷，被攻破的更像是簽名系統本身。筆記本如何失守，無公開證據。把「假招聘」套到此案上，是猜測，本文不取。（10 月 31 日更新：幣安聯席 CEO Richard Teng 在公開講話中稱，攻擊者利用 EIP-7702 機制取得了一隻熱錢包的鏈上執行授權，該授權未經幣安正常審批流程。此為幣安官方口徑，完整技術復盤尚未釋出。）
這條流水線運轉多年，被記下來的賬目有這些：2016 年，孟加拉國央行被經 SWIFT 系統轉走 8,100 萬美元，原圖謀約 9.5 億，多被攔下；2022 年，Ronin 橋 6.25 億美元；2024 年，DMM 3.08 億、WazirX 2.35 億美元；2025 年，Bybit 15 億美元。開篇那樁，是最新、也是最大的一筆。Chainalysis 統計，至 2025 年底，與朝鮮關聯的盜竊累計至少 67.5 億美元；僅 2024 年，就佔全球加密被盜總額的 61%。2017 年的 WannaCry 不在此列：那是勒索破壞，不是盜竊，美英政府當年已歸因。
錢的去向，各方說法不一。聯合國安理會專家小組 2024 年的報告引用成員國估計，朝鮮的網路收入約佔其外匯收入一半；多邊制裁監測組 2025 年的估計是三分之一。定性則一致：用於武器計劃。變現手法也已標準化：搶在凍結前把穩定幣換成比特幣、以太幣，切分、跨鏈、混幣，再經場外櫃檯出手。幣安一案中，據 TRM 統計，約 27 億美元被凍結，約 24 億已換成凍不住的資產。
受害者的名單值得普通人看一眼：錢包公司的員工、鏈遊公司的工程師、安全錢包的開發者。沒有外行。FBI 2024 年的公告說得直接：這類騙局，連專業人士也會中招，因為它攻擊的不是技術，是上班、求職、開會的日常流程。你我遇到的，是同一套劇本，只是許可權小些。
FBI 給的防線裡，挑普通人能直接用的五條：
陌生「招聘者」「投資人」發來的程式碼倉庫、安裝包、會議軟體，先當有毒處理：不在主力電腦上開啟，必須執行時用虛擬機器或備用機。
換一個渠道驗人：對方在領英上找你，就另約一次即時影片；對不上人，立刻停。
對方催你「半小時內跑完測試」「先裝這個才能開會」，越催越要停：正經招聘不會怕你慢。
助記詞、私鑰、賬號密碼不存放在聯網裝置上，更不能輸入任何「面試」「客服」讓你開啟的頁面。
交易所再大也被盜過：長期不用的幣提到自己掌握私鑰的錢包；大額轉賬前，地址和金額再多核對一遍。
騙局圖鑑：最常見的 8 種騙局——本文寫的假招聘、假會議，只是圖鑑裡的一類。
把交易所帳戶守好：安全清單——把防線落到自己的帳戶上。
本文事實經公開來源核對（美司法部、FBI、聯合國安理會專家小組、多邊制裁監測組、TRM Labs、Chainalysis 公開材料），核查日期：2026-10-31。幣安熱錢包事件的歸因與入口尚無官方定論，本文未作結論；如有正式復盤釋出，本文將同步更新。