币安63亿美元失窃案指向朝鲜国家支持黑客：归责待验证，两成资产下落不明

BBC援引TRM Labs和Chainalysis的分析称，两家链上取证机构均以“较高把握”指向朝鲜国家支持组织Lazarus Group（又称TraderTraitor），认为其可能是币安63亿美元黑客事件的实施者。现有公开材料没有提供可由外界独立复核的验证，因此目前只能将其表述为指向明确的研判，而非已经完成独立验证的定论。若这一归责成立，这起创纪录的失窃案将显示朝鲜国家支持黑客的技术能力和作案规模。

币安对入侵机制的描述也在扩大。公司最初认为，一名工程师的笔记本遭入侵，攻击者由此发起未经授权的提款；共同首席执行官Richard Teng后来表示：“后续调查发现了更多入侵点。”TRM则认为，攻击者很可能取得币安热钱包签名系统的访问权限。报道还提到，针对本次攻击者的指控包括其利用一种特殊授权，使连接互联网的热钱包能够自动向攻击者转移资金。

这些说法落在不同安全环节：员工设备是否首先失陷，攻击者是否取得热钱包签名系统权限，以及所谓特殊授权如何发挥作用。现有信息不足以还原完整入侵路径。63亿美元规模之下，最关键的未决问题是，攻击者究竟如何取得足以转移资产的签名权限，又如何实施提款。

币安发言人称，约80%的被盗资产已得到保全，其余部分仍下落不明。63亿美元目前代表涉案规模，不能直接当作最终损失、已返还金额或已追赃金额。现有公开信息只确认约八成资产已得到保全，并未交代具体保全方式及返还状态；失联的两成更不能直接计入已冻结或已追回。

此前最受关注的官方案例涉及Bybit交易所。美国联邦调查局此前表示，朝鲜对该交易所15亿美元加密资产失窃案负责，并称TraderTraitor迅速清洗、分散赃款，把数字资产转换为比特币等资产，目标是最终兑换成硬通货。FBI还广泛指控朝鲜从事“非法网络犯罪和虚拟资产盗窃活动”。

但FBI对Bybit案的结论属于美国政府的公开指控，不是对本次币安案的直接归责，也不能替TRM Labs和Chainalysis的研判提供独立验证。机构身份不能替代个案证据，证据来源的性质必须说清楚。

朝鲜长期否认依靠网络犯罪为政府融资。BBC援引专家的说法称，朝鲜从大学招募能力较强的学生，将其编入由情报机构监管的黑客组织，系统发展网络行动。报道还援引科技公司的分析称，部分网络行动发生在朝鲜边境另一侧的中国境内，但未显示这些跨境活动与币安案存在直接联系。即便最终把此次攻击归责于朝鲜国家支持组织，相关责任也应由组织及决策机构承担，不能转嫁给朝鲜普通民众。

从追赃看，约八成资产得到保全而两成仍失联，是目前最具体的进展和缺口。80%的保全比例说明已有技术与机构介入产生效果，却不能回答失联资金流向何处、需要哪些法域协作。公开归责若超过证据边界，后续金融和执法处置就可能建立在未经复核的判断上。

Chainalysis称，攻击者采用了此前未见过的清洗模式。报道还提到，人工智能通过自动化等方式为犯罪提供了新工具，并称人工智能或曾用于渗透币安系统。后者只是一种可能性，现有报道没有给出足以证实的个案证据。AI是否参与，不能取代对入侵路径、签名权限和资金流向的核验。

下一步需要回答的是：交易签名通过哪些设备和权限被取得，特殊授权如何发挥作用，八成资产以何种方式保全，失联两成又流向哪些交易所和法域。约两成资产的去向仍是案件最硬的缺口。在资金位置与处置状态得到确认前，63亿美元不能直接写成已返还、已冻结或最终损失金额。